Certificados archivos - Página 2 de 2

Google subirá el ranking de los sitios que usen HTTPS

agosto 7, 2014 por Pablo Alejandro Fain

Versión en inglés disponible aquí / English version available here

Gary Illyes y Zineb Ait Bahajji, del equipo de análisis de tendencias de Google, publicó el día de ayer una información en el blog de seguridad de la compañía, donde aseguran que aquellos sitios que no trabajen bajo TLS (Transport Layer Security, por sus siglas en inglés) verán reducido su ranking en los resultados de búsqueda, en comparación con aquellos que utilicen HTTPS.

“La seguridad es una de nuestras principales prioridades”, asegura el comunicado en el que la compañía con sede en California dio más detalles sobre este cambio. Con el objetivo de mejorar la experiencia y la seguridad de los usuarios, Google comenzó semanas atrás a realizar pruebas con el ranking de sus resultados de búsqueda.

TLS, o Transport Layer Security por sus siglas en inglés, es uno de los protocolos de cifrado de información comunmente utilizados en Internet para proteger los datos enviados entre dos equipos. Más conocido como “HTTPS” o “HTTP con candado”, TLS y SSL, su antecesor, permiten a los usuarios asegurarse que los datos que intercambian en un sitio web viajan de manera segura y no puedan ser interceptados por usuarios malintencionados.

Las pruebas indican que, hasta el momento, solo el 1% de las consultas globales se han visto afectadas por este cambio, ya que su aplicación no tiene tanto peso como las reglas de calidad de contenido. Google espera comenzar a darle más prioridad con el correr de las semanas, otorgando a los administradores de web algo de tiempo para afrontar el cambio.

En las próximas semanas el equipo de Google estará publicando más detalles sobre las mejores prácticas para la adopción de mecanismos de seguridad en la web, pero dejan las siguientes recomendaciones para evaluar de manera efectiva el pasaje a TLS:

Contraseñas de usuarios de Bitly comprometidas (y van…)

mayo 13, 2014 por Pablo Alejandro Fain

Hace algunos días el equipo de seguridad de Bitly, popular servicio de acortamiento de direcciones conocido por sus dominios bit.ly o j.mp, fue alertado de un posible acceso no autorizado a sus bases de datos.

Al respecto, Rob Platzer, CTO de la compañía con sede en New York, informó mediante un comunicado de prensa publicado en su blog que el entorno productivo de Bitly no se encuentra comprometido.

Nuestro equipo de Seguridad logró determinar con un alto grado de confianza que no existieron conexiones externas hacia nuestra base de datos de usuarios de producción, asi como tampoco a nuestras redes o servidores. Sin embargo, observaron una cantidad inusual de tráfico originado desde nuestro sistema de almacenamiento externo de backup. En este punto, consideramos que el mejor camino era considerar nuestra base de usuarios comprometida y ejecutar un inmediato plan de respuesta que incluyó algunas tareas para proteger las cuentas de Facebook y Twitter conectadas a nuestros usuarios.

Las acciones ejecutadas por el equipo de Seguridad de Bitly fueron las siguientes:

Vulnerabilidad Heartbleed. ¿De qué se trata?

abril 12, 2014 por Pablo Alejandro Fain

Quizá en los últimos días hayan oído mencionar mucho las palabras Heartbleed y OpenSSL. Pero… ¿De qué se trata todo esto?

Heartbleed es el nombre que se le dió a un agujero de seguridad (bug o vulnerabiliad) que afecta a los servidores web como Apache y Nginx que utilizan tecnología OpenSSL para procesar sus transacciones seguras.

OpenSSL, hermano de OpenSSH, es un paquete de herramientas y librerías de código abierto que permite a los administradores de sitios web encriptar las comunicaciones cliente <–> servidor mediante certificados de seguridad (el famoso HTTPS), entre otras funcionalidades. Está basado en la librería SSLeay desarrollada por Eric Young y Tim Hudson y permite su uso con propósitos comerciales y no comerciales. Es, por esto último, que se estima que dos tercios de los sitios web de Internet podrían estar o haber estado afectados por esta vulnerabilidad.

Un poco de historia

La vulnerabilidad fue introducida en Diciembre de 2011 y distribuida junto con la versión 1.0.1 y posteriores de OpenSSL, publicada a partir del 14 de Marzo de 2012.

El pasado 3 de Diciembre de 2013, Neel Mehta, del equipo de Seguridad de Google, reportó la existencia de un bug en el código de las versiones 1.0.1, 1.0.1f y 1.0.2 beta-1 que podría permitir que las comunicaciones cifradas sean interceptadas utilizando el método man-in-the-middle, en el que un atacante es capaz de leer y modificar la información intercambiada entre dos equipos sin generar ninguna sospecha. Además, la vulnerabilidad pone en riesgo las claves SSL privadas de los servidores, por lo que los sitios afectados debieron re-generar sus certificados de seguridad luego de corregir el fallo.

El nombre heartbleed (sangrado del corazón) fue elegido por un ingeniero de la firma de seguridad informática Codenomicon, quien también diseñó el logo y puso en línea el sitio oficial de la vulnerabilidad. Según información proporcionada por Codenomicon, Mehta reportó el fallo primero aunque ambos lo hicieron de manera independiente.

La vulnerabilidad quedó registrada bajo el CVE (Common Vulnerabilities and Exposures, por sus siglas en inglés) CVE-2014-0160. Considerando que fue introducida al código de OpenSSL en la versión 1.0.1, veriones anteriores también se encuentran seguras (1.0.0 y 0.9.8). Mediante el sitio oficial del proyecto, el pasado 7 de abril se publicó la versión 1.0.1g de OpenSSL que elimina la vulnerabilidad y se espera que en las próximas semanas se publique la 1.0.2-beta2 con la misma modificación.

Recomendaciones para usuarios

Redes Wi-Fi: Lo que nadie te contó sobre tu privacidad

febrero 25, 2014 por Pablo Alejandro Fain

Hace algunos días Apple emitió una alerta de seguridad tras descubrir que Safari, su explorador de internet, se encontraba en riesgo.

Gracias a un error en el método de cifrado, los datos enviados a través de Safari y que debían estar protegidos bajo el protocolo SSL, simplemente eran enviados sin codificar.

Para llevarlo a un punto entendible, el protocolo SSL (Secure Socket Layer, por sus siglas en inglés) se encarga de cifrar los datos intercambiados entre dos equipos (normalmente cliente/sevidor), asegurando que la información no pueda ser leída por nadie durante el tiempo que dure la comunicación.

Vamos a poner el ejemplo del banco, al que accedemos via web para consultar el estado de nuestras cuentas. Luego de escribir nombre de usuario y contraseña, nuestro navegador se presenta al servidor remoto (en este caso el banco) con quien negocia el algoritmo a utilizar. Tras validar la autenticidad del certificado del servidor, utiliza su clave pública para generar una clave maestra que será enviada al servidor remoto. Éste utilizará su clave privada para decodificarla y, a partir de ahora, intercambiará mensajes cifrados con la clave maestra.

Cada paquete enviado o recibido debe estar cifrado con ella para evitar que quien intercepte la comunición pueda acceder a los datos. La siguiente imagen explica el proceso completo, en inglés:

¿Qué está ocurriendo con la nube?

marzo 18, 2013 por Pablo Alejandro Fain

Algunos nuevitos, otros ya experimentados… Algunos apostadores, otros pesimistas… Lo cierto es que hoy muchos somos los usuarios (me incluyo, por supuesto) que apostamos a los servicios en la nube. Correo electrónico, almacenamiento online, mensajería instantánea, bases de datos, servidores virtuales, son algunos de los servicios que ofrecen las empresas de tecnología a través de su porfolio de cloud computing, Pero pese a ser la estrella del momento, la nube ha estado sufriendo en las últimas semanas alti-bajos que ponen en el tapete su seguridad y disponibilidad. A principios de mes el servicio de Infraestructura en la nube de Microsoft, Azure, sufrió una caída que afectó a casi el 4% del total de la plataforma, dejando sin servicio principalmente a clientes de Estados Unidos y el norte de Europa. Aparentemente el problema fue originado por un certificado de seguridad en mal estado que propagó rápidamente el error en el entorno productivo de Azure. El pasado martes 12, y otra vez de la mano de Microsoft, el flamante servicio de correo electrónico Outlook, se vio afectado por lo que desde el gigante del software categorizaron como un “recalentamiento” en uno de sus datacenters globales. Al parecer, una actualización de firmware de rutina ocasionó que …

Microsoft Office 2007 Service Pack 2

mayo 3, 2009 por Pablo Alejandro Fain

Fuera de su ciclo habitual de actualizaciones, Microsoft ha decidido liberar el pasado domingo, el Service Pack 2 para la suite de aplicaciones de oficina, Microsoft Office System 2007.

Esta actualización, según detalles del KB 953195 proporcionado por Microsoft, posee cambios en las aplicaciones Microsoft Office Access; Microsoft Office Excel; Microsoft Office Groove; Microsoft Office InfoPath; Microsoft Office OneNote; Microsoft Office Outlook; Microsoft Office Power Point; Microsoft Office Publisher y Microsoft Office Word.

A continuación, el detalle para cada una de las aplicaciones, así como las características y mejoras en cuanto a seguridad del paquete:

Windows Live Hotmail ahora POP3

enero 24, 2009 por Pablo Alejandro Fain

Enhorabuena lectores!!! Hace algunos días, Windows Live Hotmail ha comenzado a habilitar para los más de 280 millones de usuarios en todo el mundo, el soporte para POP3. Para quienes no lo conozcan, este soporte nos brinda, entre otras funciones, la posibilidad de conectarnos desde casi todos los clientes de correo, ya sea en una PC, Notebook, Celular, Palm, y mucho medios más, sin necesidad de acceder a la interfaz web que ya conocemos de Windows Live. Asimismo, permite descargar los correos, desconectarse del servicio de internet, responderlos off line y luego volver a conectarse para enviarlos, evitando así tráfico y consumo innecesario para quienes no posean servicios de internet de banda ancha o 3G. Los datos que hay que configurar en los clientes de correo son los siguientes: Servidor POP: pop3.live.com (puerto 995) POP SSL: Sí. Nombre de usuario: Aquí debe ir la dirección de correo completa, incluído el dominio. Contraseña: La contraseña de la cuenta especificada. Servidor SMTP: smtp.live.com (puerto 25) Autentificación: Sí (verificar que esta casilla está activada, de lo contrario no podremos conectar) TLS/SSL: Sí. De esta forma, deberíamos estar pudiendo acceder a nuestro correo a través de Post Office Protocol (POP3). Espero esta información les …