¿Existe un mayor riesgo de navegar por sitios web con certificados no válidos que los sitios web sin certificados?

12

La comunidad de seguridad de la información es generalmente muy firme en que los usuarios no deben proceder a visitar sitios web que tengan certificados SSL no válidos. Los navegadores web se han vuelto cada vez menos cooperativos con los usuarios que desean ignorar estas advertencias. Sin embargo, regularmente navego por sitios web que no tienen ningún certificado SSL.

Veo que un certificado no válido es un indicio de que podría ser un atacante activo, pero por lo que sabes, también podría haber un atacante activo que te apunte a ti cuando navegues en http sin cifrar, pero lo harías No recibo ninguna advertencia al respecto.

¿Me expongo a un mayor riesgo al explorar sitios con certificados no válidos que los sitios sin ningún certificado?

    
pregunta Magnus 02.10.2017 - 11:25
fuente

2 respuestas

5

Sí, los sitios con certificados no válidos lo exponen a un mayor riesgo que los sitios HTTP normales sin certificado, aunque solo un poco más.

En cuanto a la seguridad de la conexión en sí, su intuición es correcta; un sitio con un certificado no válido no es peor que un sitio HTTP simple. De hecho, en el caso (bastante infrecuente) donde un atacante es capaz de observar pasivamente su conexión pero no modificarla, un sitio HTTPS con un certificado no válido es realmente tan bueno como uno con un certificado válido. Sin embargo, contra los atacantes activos de intermediarios, las conexiones HTTPS que usan un certificado no válido no son mucho mejores que las simples HTTP.

La seguridad de la conexión en sí no es la única consideración aquí, sin embargo. Existen otras diferencias importantes entre visitar un sitio HTTP de texto sin formato y un sitio HTTPS con un certificado no válido que puede hacer que este último escenario sea un poco más riesgoso.

Por un lado, es más probable que los sitios que usan conexiones HTTPS transfieran información confidencial a través de esa conexión. Las cookies marcadas con el indicador "Seguro", por ejemplo, no se transmitirán a través de conexiones HTTP sin cifrar, sino que se transmitirán a través de conexiones HTTPS con un certificado no válido si omite la advertencia de seguridad. Esto significa que si inició sesión en un sitio anteriormente cuando estaba usando un certificado válido, luego regresó a él más tarde y está usando un certificado no válido, omitir la advertencia de seguridad podría darle acceso instantáneo a su cuenta a un atacante.

Además, algunas de las características más potentes de la web son, por razones de seguridad, solo disponibles en sitios que utilizar HTTPS . Si omite la advertencia de seguridad para un sitio HTTPS con un certificado no válido, podría dar a un atacante acceso a estas funciones.

Por ejemplo, un atacante puede instalar un trabajador del servicio para el sitio al que está accediendo, lo que le permite controlar sus comunicaciones futuras con ese sitio, incluso si luego vuelve a acceder al sitio a través de una conexión segura con un certificado válido. O si previamente otorgó acceso a la API de geolocalización a ese sitio, un atacante podría usar ese acceso para monitorear su ubicación GPS. Para obtener una lista completa de las API a las que solo se puede acceder en las páginas HTTPS, consulte Características restringidas para asegurar Página de contextos en MDN.

Sin embargo, en general, estos riesgos adicionales son relativamente menores en comparación con los riesgos a los que el uso de una conexión insegura en primer lugar ya lo expone. Debe tener cuidado al navegar por sitios HTTP simples, tal como lo haría al acceder a un sitio después de pasar por alto una advertencia de seguridad, ya que ambos escenarios son bastante riesgosos.

    
respondido por el Ajedi32 03.10.2017 - 20:01
fuente
3

Bueno, sí y no.  Sí, está expuesto a más riesgos porque pasa por alto las capas de seguridad de su navegador para visitar la página con el certificado no válido, lo que lo expone a todo tipo de ataques, pero ahora también tienen acceso a cosas que normalmente están protegidas como "solo SSL" .

No, una página insegura es una página insegura. TLS no cambia esto en lo más mínimo y HTTP simple tiene todo tipo de posibles manipulaciones en tránsito. Sin embargo, el navegador lo considerará inseguro y no se cargará en contenido mixto (sin advertencia).

En conclusión, diría que sí, te expones a un mayor riesgo al pasar por alto las funciones de seguridad.

    
respondido por el LvB 02.10.2017 - 11:39
fuente

Lea otras preguntas en las etiquetas