En un sitio "no crítico", ¿hay alguna razón para NO confiar en un certificado autofirmado?

Question

En un sitio "no crítico", ¿hay alguna razón para NO confiar en un certificado autofirmado?

#1 de Steffen Ullrich (3 votos)
#2 de dr jimbob (3 votos)
#3 de Phil Lello (1 votos)

4

Hay muchos sitios que tienen certificados autofirmados ("no confiables" en Firefox). Entonces tengo la opción de confiar en ellos o no. Si no confío en ellos, puedo abandonar el sitio o solo visitar el sitio sin cifrar.

Lo sé, hay casos en los que no debería usar el sitio en absoluto si existe el menor riesgo de "ser observado" (banca en línea, compras, etc.). Entonces, la pregunta es más como: en sitios web no críticos, por ejemplo, sitios que solo leo (noticias o blogs, por ejemplo), ¿hay alguna razón para no confiar en un certificado autofirmado? En el peor de los casos, "Me observan", que podría ser de todos modos si utilizara HTTP sin cifrar.

web-browser tls certificates http trust

pregunta Foo Bar 09.05.2014 - 19:55

fuente

3 respuestas

Lea otras preguntas en las etiquetas web-browser tls certificates http trust

PHP IP check as security? ¿Hay alguna alternativa disponible para RSA? ¿Es la web todavía visible para la NSA?

score 3 · Answer 1

Firefox tuvo una vez un error, donde la confianza no se aplicó al sitio + certificado, sino solo al certificado. P.ej. Si tenía un certificado autofirmado con un nombre común de example.org pero un nombre alternativo sujeto de paypal.com y el usuario visitó su sitio example.org y aceptó el certificado autofirmado, entonces este certificado se podría usar de manera transparente interceptar paypal.com , por ejemplo no más preguntas o advertencias emitidas.

Los errores como estos tienden a resurgir de vez en cuando (especialmente cuando alguien escribe una nueva pila TLS), por lo que aceptar certificados autofirmados puede dar lugar a problemas graves.

Aparte de eso, el uso de certificados autofirmados simplemente enseña a las personas a ignorar estas advertencias de seguridad (que la mayoría no entiende).

score 3 · Answer 2

Un certificado no confiable es al menos tan seguro como HTTP no cifrado, de hecho es un poco más seguro que los escuchas pasivos que no pueden escuchar.

Nota con certificados que no son de confianza (donde no hace nada para validar que el certificado esté correctamente vinculado al sitio web), un espía activo podría lanzar fácilmente un ataque Man in the Middle y escuchar a escondidas (alterando el certificado con uno que ellos controlan). Así que no es mucho mejor.

La desventaja de los certificados que no son de confianza es que su navegador se quejará en voz alta acerca de su uso (como debería) y no hay razón para usarlo. Además, no es difícil obtener un certificado firmado correctamente de forma gratuita en estos días (por ejemplo, startssl.com; se le otorgará que lo actualice cada año).

Si un usuario tenía la intención de ir al sitio de confianza, pero encontró que fue reemplazado por un certificado no confiable, el usuario no debería confiar en que su conexión no está siendo escuchada a escondidas, es decir, regresó a la seguridad de HTTP (siendo ninguno ).

score 1 · Answer 3

Sí, y no es técnico, es psicológico. Cada vez que usted, yo o cualquier otra persona acepte un certificado sospechoso, nos volveremos menos resistentes a hacerlo la próxima vez. Tarde o temprano, algo malo sucede.

Desde el punto de vista técnico, deseo que los navegadores indiquen el primer GET y antes de cada POST: un usuario podría comenzar a leer solo un sitio, interesarse en el contenido y luego registrarse para leer más. / comente y olvide que previamente habían incluido en la lista blanca un certificado sospechoso.