meneame

#25 #30 Si queréis ver un listado de los navegadores y sistemas en los que os deberían funcionar los certificados emitidos por Let's Encrypt echadle un ojo a este enlace https://community.letsencrypt.org/t/which-browsers-and-operating-systems-support-lets-encrypt/4394

En el caso concreto de Android os funcionará siempre y cuando la versión de este sea 2.3.6 o superior.

meneame

#61 Pero eso te va a pasar con cualquier entidad certificadora, no creo que la misión de una CA sea estar vigilando qué hace cada uno de los dominios que ha certificado durante la vigencia de ese certificado, no es su papel en este juego. Para eso, los navegadores están implementando mecanismos para avisarte cuando han detectado que un sitio puede ser potencialmente peligroso, Chrome y Firefox lo hacen (supongo que otros también lo harán), y si no recuerdo mal, ambos usan la Safe Browsing API de Google https://developers.google.com/safe-browsing/

meneame

#44 Yo lo veo al revés, evidentemente si eres un administrador esto puede facilitarte la vida para mantener las conexiones seguras con los servicios que provees, pero yo la relevancia realmente se la veo para el usuario de a pie, somos esos usuarios los que nos vamos a beneficiar de que más sitios implementen certificados para cifrar nuestras conexiones y saber que realmente estamos accediendo al sitio que queremos conectar.

M

#59 Si si... si yo me puedo crear una pagina hoy que sea perfectamente legal, donde venda comida para lemures, y una vez que tenga el certificado, zas! la cambio de arriba a abajo

Por supuesto, me detectaran, y me revocaran el certificado, pero hasta que se den cuenta...

meneame

#61 Pero eso te va a pasar con cualquier entidad certificadora, no creo que la misión de una CA sea estar vigilando qué hace cada uno de los dominios que ha certificado durante la vigencia de ese certificado, no es su papel en este juego. Para eso, los navegadores están implementando mecanismos para avisarte cuando han detectado que un sitio puede ser potencialmente peligroso, Chrome y Firefox lo hacen (supongo que otros también lo harán), y si no recuerdo mal, ambos usan la Safe Browsing API de Google https://developers.google.com/safe-browsing/

D

#61 No obstante el certificado asegura al usuario que esa página que parece pertenecer a su banco es realmente el dominio "comidaparalemures.com".

El error es asumir que el usuario tiene que creerse sin más la identidad que consta en el certificado. El usuario tiene que ser responsable de comprobar si el dominio que está visitando es de quien dice ser. Ahí la ICANN cobra más importancia que la propia identificación que conste en el certificado.

meneame

#51 Por poder puedes solicitarlo pero te lo van a denegar (siento que ese man in the middle o sandwich que le quieres hacer a tu vecina no vaya a poder ser).

Cuando pides los certificados se siguen unos pasos para validar que controlas el dominio para el que pides el certificado.