Certificados autofirmados para https

Question

Certificados autofirmados para https

#1 de mricon (10 votos)
#2 de Thomas Pornin (4 votos)
#3 de Ayrx (2 votos)

3

Donde trabajo, actualmente para sitios internos, se utilizan certificados autofirmados. En Firefox, se muestra la información sobre el certificado:

site domain: example.com
Owner: Site doesn't supply owner info
verified by: company name

Tengo curiosidad por saber qué tan vulnerables son los certificados autofirmados para un hombre en el ataque central, como la tira SSL. La vulnerabilidad obvia que se me ocurre es que los usuarios estarían acostumbrados a confiar en el certificado, por lo que una tira SSL no generaría ninguna advertencia nueva en Firefox (corríjame si me equivoco). También en un hombre en el ataque central, ¿es posible que el atacante muestre el mismo certificado exacto a los usuarios finales (también verificado por: el mismo nombre de la empresa)?

tls certificates

pregunta marcwho 09.04.2013 - 15:37

fuente

3 respuestas

4

Un certificado autofirmado es un certificado que no es verificable debido a que está firmado por una CA de confianza. Por lo tanto, debe poder verificar que este es el certificado "correcto" por algún otro medio. De lo contrario, un atacante podría redirigir su conexión a un servidor falso (con un otro certificado autofirmado) y desde allí ejecutar un ataque de man-in-the-middle .

Si puede asegurarse una vez de que el certificado autofirmado es correcto, entonces puede instalarlo en el "almacén de confianza" de su navegador, lo que garantizará la seguridad de todas las conexiones posteriores (* ). En gran medida, esto imita el habitual modelo de seguridad SSH , con el que los administradores de sistemas Unix están muy satisfechos. Una forma posible, para que la primera conexión, verifique que el certificado enviado por el servidor sea el correcto, es pedirle a su navegador que muestre la "huella digital" del certificado (un valor de hash calculado sobre todo el certificado) y llamar al servidor esperado sysadmin para la comparación con la huella digital de referencia.

(*) Tenga en cuenta el punto difícil: la seguridad está garantizada siempre y cuando nunca acepte un certificado autofirmado no verificado, ¡preste atención a las advertencias del navegador!

respondido por el Thomas Pornin 09.04.2013 - 15:49

fuente

2

Siempre que agregue su certificado autofirmado al almacén de confianza de los navegadores, un certificado autofirmado es para todos los efectos exactamente igual que un certificado firmado por una autoridad de certificación.

respondido por el Ayrx 09.04.2013 - 15:40

fuente

Lea otras preguntas en las etiquetas tls certificates

¿Iniciar sesión con el correo electrónico es más seguro que un nombre de usuario? BLOQUEO DE PING: ¿Cómo hacerlo? ¿Cómo romper?

score 10 · Accepted Answer

En lugar de utilizar certificados autofirmados para sitios internos, le sugiero que configure una CA interna y la use para firmar solicitudes de certificado. Puede importar el certificado de su CA en cada navegador utilizado internamente (ya sea manualmente o por medio de mecanismos de implementación automatizados) y esto debe ser tan bueno para la seguridad como el uso de certificados emitidos por una CA importante, siempre y cuando tome las medidas adecuadas para proteger el sistema. utilizado para firmar solicitudes de certificado.

Esta es una solución mucho mejor que los certificados autofirmados y, dependiendo de su entorno, es posible que su controlador de dominio ya ofrezca servicios de CA (MS Active Directory, FreeIPA, etc.).