¿Qué puede hacer un certificado de confianza?

Question

¿Qué puede hacer un certificado de confianza?

#1 de Steffen Ullrich (2 votos)

1

Estoy leyendo acerca de la seguridad en aplicaciones móviles porque encontré un artículo sobre Man in the Middle Attacks.

Vi en ese artículo y en muchos otros lugares (incluido security.stackexchange), que si el usuario instala un certificado de un tercero desconocido, ese tercero puede ejercer ataques MitM en otras aplicaciones del dispositivo.

Básicamente lo que quiero entender es ¿por qué? ¿Cómo puede este certificado de terceros ser una vulnerabilidad en otras aplicaciones? Quiero entender cómo funcionan estos certificados en ese sentido.

Leí sobre las autoridades de certificación, los certificados raíz, la cadena de confianza y los asuntos relacionados, lo que me confunde aún más sobre cómo algo "autofirmado" sería una vulnerabilidad de seguridad.

¿Alguien me puede dar una breve explicación sobre cómo y por qué sucede esto? O incluso proporcionarme enlaces / libros con información relevante.

certificates man-in-the-middle certificate-authority

pregunta Rodrigo Sasaki 09.02.2016 - 02:00

fuente

1 respuesta

Lea otras preguntas en las etiquetas certificates man-in-the-middle certificate-authority

Firewall bloqueando la falsificación de IP ¿Cómo puede un atacante degradar / modificar las suites de cifrado cuando se realizan una MAC? (Freak, Logjam usa ataques de downgrade)

score 2 · Accepted Answer

Vi en ese artículo y en muchos otros lugares (incluido security.stackexchange), que si el usuario instala un certificado de un tercero desconocido. Esa tercera parte puede ejercer ataques MitM en otras aplicaciones del dispositivo.

Si instala un certificado para una agencia de certificados (no un certificado para un sitio), entonces confía plenamente en la agencia de certificados, es decir, le permite firmar certificados para cualquier otro sitio, incluso para sitios donde otras agencias ya han emitido certificados. . Y esto permite al hombre en los ataques medios.

Esto sería similar si tienes un nuevo amigo y confías plenamente en él. Si luego aparece un tipo sospechoso que dice ser su banco y presenta un documento firmado por su amigo que atestigua este reclamo, entonces le creería a este tipo solo porque confía plenamente en él. Por lo tanto, es posible que alguien se haga pasar por otra persona con la ayuda de tu amigo. Y esto hace posible que el hombre en el medio ataque, donde el hombre en el medio se hace pasar por el destino real.