Apple acaba de anunciar que Safari rechazará los certificados cuya fecha de expiración desde su creación sea mayor a 13 meses. Este movimiento, dentro de sus pros y contras, está destinado a mejorar la seguridad de la conexión con las páginas web que visitamos.
Qué es un certificado SSL
Cuando nosotros visitamos una página web lo más común es que la comunicación entre nosotros y el servidor ocurra de forma cifrada. Esto es lo que conocemos como HTTPS. Gracias a esta conexión cifrada, toda la información que recibamos del servidor, o que nosotros enviemos al servidor, será inaccesible por nadie más que el propio servidor y nosotros.
Como ya sabemos, el cifrado puede explicarse de forma muy, muy simplificada como una operación matemática a unos valores, los datos. Aquí es donde entra en juego el certificado. Una entidad certificadora de confianza verifica, por ejemplo, que el sitio web applesfera.com sea quien dice ser.
Cuando nosotros visitamos una página no tenemos porque confiar en ella, pero sí confiaremos en esta entidad certificadora que "avalará" la página en sí. Además, en el certificado que la página usa para demostrar su fiabilidad, se incluyen una serie de valores numéricos en los que basaremos la encriptación de la comunicación.
La caducidad de los nuevos certificados
Como toda herramienta de verificación los certificados tienen una fecha de caducidad a partir de la que dejan de ser válidos. Normalmente cuando una entidad solicita un certificado lo suele hacer por un período de un, dos o cinco años. Y es aquí donde Apple quiere promover un cambio.
A partir del 1 de septiembre, todos los nuevos certificados tendrán que tener una duración de un año como máximo para que Safari, y todos los navegadores basados en WebKit, los considere válidos. Todos los certificados que se emitan después del 1 de septiembre, y que excedan los 398 días de validez, serán rechazados desde el primer momento. Los certificados emitidos antes del 1 de septiembre seguirán en vigor hasta que expiren.
La medida ha sido descubierta gracias a iGiant, una autoridad de certificación. Implementando esta nueva política en Safari Apple conseguirá que todos los sitios web que quieran ser visitados desde un iPhone, iPad o Mac usen certificados con una duración de un año o menos.
¿Qué se consigue con esto movimiento? Que los certificados se renueven de forma más regular. ¿Y por qué? Fácil, porque los algoritmos de cifrado y los estándares necesitan evolucionar para seguir siendo válidos. Un certificado que se emite por cinco años puede, a partir de su mitad de vida, no ofrecer una encriptación segura debido a, por ejemplo, la aparición de una nueva vulnerabilidad.
Más seguridad pero también más dedicación
El resultado final de la acción de Apple es asegurar que los sitios web utilicen certificados actualizados y con los últimos estándares criptográficos. Esta medida disminuirá la cantidad de certificados antiguos o abandonados que pueden ser robados y reutilizados para ataques de phishing o malware. Si alguien logra romper el estándar criptográfico, un certificado de corta duración nos asegurará que se migre a un sistema seguro de nuevo como mucho en un año.
Cambiar los certificados regularmente es algo que, si bien es sencillo, requiere saber cómo debe hacerse y tener el tiempo y herramientas para hacerlo. En un sentido las páginas web deberán estar más atentas al tema de los certificados pero, por el otro, la capacidad de respuesta ante una amenaza por el flanco de los certificados será mucho mayor. Además, servicios como Let's Encrypt, que ofrece certificados gratuitos por una duración de 90 días y con renovación automatizada, se harán más habituales.
El equilibrio entre seguridad y comodidad es delicado pero el movimiento de Apple va encaminado en la dirección correcta. El uso de certificados de un año de duración es, generalmente, el más común aunque servicios como GitHub o Microsoft suelen renovarlos de dos años. Con esta medida Apple forzará que la buena práctica de la renovación anual siga. ¿Administras alguna web? ¿Qué te parece la nueva medida? Cuéntamelo en los comentarios.
Fuente | TheRegister
Ver 3 comentarios