¿Debo aceptar un certificado autofirmado de mi universidad?

6

Mi universidad creó un nuevo dominio al que podemos acceder (estudiantes) para hacer algunas cosas. Chrome bloquea la carga de la página en cuestión y dice que el certificado no es válido:

  

Su conexión no es privada

     

Los atacantes podrían estar intentando robar su información de [url del sitio] (por ejemplo, contraseñas, mensajes o tarjetas de crédito). NET :: ERR_CERT_AUTHORITY_INVALID

Pedí una aclaración y me dijeron que usan un certificado autofirmado para evitar tener que pagar por uno.

Mi pregunta es: ¿es realmente seguro ignorar los consejos de Chrome? Tengo que enviar mis credenciales universitarias a través de esta conexión, por lo que preferiría no exponerme a amenazas innecesarias.

También debo señalar que este no es el dominio principal del sitio de la universidad, sino uno secundario al que una parte de los estudiantes puede acceder para hacer algunos ejercicios y exámenes en línea.

    
pregunta rubik 03.11.2015 - 22:29
fuente

5 respuestas

5

No es un problema usar un certificado autofirmado siempre que distribuya ese certificado a los usuarios para que puedan verificar que el certificado que están aprobando es el certificado del sitio original y no un sitio que lo falsifique. En esta situación, se le indica que lo apruebe, pero no tiene forma de validar que se está conectando al sitio correcto.

Definitivamente hay un riesgo por aceptarlo. Si alguien pudo crear un sitio falso, poner su propio certificado autofirmado en él, y de alguna manera convencerlo de que vaya allí (a través de ingeniería social, manipulación de DNS, ataques de WiFi, etc.), aprobará un certificado. para el sitio del atacante y nunca volver a ver esa advertencia. Entonces, felizmente pasará sus credenciales a ese sitio. Muy mal.

Lo que necesita es obtener la huella dactilar del certificado autofirmado real y compararlo con lo que su navegador está viendo (consulte esta página para referencia ). Pero supongo que le será difícil obtener más información de los propietarios del sitio. Así que tienes que decidir si vas a tomar el riesgo o no. Una forma de reducir un poco el riesgo es tratar de establecer la conexión inicial cuando apruebe que el certificado se realice a través de una conexión a Internet más segura. Por ejemplo, una conexión por cable es más difícil de modificar por un atacante que por una conexión WiFi.

Dependiendo de cómo esté configurado el sitio, es posible que pueda conectarse a él, aprobar el certificado, iniciar sesión con su identificación de la escuela, y luego cambiar su contraseña de la escuela de inmediato (lo mejor es hacerlo desde otro navegador). Eso reducirá la ventana de exposición si la conexión está siendo husmeada. Es de esperar que el sitio le permita permanecer conectado para los accesos subsiguientes para que no tenga que hacer esto cada vez.

Al final, tendrás que obtener más información sobre el certificado para poder verificarlo a mano o cruzar los dedos y esperar lo mejor.

    
respondido por el Neil Smithline 03.11.2015 - 22:52
fuente
4

Puede confiar en el certificado autofirmado si valida la huella digital del certificado a través de un canal de confianza; por ejemplo, un tipo de TI escribe la huella digital en el papel y la compara con el valor del navegador. Si confía en la universidad, simplemente obtenga el certificado de ca de la raíz, valídelo e importe en el sistema.

    
respondido por el fnv 03.11.2015 - 23:30
fuente
3

Sí puedes hacerlo.

Y por sorprendente que parezca, hoy un certificado que verifique usted mismo es algo que debe considerar como el más confiable. Una confianza verificada .

Por otro lado, la confianza que nunca verificó para certificados reconocidos mágicamente integrados en su navegador tiene un valor mucho menor. Esta es una confianza no verificada , una magia .

La advertencia de Chrome (u otros navegadores que le advierten de la misma manera) es legítima y desea protegerlo contra certificados autofirmados de la jungla. Pero aquí claramente no estás en esta jungla.

No tiene que ignorar esta advertencia legítima de Chrome, debe verificar este certificado primero y luego hacer que Chrome lo acepte.

    
respondido por el daniel Azuelos 03.11.2015 - 22:58
fuente
0

Su universidad puede obtener un certificado SSL gratuito de enlace o puede usar Mozilla Firefox con un complemento como enlace

    
respondido por el Krishna Pandey 04.11.2015 - 10:56
fuente
0

Siempre que sepa que se supone que el sitio utiliza un certificado autofirmado, lo que hace, y se está conectando a través de una conexión segura conocida, es seguro ignorar el mensaje: el mensaje de advertencia es porque Los certificados firmados generalmente significan que alguien está mitigando la conexión. Sin embargo, al ignorar el mensaje, se deja vulnerable a un ataque MitM por parte de alguien que usa un certificado diferente, si realmente quiere robar sus credenciales.

Si desea aumentar la seguridad de la conexión, puede guardar este certificado, por lo que no obtendrá un aviso de seguridad cuando se conecte con el certificado correcto, pero lo hará si alguien intenta falsificarlo. Suponiendo que está utilizando Chrome en Windows y que confía en el editor de certificados :

  • Conéctese al servidor a través de una conexión segura conocida y acepte el aviso de seguridad.
  • Haga clic en el candado, la conexión, la información del certificado, luego ir a la pestaña de detalles.
  • Haga clic en copiar a archivo, luego siga las instrucciones del asistente y guárdelo en un lugar memorable.
  • Cierre el cuadro de diálogo de información del certificado, luego vaya a la página de configuración de Chrome y haga clic en Administrar certificados.
  • Haga clic en Importar, luego cargue el archivo que guardó en el asistente anterior.
  • Seleccione "Colocar todos los certificados en el siguiente almacén" y seleccione "Autoridades de certificados raíz de confianza"
  • Haga clic en siguiente, luego lea y acepte las indicaciones de seguridad.
  • Reiniciar Chrome

Ahora deberías poder conectarte al servidor sin ningún aviso de seguridad siempre y cuando use ese certificado en particular.

    
respondido por el JackW 03.11.2015 - 23:12
fuente

Lea otras preguntas en las etiquetas