¿Es seguro HTTPS a través de Wi-Fi público con un certificado vencido?

Por lo tanto, fue redirigido a una página de portal cautiva que tenía un certificado caducado.

En teoría, esto pone en riesgo solo los datos que transfieres a través de esta conexión en particular, es decir. aceptando las reglas y eventualmente sus datos personales o de pago si tuviera que proporcionar alguna. De hecho, el portal cautivo no tuvo que usar la conexión https en absoluto y probablemente no lo notaría.

No introduce riesgos adicionales al hecho de que ya está utilizando una red pública, potencialmente insegura, con todas sus consecuencias.

Tenga en cuenta que estuvo en la red insegura desde el momento en que estableció la conexión, incluso antes de abrir un navegador y fue redirigido al portal.

Un certificado caducado solo significa que el certificado no se renovó tan pronto como debería haber sido. La renovación del certificado es una medida preventiva en caso de que la clave privada sea robada sin que nadie lo sepa. Reemplazar un certificado en intervalos regulares reduce la utilidad de una clave robada. Pero las fechas de vencimiento de los certificados se pueden elegir de manera bastante arbitraria. El riesgo de que alguien robara el certificado para hacerse pasar por el titular del certificado aumenta con el tiempo, pero ese riesgo no se dispara repentinamente el día en que expira el certificado.

Eso significa que las advertencias de caducidad de la certificación son un signo de malas prácticas de seguridad en el lado del propietario del sitio web, pero cuando el certificado se revisa bien de lo contrario y elige aceptarlo de todos modos, el cifrado es tan fuerte como el válido. .

HTTPS no es especialmente seguro a través de WiFi pública, independientemente del certificado, gracias en parte al Sr. Moxie Marlenspike SSL Strip.

Ni el certificado vencido ni el vencido son menos seguros a menos que estén comprometidos. La seguridad del certificado se mide en hash type + size, key algo + keyize y la capacidad de verificarlo. Si la fecha ha caducado, no caduca el certificado de CA que lo ha firmado, por lo que:

• todavía se puede verificar
• los hashes tienen la misma fuerza, así que los criptográficos también: la misma clave, el mismo algo

tienes una advertencia de caducidad. Es poco importante, pero está bien. Si el certificado permanece sin compromiso, está bien. Y si un certificado está comprometido, directa o indirectamente, se convierte en una basura inútil independientemente de de la fecha de vencimiento.