Tercera parte no confiable

Durante muchos años, tal como afirman los colegas de la EFF, SSL/TLS ha sido “el pegamento” que nos ha servido para unir los trocitos de la Web segura. Las infraestructuras de clave pública, que nos sirven para sostener eso que seguimos llamando “navegación segura”; y un elemento clave dentro de tales infraestructuras siguen siendo las Autoridades de Certificación, que juegan el papel de “Tercera Parte Confiable“, verificando la identidad de los servidores web remotos a los que accedemos mediante HTTPS.

El problema es que cuando navegamos hoy por la Red, nuestro navegador confía ciegamente en más de medio millar de esas autoridades -formando, eso sí, un mercado muy concentrado, que en 2009 de repartían Verisign (47,5 %), GoDaddy (23, 4 %) y Comodo (15,4 %)-, que validan los certificados SSL emitidos por los servidores web a los que accedemos.

Black Tulip Report, Fox IT

No se trata de un riesgo que se haya valorado recientemente; aunque ha vuelto a los titulares gracias a algunas brechas de seguridad que se han hecho públicas en los últimos meses: en marzo se informaba de un ataque perpetrado por hackers iraníes que habían conseguido emitir certificados fraudulentos; en mayo, era el Ministerio de Telecomunicaciones sirio el que parecía haber lanzado un ataque, nada sofisticado, contra el sitio HTTPS de Facebook; mientras que a principios de este mes de septiembre, saltaba a los titulares la operación “Tulipán Negro”, que dejaba en evidencia a la holandesa DigiNotar.

Todos estos casos han vuelto a movilizar a una parte de la comunidad internauta de expertos que lleva tiempo siguiendo y monitorizando el funcionamiento de una infraestructura manifiestamente mejorable; no tanto en lo que se refiere a su concepción, sino fundamentalmente en los aspectos directamente relacionados con su poca capacidad de crecimiento manteniendo la robustez necesaria con la escala actual de la Red.

Proyectos como Tor -conocido como “Onion Router” y dedicado a conseguir una red “anónima”- son bien conocidos; y otros impulsados por Google recientemente, son menos conocidos. “Google Certificate Catalog” intenta realizar una labor de “notario digital“, algo muy similar a lo que proponen desde “Perspectives“: se trata de servidores públicos que monitorizan una gran cantidad de certificados, como los que guarda Google en sus bases de datos. En IETF DANE (DNS-based Authentication of Named Entities) WG están proponiendo que sean los propios operadores de los dominios los que usen los registros de DNS para publicar los certificados SSL utilizados en sus servidores; aunque en este caso, como en el de “DNS Certification Authority Authorization (CAA) Resource Record“, tal como apuntan en el blog de seguridad de Google, habrá que esperar a que DNSSEC sea una realidad en términos de despliegue.

¿Qué significa todo esto? ¿Debemos dejar de navegar porque se ha comprometido la seguridad de la Red? No lo creo. Este tipo de ataques, causando brechas en elementos tan críticos como los directamente relacionados con la garantía de cierto nivel de seguridad en una Web aun percibida como Terra Incognita por muchos, ocurren todos los días… Habiendo caído incluso el cifrado de las comunicaciones GSM, ya solo falta que nos digan que los propios certificados X.509 son inseguros.

Como ingenieros, debemos pensar que la complejidad de la Red actual, que va mucho más allá de la Internet que muchos hemos estudiado, hace necesaria una labor de rediseño que contemple este tipo de sucesos como evidencias de una inestabilidad estructural de un sistema crítico para la actividad económica en gran parte de ese entramado universal, digital y reticular.

Top 10 Famous Hackers

Mientras que, como usuarios, debemos alejarnos de la mitología -manifestación de una “subcultura-mito” que ya hoy debería estar superada por la cotidianeidad de estas tecnologías- que sigue oscureciendo el universo desconocido de los hackers malintencionados, los crackers y los phreakers; delincuentes informáticos que rara vez han conseguido sus objetivos con un alarde de los conocimientos técnicos que los caracterizan.

Twitter Digg Delicious Stumbleupon Technorati Facebook Email

Un Comentario para “Tercera parte no confiable”

  1. Interesante entrada. Todo ello unido a que desde la dirección de la Administración Electrónica -que lo está haciendo bien en muchos sentidos- no se encargan de educar al ciudadano en la instalación y configuración correcta de los certificados de las AC que son necesarias para la Administración Electrónica española, acostumbrándole a que acepte ciegamente excepciones de seguridad con los certificados de sede. El ciudadano extenderá esa práctica a cualquier sitio con https. Debería haber un poco más de pedagogía en este sentido y una guia sobre lo que son las AC.
    Además ¿hacen falta tantísimas AC en los navegadores? También debería haber un método sencillo de librarnos de la mayoría, o de desactivarlas todas menos dos o tres.

Dejar un Comentario