certificado SSL: ¿esta alternativa de certificado autofirmado sería segura?

0

Este artículo me hizo pensar: la siguiente alternativa (utilizando certificados autofirmados y un tercero ¿El servicio de terceros) es menos seguro que la jerarquía de CA actual en la que confían los navegadores? cito:

  

La parte realmente deprimente es que sería trivial configurar un   Servicio simple donde los usuarios pueden cargar sus certificados de dominio a un   sitio (después de probar la propiedad del dominio colocando un archivo en el   dominio web root), y los navegadores podrían verificar automáticamente los archivos   Allí como una salvaguardia contra este vector de ataque. Los archivos son   Normalmente ~ 1KiB de tamaño por dominio.

Esto básicamente probaría que el certificado recibido del sitio web W realmente fue realizado por el (sub) dominio de W, y que el visitante no está siendo víctima de un ataque MITM. Por supuesto, esto parece el trabajo de un CA, pero como los CA no pueden abstenerse de exigir cantidades absurdas de dinero (anual o mensual) para un servicio tan simple, o pueden (por ejemplo, CACert) pero no serán aceptados por el navegador proveedores en sus listas de CA confiables, se debe encontrar una alternativa ...

Este servicio de confianza podría ser manejado por una fundación sin fines de lucro respaldada por los principales proveedores de navegadores, y realmente democratizaría el acceso a un cifrado sólido y la seguridad de la navegación web.

¿Existe una falla de seguridad en este esquema simple? o los proveedores de navegadores están demasiado interesados en los cajeros automáticos de CA? ...

    
pregunta a25bedc5-3d09-41b8-82fb-ea6c353d75ae 10.09.2016 - 16:15
fuente

3 respuestas

2

Esto es lo que pienso.

Imagine que un atacante malicioso carga un certificado para google.com en este sitio web central. Ahora, al envenenar los registros DNS, puede redirigir a los clientes a un servidor no autorizado y capturar todas las transacciones cifradas. Este ataque fallaría con el esquema actual porque el certificado presentado por el servidor no autorizado (como google.com ) no coincidirá con el del almacén de confianza.

    
respondido por el sandyp 10.09.2016 - 16:31
fuente
1
  

... para un servicio tan simple, o puede (por ejemplo, CACert) pero no será aceptado por los proveedores de navegadores en sus listas de CA confiables

Hay una razón por la que CAcert nunca se aceptó: porque nunca completaron la auditoría requerida. Si bien puede pensar que ejecutar un servicio de CA simplemente está juntando algunos scripts openssl ("... un servicio tan simple") en la práctica es mucho más complejo. Las CA son un objetivo muy atractivo para comprometerse, lo que significa que debe proteger sus operaciones para que ningún pirata informático pueda acceder a las claves privadas de la CA o pueda crear certificados arbitrarios. También tiene que ejecutar una infraestructura confiable para consultas de OCSP, nadie debería poder engañarlo para que emita un certificado que no debería tener ...

Y su propuesta enfrentará los mismos problemas de seguridad y confiabilidad. Y será un blanco muy atractivo para los ataques también. Esto significa que alguien tiene que hacerse cargo de esto, lo que cuesta dinero y alguien tiene que pagar por ello. Y, por supuesto, los proveedores de navegadores solo agregarían este mecanismo a los navegadores si se realizan auditorías regulares que también cuestan dinero. Por lo tanto, esta situación no es mejor que con el sistema de CA actual.

    
respondido por el Steffen Ullrich 10.09.2016 - 17:53
fuente
0

Eso es un impresionante único punto de falla que creaste allí. Si este sitio web falla, ya sea por razones técnicas o comerciales, una gran parte de Internet deja de funcionar porque nadie puede cargar ninguna página web SSL. Si fue porque la fundación dejó de operar, entonces la interrupción del servicio durará por meses , hasta que todos los proveedores de navegadores puedan distribuir nuevas versiones a todos sus usuarios. Esa es solo una de las razones por las que es una mala idea.

    
respondido por el Mike Scott 10.09.2016 - 18:06
fuente

Lea otras preguntas en las etiquetas