Establecer las directrices SSL para mayor seguridad

La noticia que se ha publicado recientemente en Internet y publicada por muchos sitios web hasta el momento, es la noticia de la falsificación de muchos certificados SSL de sitios de renombre por parte de un grupo de hackers que podría poner en peligro la seguridad de miles de personas.

Dependiendo de las dimensiones del caso, los expertos que tienen más conocimientos en el tema brindarán orientación experta en este campo; sin embargo, escribo un pedazo de papel solo con la esperanza de que esta información, por limitada que sea, pueda ser útil, por favor si encuentra útil esta o parte de ella; publíquela también a sus amigos.

Noticia de robo en Internet

Según afirma el gobierno de los Países Bajos; un grupo de hackers(Probablemente casi seguro del gobierno de Irán) Al infiltrarse en una empresa holandesa, emitieron una gran cantidad de certificados SSL y durante un tiempo indefinido utilizaron un método específico para obtener información de la gente en Irán, sobre el cual explicaré más adelante.

La empresa holandesa mencionada, que fue infiltrada, es una de las decenas de empresas que operan en la emisión de certificados SSL.. A las entidades que tienen permiso para emitir certificados SSL se les llama "Autoridad de Certificación". O en abreviatura "CA".. Los certificados emitidos por estas entidades solo tienen la característica de ser reconocidos por navegadores de internet como Firefox, Safari, Opera, Internet Explorer, Chrome y… son considerados válidos.. De lo contrario, si accedes a una página a través de una dirección SSL que tiene un certificado perteneciente a otro dominio o un certificado "autofirmado" instalado, o si no hay un certificado SSL en ese dominio, tu navegador mostrará una página de error, lo que significa que no podemos confirmar la seguridad de la conexión a través de esa dirección.

Dos ejemplos de la página de error en Chrome y Firefox

¿Qué es SSL y para qué sirve?

"TLS" o su nombre anterior SSL es un protocolo o parte de la red que te permite establecer una conexión segura con un servidor.

Cada vez que abres una ventana web y accedes a un sitio web, se transfieren datos como código HTML, imágenes, texto y archivos de audio desde el servidor o el proveedor del sitio a tu computadora, y también se envían datos desde tu computadora al proveedor.. En situaciones donde esta información es poco importante, como cuando lees los artículos de un sitio de noticias o dejas un comentario público, su divulgación no debería ser un gran problema, pero supongamos que deseas comprar algo en línea con tu tarjeta de crédito o revisar tu cuenta bancaria; en tales circunstancias, la divulgación de la información de tu tarjeta de crédito o cuenta bancaria o información personal a alguien que no seas tú o al sitio web al que se van a transferir los datos puede crear riesgos, y esta es precisamente la razón por la cual hace casi dos décadas se diseñó SSL para comunicaciones más seguras.

En situaciones donde accedes a un sitio a través del puerto 80 o con la dirección "HTTP", si un intruso logra situarse entre tu computadora y el servidor del sitio, o incluso tu proveedor de servicios de internet puede acceder fácilmente a la información intercambiada, pero si estableces la conexión a través de una dirección segura, primero se cifra la conexión entre tu computadora y el servidor, y esta cifra es prácticamente irrompible, y luego cualquier información que se intercambie solo será identificable a través del servidor del sitio o tu computadora, es decir, suponiendo que tu proveedor de internet o incluso un gobierno quiera revisar tus comunicaciones; esta información no será recuperable hasta que tengan acceso a tu computadora o al servidor del sitio web de destino.

Cómo utilizar SSL para acceder a un sitio web

Para una conexión segura con un sitio web, en lugar de "HTTP" al principio de su dirección de internet, debes escribir "HTTPS".. Esta letra "S" al principio de la dirección es la abreviatura de la palabra "Secure", que significa seguro, y la información que se intercambia a través de este medio será cifrada.. Para que un dominio de internet pueda tener una dirección segura, debe comprar un certificado SSL de una empresa "CA". (Como esta misma empresa holandesa que fue atacada.) Y debe instalarlo en el servidor del sitio.

Si compras en línea con tarjeta de crédito, debes ingresar la información de la tarjeta solo en páginas seguras; sin embargo, la mejor manera de realizar compras en línea es usar "PayPal", que pertenece a la empresa "eBay" y transfiere la información de manera segura automáticamente.

https (en inglés)://www.paypal.com/

Usar PayPal es completamente gratuito y, además, asegura tus compras de manera limitada, pero si no hay opción de comprar con PayPal, debes ingresar tu información sensible solo en páginas seguras.

Además de la transferencia de dinero, a veces la transferencia de información es igual de importante e incluso más.. Por ejemplo, cuando deseas acceder a un sitio web que requiere un código de acceso, es mejor ingresar tu nombre de usuario y contraseña en la página segura.. Muchos sitios web abren automáticamente sus páginas de manera segura (como el mismo PayPal cuyo enlace compartí) En algunos sitios web, también es posible acceder tanto a la página segura como a la normal, y esto depende de la configuración realizada por los administradores del sitio.. Recuerda que tener un certificado seguro no significa que la transferencia de información sea segura, y si accedes a un sitio web que también tiene una dirección segura a través de la normal, hasta que no uses la dirección segura, ese sitio no será diferente de otros.. En algunos casos, un sitio web que es accesible de ambas maneras te permite activar permanentemente la opción segura o SSL en tu navegador al ingresar a ese sitio.

Cómo comprar certificados SSL

Hay empresas reconocidas que venden certificados SSL a los propietarios de sitios web.. Estas empresas obtienen información del comprador para saber que el certificado será emitido para un sitio web legítimo.

Algunos certificados emitidos son más válidos que otros y se emiten solo para empresas, a estos certificados se les llama. "EV". Dicen que la única diferencia de este tipo de certificado es que también se verifica la validez del registro de la empresa, y al ingresar a estos sitios, la barra de dirección de tu navegador se vuelve verde.. Algunos certificados no tienen validez y cualquier propietario de un sitio web que tenga acceso a la configuración del servidor puede emitir un certificado para sí mismo, a estos certificados se les llama "self-signed". El problema de este certificado es que no son reconocidos por los navegadores web y al ingresar. (como las dos imágenes que he puesto arriba. )Se mostrará un mensaje de error, pero todos los tipos de certificados son similares en funcionamiento.

Si tienes un sitio web y solo deseas usar esta dirección para tu propia seguridad al conectarte al servidor, puedes indicarle a tu navegador que haga una excepción para el certificado de esa página, y al ver el mensaje de error y después de presionar el botón de confirmación, cada vez que ingreses nuevamente a ese sitio web, no se mostrará el mensaje de error. Sin embargo, este tipo de certificado no es adecuado para un sitio web público.. Desde un punto de vista técnico, todos los certificados SSL funcionan de la misma manera y no hay diferencia en su funcionamiento, por lo tanto, la única responsabilidad de las empresas emisoras de certificados es verificar la validez del comprador.

En el pasado, solo las empresas legítimas podían tener un certificado SSL en su sitio web, pero con el tiempo, al igual que cualquier otra tecnología, el uso de SSL se ha vuelto más común, de tal manera que actualmente cualquier propietario de un sitio web puede comprar un certificado si lo necesita.. Si tienes un sitio web y utilizas hosting compartido, puedes solicitar a tu proveedor de hosting que compre e instale un certificado SSL para ti.. Además, debes obtener una IP separada para cada dominio o subdominio en el que se instale el certificado.. Si administras tu propio servidor, las opciones de elección son aún mayores y puedes pedir directamente a un emisor de certificados que te emita un certificado SSL en lugar de a la empresa de hosting.

La historia del reciente abuso

Cualquier usuario que quiera conectarse a Internet desde dentro de Irán está obligado a usar los servicios de Internet estatales. Esto significa que el régimen islámico tiene acceso a toda la información transferida desde las páginas normales, pero al utilizar servicios como "Gmail", se ha facilitado que los usuarios puedan transferir su información y la República Islámica, al tener acceso a todos los canales de comunicación, no pueda revisar o controlar esta información, y por lo tanto, el régimen islámico ha visto tres caminos ante esta situación.

El primer camino es que, al igual que todos los países libres del mundo que respetan las libertades personales de sus ciudadanos, se abstengan de la vigilancia y el espionaje en la vida privada de las personas.. que, por supuesto, no concuerda con la naturaleza del sistema islámico

El segundo camino es cortar el acceso a servicios como Google, que aparentemente no lo han considerado adecuado en la situación actual debido a sus efectos negativos en la publicidad y han decidido no llevarlo a cabo

Queda el tercer camino, que es el camino del fraude, engaño y trampa, y está en fuerte armonía con la esencia del sistema sagrado. Para este propósito, al infiltrarse en una empresa emisora de certificados SSL, primero falsificaron varios certificados solo con el objetivo de que los navegadores de los usuarios iraníes no mostraran mensajes de error al encontrarse con estos certificados y los reconocieran como válidos, luego utilizando una técnica llamada "MITM" o "hombre en el medio", en lugar de descifrar la información encriptada, que es prácticamente imposible, reemplazaron la información del usuario real con su propia información. Es decir, en realidad el usuario se conecta al servidor de la República Islámica con un SSL falsificado y en lugar de encriptar con el sitio web de destino, lo hacía con ese servidor, y como el certificado falsificado fue emitido por una empresa holandesa confiable que estaba en la lista de empresas autorizadas por los navegadores, el navegador tampoco mostraba mensajes de error; el servidor de los señores también encriptaba simultáneamente como un usuario normal con el servidor real que era el destino del usuario iraní, por lo tanto, el usuario iraní enviaba información al servidor estatal en Irán y el servidor de la computadora de destino también transfería la información a las computadoras estatales de Irán, y solo la velocidad de transferencia de información disminuía un poco. Por supuesto, este método no era posible para todos los sitios que utilizan el protocolo SSL y solo seleccionaron algunos sitios web

La lista de sitios web para los cuales se emitieron certificados y el número de certificados falsificados Desde aquí Se puede ver

CN=*.*.com 1

CN=*.*.org 1

CN=*.10million.org 2

CN=*. JanamFadayeRahbar.com 1

CN=*. RamzShekaneBozorg.com 1

CN=*. SahebeDonyayeDigital.com 1

CN=*.android.com 1

CN=*.aol.com 1

CN=*.azadegi.com 1

CN=*.balatarin.com 3

CN=*.comodo.com 3

CN=*.digicert.com 2

CN=*.globalsign.com 7

CN=*.google.com 26

CN=*.logmein.com 1

CN=*.microsoft.com 3

CN=*.mossad.gov.il 2

CN=*.mozilla.org 1

CN=*.skype.com 22

CN=*.startssl.com 1

CN=*.thawte.com 6

CN=*.torproject.org 14

CN=*.walla.co.il 2

CN=*.windowsupdate.com 3

CN=*.wordpress.com 14

CN=Comodo Root CA 20

CN=CyberTrust Root CA 20

CN=DigiCert Root CA 21

CN=Equifax Root CA 40

CN=GlobalSign Root CA 20

CN=Thawte Root CA 45

CN=VeriSign Root CA 21

CN=addons.mozilla.org 17

CN=azadegi.com 16

CN=friends.walla.co.il 8

CN=login.live.com 17

CN=login.yahoo.com 19

CN=my.screenname.aol.com 1

CN=secure.logmein.com 17

CN=twitter.com 19

CN=wordpress.com 12

CN=www.10million.org 8

CN=www.Equifax.com 1

CN=www.balatarin.com 16

CN=www.cia.gov 25

CN=www.cybertrust.com 1

CN=www.facebook.com 14

CN=www.globalsign.com 1

CN=www.google.com 12

CN=www.hamdami.com 1

CN=www.mossad.gov.il 5

CN=www.sis.gov.uk 10

CN=www.update.microsoft.com 4

چک سفید امضا

Los dos primeros certificados que se emitieron a sí mismos son en realidad un cheque en blanco

CN=*.*.com 1

CN=*.*.org 1

De hecho, para cada dominio ".com" o ".org" podían crear acceso con estos dos certificados. Por supuesto, el riesgo de usar estos dos certificados es alto y tan pronto como se revisen, se revelará el error. Probablemente emitieron estos dos certificados solo para asegurarse, porque de lo contrario no habría necesidad de emitir muchos certificados

Servidores de oración

Entre los certificados falsificados, estos pocos probablemente fueron para descargar software manipulados por usuarios iraníes o para actualizar software antiguo de los usuarios

CN=*.android.com 1

CN=*.microsoft.com 3

CN=www.update.microsoft.com 4

CN=*.mozilla.org 1

CN=addons.mozilla.org 17

Si está utilizando las instalaciones de Microsoft en Irán, por ejemplo, tiene Windows Vista, Seven o el navegador Internet Explorer y no ha desactivado las actualizaciones automáticas; además, si está utilizando el sistema operativo Android de Google y los navegadores Firefox y Chrome; debe saber que probablemente en los últimos meses, en lugar de estas empresas, los servidores estatales de Irán se han encargado de actualizar su software, y por supuesto, lo que estas actualizaciones incluyen; si solo se relaciona con la configuración del certificado SSL o si también instalaron programas espía; desafortunadamente, aún no está claro, pero es suficiente que incluso han ido a la sección de complementos y extensiones

En la línea de la autoridad

Estos pocos certificados pertenecen a servicios de blogs, redes sociales o servicios de correo electrónico que probablemente han almacenado toda la información de los usuarios iraníes, incluidos contraseñas y escritos privados

CN=www.facebook.com 14

CN=www.google.com 12

CN=wordpress.com 12

CN=*.aol.com 1

CN=*.azadegi.com 1

CN=*.balatarin.com 3

CN=*.logmein.com 1

CN=login.live.com 17

CN=login.yahoo.com 19

CN=my.screenname.aol.com 1

CN=secure.logmein.com 17

CN=www.cybertrust.com 1

CN=www.Equifax.com 1

CN=*.skype.com 22

Gmail, Yahoo y AOL son empresas que ofrecen servicios de correo electrónico, por lo tanto, es mejor que a partir de ahora no se transfiera ninguna información importante a través de estos servicios

Facebook, Twitter, Dandelion y Azadi son sitios de intercambio de enlaces y redes sociales. El certificado del sitio de WordPress también ha sido falsificado y probablemente la información de sus usuarios también ha sido robada, y por supuesto, este asunto no tiene relación con el sistema de gestión de contenido de WordPress o los sitios que utilizan el programa de WordPress.. Se falsificaron varios certificados para el servicio de chat en línea, proxy y servicio de almacenamiento de archivos.

Certificados SSL válidos.

También se crearon algunos certificados para las empresas emisoras de certificados SSL, que probablemente tenían la intención de emitir al menos parte de los nuevos SSL ellos mismos o tener acceso a su información.

CN=Comodo Root CA 20

CN=CyberTrust Root CA 20

CN=DigiCert Root CA 21

CN=Equifax Root CA 40

CN=GlobalSign Root CA 20

CN=Thawte Root CA 45

CN=VeriSign Root CA 21

¿Quiénes no deberían estar preocupados en la situación actual?

Si usted es simplemente un usuario común de cualquiera de los sitios mencionados y de vez en cuando pasa su tiempo insultando al sistema sagrado; no hay razón para preocuparse.. Porque hoy en día casi toda la nación iraní hace lo mismo que usted, y suponiendo que hayan almacenado la información de los usuarios iraníes, no hay forma de clasificar y extraer la información de varios millones de usuarios.. Asustar a la gente común es el objetivo principal de este robo vergonzoso.

¿Quiénes deberían estar preocupados?

1. Si usted es un activista cultural o político y cree que sus comunicaciones personales pueden estar bajo control; lamentablemente, con la situación actual, hay una buena razón para estar preocupado.
2. Si ha enviado información para el Ministerio de Relaciones Exteriores de Israel o para sitios web como dehmillion.org, es mejor que busque una nueva dirección para usted.. En cuanto al envío de un cheque de diez millones de dólares de los israelíes a la dirección anterior, no se preocupe, ya que hay la misma probabilidad de que el gobierno de Israel le dé diez millones de dólares que de que la República Islámica invierta ese mismo dinero en un negocio rentable para usted.!
3. Si usted es un espía y ha enviado información desde Irán a cualquiera de estos formularios, también necesita un agujero de ratón de inmediato.! Además de un agujero de ratón, es mejor que busque un trabajo en el que tenga talento, ya que ninguna persona sensata envía información a estos sitios desde Irán.

https (en inglés)://www.cia.gov/cgi-bin/comment_form.cgi

https (en inglés)://www.mossad.gov.il//persian/ContactUs.aspx

https (en inglés)://www.sis.gov.uk/form/

CN=*.mossad.gov.il 2

CN=www.cia.gov 25

CN=www.mossad.gov.il 5

CN=www.sis.gov.uk 10

¿Cuál es la solución?

Lamentablemente, no hay una solución definitiva ni en el presente ni probablemente en el futuro.. Tecnologías como "SSL" se crearon únicamente para prevenir ataques de hackers durante el pago o la divulgación de información personal, y probablemente sus creadores ni siquiera imaginaron que un gobierno extranjero, con acceso a toda la infraestructura y comunicaciones de internet, querría robar la información de millones de sus ciudadanos.

Nuestros antepasados, durante la Revolución Constitucional, con solo una línea de telégrafo que a veces se cortaba durante semanas y con la posibilidad de volver a leer todos sus mensajes, llevaron a cabo un movimiento político en Teherán, Rasht y Tabriz utilizando mensajes codificados.. En el período anterior a la Revolución Islámica, las condiciones no habían cambiado mucho, y estos revolucionarios, ya fueran de izquierda, islamistas o muyahidines, a veces ideaban métodos sorprendentes para comunicarse y, en ocasiones, pagaban altos costos por transmitir un simple mensaje.. Sin embargo, si usted es un activista político y espera comunicarse con una organización política o de derechos humanos de la misma manera que envía un mensaje a su prima, y además desea seguridad, el problema principal radica en su avaricia y optimismo.. En ninguna época de la historia de la humanidad ha habido tantas facilidades para la comunicación como las que existen en nuestra era; solo considere el hecho de que usted está conectado a internet. (Con cualquier grado de limitación que se haya impuesto.) Esto significa que tiene acceso a un mundo de conocimiento y recursos.

A continuación, intentaré escribir algunas recomendaciones breves; si alguno de los lectores de este artículo desea agregar algo o corregir mis explicaciones, puede dejar su opinión en la sección de comentarios.

Utilice servidores espejo para descargar archivos.. Como habrán notado, se han falsificado certificados para Google, Firefox y Microsoft.. Por lo tanto, si está en Irán, es mejor no descargar ningún programa de estos servidores ni actualizar ningún programa a través de ellos.. Si realmente es necesario utilizar productos de estas empresas, puede buscar otros servidores alternativos; probablemente hay cientos y miles de otros sitios web en internet que tienen direcciones seguras y han almacenado estos programas en sus servidores; por ejemplo, puede descargar la última versión de Firefox desde varios sitios además del sitio de Firefox.

Para su comunicación sensible, utilice sistemas operativos distintos a Windows.. Desafortunadamente, a veces se olvida que en Irán utilizamos programas pirateados.. Entre los sistemas operativos que están instalados en la mayoría de las computadoras iraníes, se encuentra el sistema operativo Windows, que casi en todos los casos no se compra a la empresa original.. Recordemos que estos programas se piratean dentro de Irán y el régimen islámico tiene una muy buena capacidad para manipular y distribuirlos.. No sabemos aún si los recientes sabotajes fueron únicamente para evitar la actualización de la información del navegador Internet Explorer para certificados falsos o si intentaron instalar programas en su sistema operativo. . Si realmente es necesario utilizar el sistema operativo Windows, puede obtener una copia de él a través de un servidor no iraní.(Que tampoco sea de Microsoft.) Puede recibirlo y, tras la instalación, utilizar programas para piratear Windows y activarlo.. Después de la instalación, también recomiendo desactivar la función de actualización automática y en su lugar instalar antivirus y firewall de otras empresas.. Lista de algunos programas de firewall y antivirus gratuitos. Aquí está Está disponible

En lo que respecta al sistema operativo, hay un método más efectivo y es utilizar sistemas operativos distintos a Windows.. Recuerde que puede instalar hasta veintiocho sistemas operativos diferentes en una "PC" y utilizar otro sistema operativo para tareas que requieren mayor seguridad, manteniendo Windows para sus actividades diarias.. Los sistemas operativos basados en Linux, además de ser gratuitos, ofrecen mayor seguridad.. Uno de estos buenos programas Sistema operativo Ubuntu es gratuito, no necesita ser crackeado y se puede usar una versión portátil sin necesidad de instalación.. También se han presentado otros sistemas operativos gratuitos Aquí está que no requieren instalación y se pueden ejecutar desde un CD o una "memoria USB".. Usar un programa portátil tiene la ventaja de que no se guarda nada en el historial de su computadora.

Utilice métodos, sitios web y programas que no todos utilizan.. Como saben, el servicio de Gmail es probablemente el mejor proveedor de correo electrónico público y gratuito.. El gran inconveniente de este sistema es que la mayoría de la gente lo utiliza, y por lo tanto, para la infiltración y falsificación de certificados, primero se dirigen a este.. Sin embargo, hay decenas de sitios web y proveedores de correo electrónico gratuitos con direcciones seguras y características similares que la mayoría de la gente no conoce.. Puede encontrar una lista de estos sitios web Aquí está O aquí Ver. por ejemplo, este sitio web "Fast Mail dot FM" que no utiliza dominios comunes como .com o .org, y que es accesible a través de una dirección SSL dentro del país; probablemente no sea una mala elección, o otros servicios similares que usted mismo puede encontrar con un poco de búsqueda en Google.. Esto no significa que dejes de usar Gmail, sino que es mejor considerar otras opciones para tareas que no sean diarias y personales.. De la misma manera, los navegadores Firefox y Chrome son los mejores, pero desafortunadamente son los más comunes, cuyos certificados han sido falsificados; sin embargo, en la lista de certificados falsificados no hay rastro de la empresa Apple, por lo tanto, el navegador Safari de Apple podría no ser una mala elección. . Se dice que Safari fue el último navegador en revocar los certificados falsificados y Chrome fue el primer navegador en reconocerlos.. Sin embargo, reconocer tarde es mucho mejor que nunca reconocer.! Navegador Opera También hay otro navegador que no se ha explorado.. Netscape, perteneciente a AOL, que desafortunadamente también aparece en la lista de sitios falsificados.

Aquí hay algunas direcciones de otros navegadores que probablemente no conocías.. Algunos de estos navegadores son programas muy buenos.

http://kmeleon.sourceforge.net/

http://www.avantbrowser.com/

http://www.konqueror.org/features/browser.php

http://www.dillo.org/download.html

Si eres un webmaster o propietario de un sitio personal, actualiza desde un servidor externo.. La falsificación del certificado SSL del sitio web de WordPress muestra que los falsificadores tienen un gran interés en la información de los blogueros iraníes, y este tema seguramente también se aplicará a los sitios personales.

Los sitios web que muestran su contenido a través de páginas dinámicas y activas; o utilizan un sistema de gestión de contenido personal, o en la mayoría de los casos, aprovechan sistemas gratuitos desarrollados por otros programadores. . Muchos diseñadores de pequeños sitios web o usuarios comunes usan el sistema de gestión de contenidos WordPress debido a su alta seguridad y funcionalidades( lo cual no tiene relación con el sitio de blogs WordPress). دو «سی ام اس» یا برنامه مدیریت محتوای مبتنی بر«پی اچ پی» دیگر، جوملا و دروپال می باشند وهر سه این سیستمها خوشبختانه برای کاربران فارسی زبان به فارسی ترجمه شده اند

Sin querer acusar a aquellos que trabajan arduamente sin esperar nada a cambio y traducen estos sistemas gratuitamente para los usuarios iraníes; desafortunadamente, esta posibilidad potencial existe a través de sitios en persa para la publicación de archivos manipulados.. Si usted es usuario de cualquiera de estos sistemas, puede fácilmente separar solo unos kilobytes de archivos traducidos de la última versión disponible de estos programas en los sitios web de WordPress en persa o Joomla en persa y Drupal, y simplemente transferir esos pocos kilobytes de archivos traducidos a su sitio web.. En la siguiente etapa, al agregar una línea de comando en el archivo de configuración, el panel de control de su sitio se traducirá al persa; sin necesidad de descargar todos los archivos del servidor iraní.. Para actualizar estos sistemas, cada vez que se publique una nueva versión de ellos, utilice los servidores principales.. Dado que la mayoría de los proveedores de hosting de sitios web se encuentran fuera del país y su conexión a Internet no está controlada desde Irán; por lo tanto, si los programas se actualizan a través de los servidores principales de WordPress, Joomla y Drupal, no habrá motivo de preocupación.