Conexiones seguras, certificados digitales y firma digital no vacunan ante la estupidez y/o ignorancia del usuario
junio 1, 2009 15 comentarios
Por mucha seguridad que se implemente si el usuario no es cuidadoso…
Security By Default Fraude online con firma digital y SSL
En este post vamos a demostrar como dos de los tópicos mas escuchados sobre la prevención del fraude online son directamente falsos:
- Una página cargada bajo SSL cuyo certificado digital provenga de una entidad de confianza (que el navegador cargue sin emitir errores) y en la que aparezca el famoso ‘candado’ puede ser considerada segura
- La firma digital y en concreto, el DNI Electrónico, es la ‘herramienta definitiva’ contra el fraude
La realidad:
- Un certificado digital para un servidor SSL emitido por una CA reconocida, se puede obtener sin ningún esfuerzo o proceso de verificación y en muchos casos, gratis por una larga temporada
- Tanto el DNI electrónico como los certificados de la FNMT, son poderosas herramientas para identificarse y autorizar procesos online, pero esas herramientas, sin una educación previa, se vuelven contra el usuario, pudiendo servir para hacer fraude con validez legal (la firma digital está reconocida en España como análoga a la manuscrita por la ley)…
Acerca de maty
Nauscopio Scipiorum 
Security By Default Certificados digitales con validación extendida
Sergio Hernando Autenticación en Apache mediante mod_authnz_ldap (soporte OpenLDAP)
Port 666 Un librito de seguridad informática que deberían (y les sería fácil) leer desde mamá hasta el director general
Hola Maty,
Al intentar ver el borrador de la declaración por internet en la web de la agencia tributaria, me da un error de certificado en firefox y en chrome.
Me gustaría saber como estar seguro de que el certificado que propone es bueno o no.
Si los certificados de la FNMT no están instalados por defecto en firefox ni chrome, ¿como instalarlos? Y más importante, ¿como estar seguros que el certificado que se instala es legítimo?
Muchas gracias.
Consultorio de maty
Tras el fallo de seguridad reciente gracias una vez más a Comodo, instalé en Firefox la extensión Certificate Patrol.
Security By Default Me inComodo
Además de acceder desde la dirección correcta -como es el caso de la AEAT-, instalar dicha extensión y configurar bien Firefox ayuda.
A propósito de la navegación segura, días atrás:
Security by Default Mitos de HTTPS y la navegación segura
Firefox: Administración de complementos/Certificate Patrol
Gracias por la respuesta Maty.
Imagino que con configurar bien firefox te refieres a marcar la casilla «Cuando falle la conexión a un servidor OCSP….»
La extensión Certificate Patrol, si he entendido bien, sirve para avisar si un certificado cambia entre un acceso y otro. Pero ¿hay alguna forma de saber si la primera vez el certificado es bueno?.
Siempre procuro acceder a las páginas escribiendo yo la dirección, pero igual que se comenta que puede haber una persona entre nosotros e internet que bloquee el tráfico al servidor OCSP, imagino que se puede falsificar la dirección a la que se accede modificando los DNS o de otras formas.
Igual que hay certificados de entidades de confianza que validan otros certificados (como bancos, etc) ¿hay alguno que valide el de la AEAT y otros de la administración? (también he visto que la página para pedir cita para el médico de madrid da el mismo error, e imagino que otras muchas de la administración).
Muchas gracias otra vez.
Lectura recomendada
Hispasec Conversaciones sobre certificados, seguridad y pornografía Sergio de los Santos
Un informático en el lado del mal El hacker Iraní, la nota de prensa en Pastebin, Diginotar, GloblaSign, StartSSL y la FOCA. Ahí es ná el tomate.
Un informático en el lado del mal Cotilleando la estructura PKI del DOD usando LDAP
Información sobre los certificados de la FNMT y la Policía Nacional, y como se instalan en firefox:
Firma digital FNMT desde firefox (16-03-2007)
Certificado FNMT en Firefox… el gran ausente (29-04-2011)
Problemas en las webs de la Policía Nacional con sus certificados digitales (22-03-2010)
Espero que resulte útil. Lo que no se es donde ver en el servidor el hash de los archivos que hemos descargado, para comprobarlos.
Saludos y gracias por tu página y el trabajo que en ella realizas.
Mozilla Hispano Java, BEAST y Firefox willyaranda
@info, ahora miro tus referencias.
Hola Maty,
Yo normalmente utilizo un live-cd o live-usb para conexiones seguras a bancos. Hace tiempo leí que varios sitios de seguridad lo recomendaban, ya que no se puede escribir sobre ellos desde el propio sistema en funcionamiento (en el usb se podría si se activa la opción en el arranque). Además, procuro navegar solo por la web de un banco, y reinicio ordenador y router después de terminar.
No estoy seguro si en un live de por ejemplo ubuntu, viene por defecto una máquina virtual de java en el navegador. En caso de que no viniera, no habría que hacer nada para evitar este fallo de java. Si viniera, pues como en cualquier sistema habitual, habría que desactivar el plugin en el navegador.
Ahora no puedo comprobar si por defecto el java viene instalado en una ubuntu live, aunque si no recuerdo mal, lo que se instala desde los repositorios por defecto NO es la versión de SUN-ORACLE, sino el OpenJDK, que no se si está afectado por el mismo problema.
Esto solo son unas medidas mínimas de seguridad, que quizá tengan otros problemas, pero que espero sirvan a alguien.
Al visitar… (fotos increíbles)
boston.com / The Big Picture Nikon Small World Photomicrography Competition
Me ha saltado este aviso gracias a la extensión para Firefox: Certificate Patrol
Tras revisarla, he aceptado.
Hispasec Malware y certificados digitales Sergio de los Santos, José Mesa Orihuela
Fijaos en la fortaleza en mi par de claves -ya sé que no es un certificado: 1024 (pública) / 4096 (privada) bits; desde el 2001 es lo que procuro -algunos pensaban que era un poco paranoico.