Cambios futuros en la política de manejo de certificados de Chrome

0

La mayoría de los sitios web y muchos servicios populares ofrecen conexiones SSL exclusivas o añadidas a conexiones regulares. Cuando un navegador se conecta a una web mediante SSL (Secure Socket Layer) descargará un certificado que verifica que la conexión es legítima.

El certificado incluye información sobre la dirección de la página web, su identidad, confirmada por organismos reguladores. De esta forma se realiza una comparación entre la dirección web a la que se pretende conectar y la dirección web que figura en el certificado validado por la Entidad reguladora (CA)

Esta es la fórmula más extendida a día de hoy para comprobar si la web que estamos visitando es la que nosotros pensamos que es, aunque eso podría cambiar a medio plazo.

Las páginas web seguras son identificadas o resaltadas por los navegadores en la barra de direcciones. Los errores en certificados aparecen en forma de avisos emergentes en pantalla.

Google acaba de publicar información referente a cambios de políticas que tendrán lugar en lo referente a como su software Chromium (Chrome, Chrome OS) administra estas situaciones.

Cambios en la administración de certificados de Google Chrome

1. 2048 bits como tamaño mínimo de la clave RSA

A comienzos de 2014 Google Chrome avisará a los usuarios de aquellos certificados que contengan claves de cifrado inferiores a 2048 bits. Se mostrará un aviso al usuario que intente acceder a sitios web con dichos certificados:

“Beginning in early 2014, Chrome will begin warning users who attempt to access sites with certificates
issued by publicly-trusted CAs, that meet the Baseline Requirements’ effective date [..]”

Los certificados raíz están exentos temporalmente. Aunque Google podría “eliminar la confianza para los certifiacados raíz con menos de 2048 bits” en el futuro.

La empresa estima que este cambio afectará a menos del 0,1% de todos los sitios web -aunque no son pocos-. Esto también significa que los usuarios observarán avisos de certificados cuando se conecten a estos sitios tras el inicio de 2014. Lo que verán es un mensaje de tipo “El certificado de seguridad del sito no es de confianza”, cosa que ya ocurre hoy día.

2. Mejorando los certificados Validación Extendida

Los certificados de validación extendida o EV son creados tras la identificación extensa de identidades realizada por las autoridades de certificación (CAs). Google Chrome requerirá Transparencia en Certificados para todos los certificados de Validación Extendida creados a partir de una fecha que está próxima a decidirse.

La Transparencia en Certificado está dirigida a eliminar fallos de seguridad en certificados SSL proporcionando un framework o ventana de trabajo abierta que permita monitorizar y auditar los certificados SSL en tiempo real (o casi)

Esto será de vital importancia para detectar certificados que han sido adquiridos de manera fraudulenta o que presentan errores, además de identificar las CAs o autoridades corruptas.

Compartir.

Sobre el Autor

Alejandro es técnico micro-informático, experto en seguridad de las TIC y apasionado de la tecnología. Colabora habitualmente en diferentes publicaciones de seguridad, software y análisis de hardware entusiasta.

Dejar una Respuesta

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.

ACEPTAR