Si usa sitios seguros con certificados de validación extendida ¿Cuánto tiene todavía que preocuparse por los sitios de phishing que se hacen pasar por ellos?

1

estaba reflexionando sobre el tema de proteger a los usuarios de los sitios de phishing que roban contraseñas cuando una pregunta interesante que no se me había ocurrido antes apareció en mi cabeza:

Supongamos que decido tomar Chromium, Firefox u otro navegador de código abierto y realizar una pequeña modificación en sus capacidades: lo modifico para que solo cargue sitios que tengan Certificados de validación extendida , para verificar que la página / sitio sea realmente de la organización / entidad de la que pretende ser. Definitivamente, este navegador especial para sitios de EV no será no destinado a la mayoría de los navegadores diarios "normales", sino solo para visitar & inicie sesión en sitios muy confidenciales que uno realmente quiere proteger contra el robo de credenciales basado en suplantación de identidad (phishing) / suplantación. (Banca y otras finanzas, correo electrónico, etc.)

En segundo lugar, digamos que luego creo una política de uso (para los usuarios de una organización para la que trabajo, o incluso solo para mí) que dice que solo se puede acceder a esos sitios confidenciales solo en mi Navegador solo para EV Tal vez incluso haga de mi navegador de sitios EV solo el predeterminado que carga cualquier enlace que un usuario pueda hacer sin pensar en email & Aplicaciones de mensajería, solo para proporcionar la protección más completa contra las tácticas de phishing de inicio de sesión falsas que puedo.

Entonces, desde un punto de vista práctico *, ¿un usuario estaría efectivamente a salvo del phishing de suplantación de sitios si solo visitara sitios confidenciales en mi navegador solo para EV?

O, dicho de otra manera, si un usuario se asegura de que solo usa sitios confidenciales que tienen certificados de Validación extendida, ¿está a salvo de ataques de phishing que usan sitios de impostores para robar las credenciales del usuario?

* Tenga en cuenta mi uso de la frase "desde un punto de vista práctico". Obviamente, desde un punto de vista teórico, un Bad Guy podría obtener una autoridad cert para emitirle un certificado EV que podría ser utilizado para un sitio impostor. Pero, ¿es eso algo que realmente ocurre en la naturaleza hoy?

    
pregunta mostlyinformed 23.10.2015 - 10:08
fuente

1 respuesta

2
  

digamos que luego creo una política de uso (para los usuarios de una organización para la que trabajo, o incluso solo para mí) que dice que solo se puede acceder a esos sitios confidenciales en mi navegador especial solo para EV.

No creo que valga la pena el esfuerzo.

El mantenimiento de un navegador es muy difícil.

También: creo que enseñar a los usuarios a "usar ese navegador para ese sitio!" podría ser tan difícil como enseñarles: "¡busca el candado verde!" - Aunque esto podría solucionarse si solo colocas marcadores en sus escritorios que abren un sitio con uno u otro navegador.

Aún: si en realidad tiene una lista de sitios tan conocidos como sensibles, entonces también podría hacer algo como configurar Nagios para que le avise sobre los cambios de certificado. Esto tendría la ventaja adicional de alertar a los administradores que saben cómo manejar dicho cambio.

  

Bad Guy podría obtener una autoridad cert para emitirle un certificado EV

La promesa de EV solo se cumple si confías en el donante de la promesa. Si el donante de la promesa es repentinamente indigno de confianza (por cualquier razón, piratería, soborno, error), entonces la promesa ya no vale mucho.

Después de todo, la parte EV de un certificado es simplemente agregar otra marca al certificado. Y la CA puede hacer eso a voluntad. Si falla su responsabilidad interna, si está bien, agregamos esta bandera si, y solo si hemos hecho realmente la política de verificación de identidad adecuada , esto no será tan obvio para ningún forastero.

Aquí es donde Transparencia del certificado puede ayudar. Esto al menos haría (errónea) la emisión públicamente detectable.

    
respondido por el StackzOfZtuff 23.10.2015 - 10:38
fuente

Lea otras preguntas en las etiquetas