Portada
mis comunidades
otras secciones
![Symantec pillada emitiendo certificado ilegítimo de Google.com [ENG]](https://cdn.mnmstatic.net/cache/25/da/media_thumb_2x-link-2480663.jpeg?1442700666)
#1:
Si yo fuera google, haría que chrome dejara de aceptar los certificados firmados por Symantec. Deste ya mismo.
#5:
En realidad soy de los que piensa que las explicaciones de Symantec son creíbles.
Lo preocupante es lo de siempre, cuántas personas en Symantec tienen acceso a generar certificados válidos. Así como en otras compañías hasta el becario tiene las claves de acceso a los servidores principales de la compañía, es más que posible que suceda lo mismo en Symantec.
Lo preocupante es lo de siempre, cuántas personas en Symantec tienen acceso a generar certificados válidos. Así como en otras compañías hasta el becario tiene las claves de acceso a los servidores principales de la compañía, es más que posible que suceda lo mismo en Symantec.
#16:
#10 "ya que cualquier usuario podría crear un certificado válido"
Cualquiera puede crear un certificado válido. El problema es la confianza del mismo. Y la confianza se la da el propio usuario, muchas veces viene refrendado por el sistema operativo que ya viene con unas agencias de certificación como confiables por defecto.
Un ejemplo muy vistoso son los certificados de la Administración del estado, los certificados son válidos y el sistema operativo no los detecta como confiables porque el Estado no puede delegar esa tarea a una empresa privada de reconocimiento internacional. Pero aun así, son válidos, y son cofiables si así se lo estableces en el sistema operativo/navegador. Igual sucede con los que creas tú mismo en casa. No existe un certificado más válido y confiable para ti, que el creado por ti mismo.
Cualquiera puede crear un certificado válido. El problema es la confianza del mismo. Y la confianza se la da el propio usuario, muchas veces viene refrendado por el sistema operativo que ya viene con unas agencias de certificación como confiables por defecto.
Un ejemplo muy vistoso son los certificados de la Administración del estado, los certificados son válidos y el sistema operativo no los detecta como confiables porque el Estado no puede delegar esa tarea a una empresa privada de reconocimiento internacional. Pero aun así, son válidos, y son cofiables si así se lo estableces en el sistema operativo/navegador. Igual sucede con los que creas tú mismo en casa. No existe un certificado más válido y confiable para ti, que el creado por ti mismo.
#20:
#12 #5 «Nunca atribuyas a la maldad lo que puede ser explicado por la estupidez»
https://es.wikipedia.org/wiki/Principio_de_Hanlon
https://es.wikipedia.org/wiki/Principio_de_Hanlon
Comentarios
Si yo fuera google, haría que chrome dejara de aceptar los certificados firmados por Symantec. Deste ya mismo.
#1 pues el chrome es durisimo: no te permite aceptar certificados invalidos ni con intervención del usuario
Los autofirmados hay que meterselos a mano antes
En realidad soy de los que piensa que las explicaciones de Symantec son creíbles.
Lo preocupante es lo de siempre, cuántas personas en Symantec tienen acceso a generar certificados válidos. Así como en otras compañías hasta el becario tiene las claves de acceso a los servidores principales de la compañía, es más que posible que suceda lo mismo en Symantec.
#5 Esa es la cuestión, la infraestructura de clave pública es tan o más importante, en este caso claramente más, que las claves del banco. El par maestro debería de ser única y exclusivamente accesible por el gerente de la empresa y quizas alguna otra personas de muchísima confianza.
Pero claro, es que ellos son expertos en gestión.
#5 Ante un error causado por un humano, si tienes que elegir entre justificarlo por maldad o estupidez, escoje siempre lo segundo. Acertarás en más del 95% de las ocasiones.
.
Y lo dice un "experto" en HCI
#12 #5 «Nunca atribuyas a la maldad lo que puede ser explicado por la estupidez»
https://es.wikipedia.org/wiki/Principio_de_Hanlon
#20 Eeeso era... Sabía que lo había oído antes. Gracias.
#20 "Nunca atribuyas a la estupidez lo que pueda ser explicado por la maldad"
Principio de MMCNET.
#12 hci?
#23 Human-Computer Interaction, la disciplina científica dedicada al estudio -y mejora- de la comunicación entre seres humanos y sistemas informáticos:
https://es.m.wikipedia.org/wiki/Interacci%C3%B3n_persona-computadora
#5 Pues a mí no me convence la explicación. Si realmente son certificados de prueba como dicen que narices hacen usando la CA válida que tiene todo el mundo. Creas otro certificado de CA para las firmas de prueba y lo instalas internamente allá donde quieras hacer las pruebas, así aunque alguien firme algo con ese certificado y se filtre no lo aceptará nadie más.
#18 Sactamente. La clave de "real" debe estar un en servidor rodeado de aire.
#5 ¿Creíbles?.
Creíble es que esté colaborando con alguna "agencia de seguridad", para algo, como poco, turbio.
Si te crees lo que dicen, se les puede describir con un adjetivo, chapuceros.
Sea como fuere, queda claro que NO SON DE FIAR.
On September 14, around 19:20 GMT, Symantec’s Thawte-branded CA issued an Extended Validation (EV) pre-certificate for the domains google.com and www.google.com. This pre-certificate was neither requested nor authorized by Google.
Hay una posible "solución" para dificultar que pasen estas cosas. Extender la especificación del sistema de certificados para permitir que sus dueños puedan forzar el firmado múltiple por distintas autoridades de certificación.
Es decir, que cuando el navegador se descarga la información sobre el certificado, este pueda "entender" algún mensaje adjunto indicándole que a partir de ese momento, y para ese dominio, solo acepte certificados firmados por, no sé, digamos 2 o 3 entidades certificadoras, en vez de por solo una.
Esta extensión no sería ideal, admite posibles "ataques", pero si los primeros pasos del protocolo se siguen sin un ataque, a partir de ese momento la seguridad aumenta (y no es peor que antes de introducir esa modificación).
#8 Tienes razón, esa solución incrementa en cierta medida la certeza del usuario. Yo personalmente creo más en una tercera figura en la escala de confianza.
Las notarías digitales, que se ocupen de decir en tiempo real si un certificado es válido o no, es el sistema en el que se basa Convergence de Moxie Marlinspike.
Esas entidades serían independientes de las CA y se dedicarían en exclusiva a detectar problemas en los certificados, de esta manera también harían desaparecer el oligopolio de las CA ya que cualquier usuario podría crear un certificado válido ya que serían las notarías las que avalasen su validez.
#10 "ya que cualquier usuario podría crear un certificado válido"
Cualquiera puede crear un certificado válido. El problema es la confianza del mismo. Y la confianza se la da el propio usuario, muchas veces viene refrendado por el sistema operativo que ya viene con unas agencias de certificación como confiables por defecto.
Un ejemplo muy vistoso son los certificados de la Administración del estado, los certificados son válidos y el sistema operativo no los detecta como confiables porque el Estado no puede delegar esa tarea a una empresa privada de reconocimiento internacional. Pero aun así, son válidos, y son cofiables si así se lo estableces en el sistema operativo/navegador. Igual sucede con los que creas tú mismo en casa. No existe un certificado más válido y confiable para ti, que el creado por ti mismo.
#16 Cuando dije "válido" pensaba que se sobreentendía que me refería a "de confianza".
Hoy por hoy tú puedes generar tantos certificados igual de seguros matemática y criptográficamente hablando como cualquier CA, pero nadie confiará en ellos.
Si entiendes el modelo que propone Moxie entenderás a lo que me refiero.
#17 No puedo sobreentender que cuando dices A quieras decir NO A y B, como seguro que comprendes.
#27 ¡¡A por todas en esta vida, campeón!!
#17 ¿nadie? Confiarás tú mismo y quien confíe en ellos
no es la primera CA que cae en bancarrota por emitir un certificado digital inválido
certificate transparency y eso que se pasan por el forro
http://i.imgur.com/v0ulKWY.jpg
Los cetificados digitales son un buen invento implementados por el demonio en persona. LA PUTA MIERDA MÁS GRANDE DE ESTE UNIVERSO.
Habiendo comprado varios certificados a Symantec, debo decir que no estoy nada impresionado con las verificaciones que hacen.
Incluso el "extended validation" no implica ninguna visita fisica al comprador. Es que no sé qué es lo que validan. Todo se limita a unas llamadas a unos números de teléfono que sacan de un directorio comercial. Bastaría con tener acceso al switch de telefonía (que es una cosa que no se audita) para desviar esas llamadas al estilo Las Vegas, y obtener un certificado con el nombre que quieras.
#25 en los EV esto parece más comun de lo que te imaginas. Incluso en la CA para la que trabajo, los EV no requieren personación. Al final se suele validar una entidad mas que un individuo
Era de noche, habían tomado unas cuantas copas de más, una cosa llevó a la otra...
Poned Linux y olvidaros.
La cantidad de certificados falsos que debe de haber rondando por ahí en manos de agencias públicas o empresas especializadas en espionaje a ciudadanos y organizaciones.
Es monstruoso.
Véase el final de la noticia y el comunicado de Symantec: http://www.symantec.com/connect/blogs/tough-day-leaders
Anda que la entidad holandesa (cerró) que autorizó unos para que el gobierno iraníes siguiera a unos disidentes
Symantec tu antes molabas
omaigor!