lunes, junio 2, 2025
DirectorTIC
  • INICIO
  • ENTREVISTAS
  • DEBATES
    • Conectividad 2025
    • Debate gestión del dato 2024
    • La observabilidad es necesaria 2024
    • Industria 4.0 2024
    • Seguridad en el endpoint 2024
    • Entornos híbridos 2024
    • Banca 2024
    • Cloud 2024
    • AA.PP. 2024
    • Centro de datos 2024
    • Turismo, construcción y energía 2024
  • GUIAS
    • Guía de ciberseguridad 2023
    • Guía de ciberseguridad 2022
    • Guía de ciberseguridad 2021
    • Guía de la transformación digital 2021
  • ESPECIALES
    • ¿Quiere saber cómo conseguir una optimización de costes real?
    • Especial IA 2024: un futuro brillante pleno de desafíos
  • Entorno TIC
  • NOTICIAS
  • REPORTAJES
  • CIO
    • Talleres del CIO
    • Consejos para el CIO
    • Videos
  • FORO TAI
  • SUSCRIPCIONES
No Result
View All Result
DirectorTIC
  • INICIO
  • ENTREVISTAS
  • DEBATES
    • Conectividad 2025
    • Debate gestión del dato 2024
    • La observabilidad es necesaria 2024
    • Industria 4.0 2024
    • Seguridad en el endpoint 2024
    • Entornos híbridos 2024
    • Banca 2024
    • Cloud 2024
    • AA.PP. 2024
    • Centro de datos 2024
    • Turismo, construcción y energía 2024
  • GUIAS
    • Guía de ciberseguridad 2023
    • Guía de ciberseguridad 2022
    • Guía de ciberseguridad 2021
    • Guía de la transformación digital 2021
  • ESPECIALES
    • ¿Quiere saber cómo conseguir una optimización de costes real?
    • Especial IA 2024: un futuro brillante pleno de desafíos
  • Entorno TIC
  • NOTICIAS
  • REPORTAJES
  • CIO
    • Talleres del CIO
    • Consejos para el CIO
    • Videos
  • FORO TAI
  • SUSCRIPCIONES
No Result
View All Result
DirectorTIC
No Result
View All Result
Inicio Seguridad

La S de HTTPS verifica la seguridad en Internet

Inma ElizaldePor: Inma Elizalde
23 agosto, 2017
La S de HTTPS verifica la seguridad en Internet
Compartir en TwitterCompartir en Linkedin

Si alguna vez has realizado una compra online, has comprobado tus cuentas bancarias a través de una app o te has registrado online en tu red social favorita, has utilizado un protocolo criptográfico llamado SSL/TLS. Es decir, la S de HTTPS.

SSL es la forma de cifrar la comunicación entre el navegador y la página web visitada. Es crucial asegurarse de que esto es así, ya que de esta manera los hackers y delincuentes cibernéticos no pueden acceder al tráfico web que se genera. Sin embargo, todavía existe una cierta confusión en torno a la criptografía y al cifrado en Internet. 

¿Cómo lo sabemos?

Como usuario, confiamos en nuestro navegador cuando nos indica si una página web es segura o no. Para ello, el propio sistema comprueba que no haya amenazas malware, activa el javascript malicioso y (en páginas web de seguridad) establece una conexión cifrada.

Desgraciadamente, debido a las complejidades de la encriptación, averiguar la validez de una conexión se ha convertido en una combinación entre el icono tradicional del candado, una dirección URL de color verde y la palabra “seguro”. Muchos navegadores llegan incluso más allá y destacan sus links URL cuando el usuario navega por una página web cuyo cifrado no puede verificar.

¿Pero, qué sucede en realidad? ¿Qué hace que una website se califique como segura?

Certificados

Una página web que se utiliza HTTPS vuelca su contenido acompañado de un certificado digital que confirma su identidad. Este contiene un cúmulo de información que puede agruparse en dos tipos: dos grandes números primarios (uno privado, otro público) e información diseñada para ayudar al usuario a confiar en esos dos números.

Los números son necesarios para una técnica denominada “intercambio de clave”. Se trata de un proceso matemático que permite a dos entidades (en este caso, el propio usuario y el site que visita) generar un código oculto compartido sobre un canal público (Internet).

El resto de la información sirve para ayudar al usuario y al navegador a verificar que la página web que se visita es realmente el site correcto. Esto se logra a través de una cadena de confianza que incluye el certificado de la página web visitada, un certificado de autoridad y un certificado raíz en la cual confía el sistema operativo o el navegador.

La cadena de confianza funciona como suena. El certificado raíz se verifica a través de una multinacional, como Microsoft, Apple o Mozilla. Sucesivamente, emiten certificados de firma a un grupo de autoridades de certificación. Estas son las organizaciones que venden o emiten las certificaciones a los propietarios de las páginas web.

Los propietarios de los sitios tienen que demostrar a las autoridades de certificación que efectivamente, ellos son poseedores de la página en cuestión y a continuación, obtienen el certificado para permitir al usuario navegar por ella.

¿Qué pasa con los links más débiles?

Cuando visitas un sitio seguro, tu navegador obtiene el certificado digital desde la página en cuestión. Por ejemplo, en dominios .com, el certificado alega que fue emitido por CA01. El navegador identifica CA01 como un código seguro y confía en el site ya que este pertenece a la lista de Microsoft, Apple o Mozilla.

Tras comprobar con CA01, el usuario es consciente de que el certificado contiene una línea segura en el dominio .com. Este proceso concluye con el icono de candado o con la URL en color verde en el navegador.

Actualmente, este sistema no es infalible. Un ataque cibernético puede secuestrar el dominio.com y servirse de otro certificado que resulta tan válido como el verdadero. Como en cualquier sistema de seguridad, existen compensaciones en HTTPS, pero en este caso la seguridad está garantizada.

Alerta US-CERT

Recientemente, US-CERT (la organización que informa a los usuarios sobre los asuntos referentes a la seguridad digital y amenazas actuales) difunde una alerta (TA17-075A) con el propósito de destacar casos desarrollados positivamente con un control de seguridad alto, generalmente desplegado por las empresas.

La mejor forma de actuar por parte de los usuarios es que naveguen por la web con una conexión encriptada, aunque si se trata de un entorno corporativo puede traer consigo nuevos retos. A pesar de que los bancos y las apps hayan optado por utilizar códigos de encriptación a la hora de ayudar a sus clientes, los cibercriminales también se sirven de ellos para perjudicar a los usuarios.

Cuando se establecen medidas de protección en las redes empresariales, es común que se desplieguen tecnologías para interceptar conexiones HTTPS (normalmente a través de portales web o salidas proxy). El objetivo no es controlar a los usuarios, sino asegurarse que pueden bloquear amenazas de malware y otros contenidos maliciosos.

Para ello, la tecnología de interceptación añade otro link a la cadena de confianza.

 

US-CERT ha emitido una alerta basada en las últimas investigaciones realizadas por la Universidad de Carnegie Mellon (CMU). En este estudio, buscaban una serie de productos que incorporaran esta tecnología y se encontraron con que hay varios problemas significativos que derivan a una navegación menos segura por parte de los usuarios.

 Problemas de intercepción

Trend Micro ha observado recientemente que se exige una alta complejidad para lograr un simple candado o URL de color verde. El estudio de CMU demuestra que cuando se activa una tecnología de interceptación, es posible que ese simple indicador resulte engañoso. Puede simular que las búsquedas de contenidos de los usuarios son seguras cuando, en realidad, no lo son, y eso es lo último que quieren descubrir tanto los usuarios como los equipos de seguridad IT.

CMU destaca siete casos específicos en su estudio, pero se centra en uno en concreto.

Figura 3: Diagrama de la cadena de confianza del certificado SSL/TLS con interceptación y el caso destacado

Las herramientas de interceptación no gestionan correctamente errores de certificados de validación, lo que supone una completa ruptura de confianza en la cadena.

Siguientes pasos

El asesor US-CERT recomienda probar cualquier solución de interceptación, como https://badssl.com/. Es una herramienta idónea que permite ver cómo el navegador gestiona varios problemas relacionadas con SSL/TLS. La herramienta de interceptación en activo identifica todos los escenarios posibles y se asegura de que están gestionadas de manera correcta.

A continuación, Trend Micro ofrece varios consejos para un correcto funcionamiento de una herramienta de interceptación:

  • Prueba la herramienta antes de incluirla en tus procesos de producción
  • Opta por páginas web de confianza como los portales de los principales bancos o instituciones financieras.
  • Elabora un plan de comunicación sólido que explique de forma clara el cómo y el por qué del uso de la herramienta a tu comunidad de usuarios

La tecnología de interceptación puede ayudar a las empresas a defenderse de la presencia de malware y ataques de cibercriminales, siempre y cuando no existan amenazas mayores (tal y como advierte US-CERT). En este caso, una pequeña planificación y una cierta previsión pueden marcar la diferencia.

Mark Nunnikhoven

Vicepresidente de investigación cloud de Trend Micro

 

 

 

 

 

Etiquetas: HTTPSseguridadTrend Micro

DESTACADOS

DESTACADO

Palo Alto Networks, la seguridad que nos guía
Sin categoría

Palo Alto Networks, la seguridad que nos guía

18 octubre, 2023

¿Quiere descubrir cómo sortear los peligros y mantener su organización a salvo? Con Palo Alto Networks descubrirá, a través de...

Leer másDetails

DESTACADOS

No Content Available
SEIDOR y Cisco revolucionan la ciberseguridad con IA, SSE y SASE
Entorno TIC

SEIDOR y Cisco revolucionan la ciberseguridad con IA, SSE y SASE

29 mayo, 2025

En un mundo donde las amenazas cibernéticas evolucionan rápidamente, las empresas necesitan soluciones de seguridad que protejan los datos sensibles...

Leer másDetails
No Content Available
¿Cómo pueden las empresas ser dueñas de sus datos y gobernarlos en todo su ciclo de vida?
Destacado

¿Cómo pueden las empresas ser dueñas de sus datos y gobernarlos en todo su ciclo de vida?

6 mayo, 2025

En un momento en el que el dato es uno de los principales activos de las organizaciones, no todas extraen...

Leer másDetails
Talleres del CIO

OVHcloud, minimizando los desafíos de migrar a la nube

22 mayo, 2025

Ir a la nube supone para las organizaciones afrontar retos que por sí solas serían difíciles de superar. El papel...

Leer másDetails
Entorno TIC

Ikusi y Cisco ayudan a las empresas “a centrarse únicamente en su negocio”

3 septiembre, 2024

En un mundo donde la tecnología evoluciona a pasos agigantados, la gestión eficiente de la tecnología es crucial para el...

Leer másDetails
F5 o cómo conectar, proteger y optimizar aplicaciones en diferentes entornos
Destacado

F5 o cómo conectar, proteger y optimizar aplicaciones en diferentes entornos

22 mayo, 2025

En un mundo digital cada vez más distribuido, donde las aplicaciones son el corazón de los negocios, F5 conecta, protege...

Leer másDetails
ILUNION IT Services-Mario Medina-Directortic
entrevista

La propuesta de valor de ILUNION IT Services adquiere nuevas dimensiones con Meinsa Sistemas

29 abril, 2025

La vida de las empresas se transforma en función de las estrategias que siguen y del ritmo marcado por la...

Leer másDetails
¿Cuál es la situación de la infraestructura para la IA en las empresas españolas?
Destacado

¿Cuál es la situación de la infraestructura para la IA en las empresas españolas?

8 abril, 2025

Con el avance de la inteligencia artificial la inversión en su infraestructura creció en gran medida el año pasado. Un...

Leer másDetails
OpenText Summit Madrid 2025: innovación y transformación digital a través de la gestión de la información
Reportajes

OpenText Summit Madrid 2025: innovación y transformación digital a través de la gestión de la información

13 marzo, 2025

OpenText está ultimando los detalles de uno de los eventos más relevantes del sector tecnológico: OpenText Summit Madrid 2025. La...

Leer másDetails
Siguiente noticia
Lance phishing a sus empleados para formarles y en pro de la seguridad

Lance phishing a sus empleados para formarles y en pro de la seguridad

SOBRE NOSOTROS

DirectorTic es una publicación de T.a.i. Editorial con información de valor para la toma de decisiones del C-Level de mediana y gran empresa

Contáctanos: correo@taieditorial.es

SÍGUENOS EN:

T.a.i. Editorial S.A. ®, marca registrada 2023 | Aviso Legal | Política de Privacidad | Política de Cookies | Anúnciese aquí

No Result
View All Result
  • INICIO
  • ENTREVISTAS
  • DEBATES
    • Conectividad 2025
    • Debate gestión del dato 2024
    • La observabilidad es necesaria 2024
    • Industria 4.0 2024
    • Seguridad en el endpoint 2024
    • Entornos híbridos 2024
    • Banca 2024
    • Cloud 2024
    • AA.PP. 2024
    • Centro de datos 2024
    • Turismo, construcción y energía 2024
  • GUIAS
    • Guía de ciberseguridad 2023
    • Guía de ciberseguridad 2022
    • Guía de ciberseguridad 2021
    • Guía de la transformación digital 2021
  • ESPECIALES
    • ¿Quiere saber cómo conseguir una optimización de costes real?
    • Especial IA 2024: un futuro brillante pleno de desafíos
  • Entorno TIC
  • NOTICIAS
  • REPORTAJES
  • CIO
    • Talleres del CIO
    • Consejos para el CIO
    • Videos
  • FORO TAI
  • SUSCRIPCIONES

T.a.i. Editorial S.A. ®, marca registrada 2023 | Aviso Legal | Política de Privacidad | Política de Cookies | Anúnciese aquí

Este sitio web almacena cookies técnicas esenciales para el buen funcionamiento de la página. Estas cookies sirven para mejorar nuestro sitio web y poder ofrecer su funcionalidad completa. No utilizamos cookies de seguimiento para publicidad, ni para redes sociales, ya que cuando comparte información con una red social, será al entrar en ésta cuando le pidan el consentimiento a esas cookies. Para conocer más acerca de las cookies que utilizamos, pulse en Política de cookies. Puede visitar nuestra política de privacidad para saber más sobre el tratamiento de sus datos Política de privacidad. Pulse en aceptar, para minimizar