HTTPS, seguridad en la navegación:

04 Diciembre 2020 02

       Autor: David Martín Alvarez.  

Muchas veces cuando hemos navegado hemos visto un candado cerrado a la izquierda de la barra de direcciones de la web en la que estamos. En otras ocasiones podemos ver en esa posición un signo de admiración que nos advierte que puede ser un sitio peligroso. Quizás sepas que esto tiene algo que ver con https, pero estoy seguro que no sabes en que consiste este mecanismo de seguridad con el cual lidiamos casi siempre que navegamos.

En un principio para entender todo esto conviene saber que es http. Se trata de un protocolo de comunicación mediante el cual enviamos y recibimos información, y gracias a ello podemos navegar por internet. Cuando accedemos a una página web se inicia una comunicación entre nuestro navegador y el servidor donde se aloja esta. En esa comunicación se intercambiará todo tipo de información, desde nuestra dirección ip , a nuestros datos de inicio de sesión (usuario y contraseña) , número de tarjeta de crédito si estamos realizando compras, información sensible sobre nuestra identidad…

Sin embargo navegando nos encontramos con multitud de sitios (por no decir la  mayoría) que usan https, donde esa “s” significa Seguro. A continuación explicamos porqué.04 Diciembre 2020 01

Todos entendemos que es importante no distribuir alegremente datos personales (sensibles), pero si la comunicación es entre el navegador y el servidor web, entonces , ¿Dónde está el problema?. El problema reside que nuestras comunicaciones pueden ser interceptadas. El caso más sencillo de que roben nuestros datos es mediante un “Man in the Middle”, o en castellano “Hombre en el medio”. Esto que suena hasta un tanto exótico es un tipo de ataque no excesivamente complicado de realizar y más habitual de lo que sería deseable.

Para explicar en que consiste lo primero es ponernos en situación. Imagina que estás de vacaciones y te has llevado tu portátil o Tablet para revisar tus redes sociales, blogs favoritos y realizar alguna compra. Como andas un poco corto de datos móviles pides la clave del wifi del hotel y navegas por las webs habituales. Pero resulta que dos pisos más abajo hay un individuo conectado a la misma red wifi y que está “escuchando” el tráfico de datos que genera tu portátil, tablet o móvil. Piénsalo, al conectarte a la wifi del hotel toda la información que envías y recibes de internet circula a través de esa red, y si alguien más está conectado a ella puede captar todos los datos. Y una vez captados es “sencillo” obtener la información que manejamos. Simplemente se ha de leer esta y con un poco de habilidad y algún programa especializado ( por desgracia fáciles de conseguir) la tarea de desglosar todos los datos es relativamente sencilla.

Observando el dibujo se entiende fácilmente, el chico de la izquierda está navegando con http y el hacker está obteniendo sin problemas todos sus datos. Sin embargo el chico de la derecha al tenerlos encriptados logra que el hacker no obtenga sus credenciales.

04 Diciembre 2020 03Para evitar este tipo de ataque se tomó la solución de encriptar (cifrar) la información que se envía, y esto se aplica con el https. Mediante esta técnica, si alguien lee nuestros datos de inicio de sesión, por ejemplo el nombre de usuario “David”, al estar encriptado por ejemplo leería,  “#R34$” (o cualquier otra cosa). Con lo cual si consiguen obtener el tráfico de datos no van a saber cuál es el nombre de usuario real. Para poder encriptar estos datos se usan los certificados digitales (de los cuales hablaré más adelante en otro artículo). Pero lo que nos importa es que tienen un clave privada (de lo que también se hablará en otro artículo) a través de la cual se generan los datos encriptados, en otras palabras, se hace a mayores más complicado interpretarlos enviados.

Mediante el uso del certificado digital logramos Integridad, confidencialidad y autenticación en una comunicación cliente servidor

Desde el 2018 google considera a todos los sitios que no tienen https como inseguros, pero ¿Realmente es inseguro navegar por un sito que no tenga https implantado? La respuesta es “depende”, si lo que hacemos es simplemente navegar y no introducimos datos en un principio la navegación es segura, pues la única información que se puede obtener es las páginas por las que hemos navegado. Sin embargo si ya tratamos datos sensibles lo más seguro es cerrar la página y no volver a usarla hasta que nos ofrezca comunicación https

Hoy en día los navegadores nos avisan de los posibles problemas con los que nos podemos encontrar o por el contrario nos indican si podemos seguir navegando con total tranquilidad. Para obtener esta información solo debemos de pinchar en el icono (dependiendo del navegador será un candado abierto o cerrado de habitualmente de color verde, o un signo de admiración rojo en caso de peligro) que nos aparece a la izquierda de la barra de direcciones de nuestro navegador y como vemos en las imágenes se nos informa del análisis del sitio. En este análisis se nos muestra la validez y característica del certificado digital usado para encriptar los datos, las cookies que usa, si permitimos las ventanas emergentes…

Puede ocurrir que, si existe algún problema con el certificado digital, páginas con https sean marcadas como inseguras tal y como se ve en la imagen, quedando a nuestra elección el seguir navegando por ella.

De todos modos, si tenemos algún tipo de duda sobre la veracidad de un sitio web Google pone a nuestra disposición una herramienta gracias a la cual se nos facilita la tarea de saber si un sitio web es o no es seguro.

Google Safe Browsing  https://transparencyreport.google.com/safe-browsing/search

 04 Diciembre 2020 05

Por otra parte, que estemos navegando en una red wifi privada o a través de una conexión por cable no significa que nos podemos despreocupar de si la página por la que navegamos usa https o no lo usa. Además del “man in the middle” existen otros procedimientos para interceptar nuestras comunicaciones, por tanto siempre debemos de tener cuidado con las webs que visitamos sea cual sea el medio que usemos para conectarnos a internet. Recuerda que como ya hemos visto en otros artículos en caso de conectarnos a wifis gratuitas lo más seguro es usar una conexión VPN.

Espero que haya quedado claro la necesidad del https y a partir de ahora cuando naveguéis os fijéis en el protocolo que usáis y así logréis hacer mas seguras vuestras comunicaciones.

Origen Fotos Incibe, licencia  by-nc-nd

El resto de imágenes son capturas de pantalla de navegador.

02 octubre 2019 01
Seguridad-Privacidad en Internet

EVITA QUE MICROSOFT TE ESPÍE

EVITA QUE MICROSOFT TE ESPÍE.

Autor: David Martin Alvarez.

En la mayoría de las ocasiones cuando pensamos en la seguridad informática nos vienen a la cabeza imágenes de tipos malvados en un sótano rodeados de ordenadores que interceptan nuestros datos y comunicaciones y los tienen guardados para extorsionarnos algún día.

En realidad eso es bastante complicado que ocurra, aunque como hemos comentado en otros artículos es perfectamente posible. La realidad es más turbia, pues nos están constantemente espiando y rastreando nuestros datos, y lo que más triste, en muchos casos con nuestra autorización. Sí, efectivamente, les hemos dado permiso, cuando hacemos click en “He leído y acepto las condiciones” y a continuación pulsamos el botón de aceptar sin haber leído nada.

A continuación os explicaré una serie de métodos para lograr que los datos que obtienen de nosotros nuestros amigos de Microsoft sea el menor posible. Con esto no quiero decir que Microsoft sea la única empresa que se dedica a recopilar datos ajenos para su propio interés, la lista desgraciadamente es bastante larga, pero por alguna hemos de comenzar.

Leer más
9 Mayo 2019 1
Seguridad-Privacidad en Internet

LOS NIVELES OSCUROS DE LA WEB

LOS NIVELES OSCUROS DE LA WEB.

Autor: David Martin Alvarez.

En pasados artículos nos hemos comenzado a familiarizar con términos y definiciones específicas en el mundo hacker. Poco a poco hemos ido conociendo diferentes aspectos sobre navegación segura por internet, sistemas críticos, tipos de personajes que nos podemos encontrar mientras navegamos (o que se introducen en nuestros sistemas sin que nos percatemos) y muchos otras cuestiones que poco a poco se van presentando.

Ahora vamos a hablar sobre los sitios en los cuales nos podemos introducir navegando por la web. RECOMENDAMOS QUE NO ENTRÉIS EN ESTOS SITIOS, SIMPLEMENTE AQUÍ LOS ENUMERAMOS y os comentamos cuales son las características de estos con objeto de que sepáis que existen. Para entrar en estos sitios debemos controlar perfectamente lo que hacemos, en caso contrario los más seguro que conseguiremos, en el mejor de los casos, es algún malware.

Lo primero que debemos de entender es que la web tal y como la conocemos se compone de una serie de sitios que están al alcance de todo el mundo y que en un principio los buscadores (Google, Yahoo,  duckduckgo…) indexan. El término indexar, aunque suene un poco extraño viene a significar “crear un índice”. Explicado con un poco más de amplitud significa que los buscadores, gracias a una serie de robots que están continuamente recorriendo la web, crean un índice de estas (Se guardan estas páginas y sus características en sus Bases de Datos para que a la hora de realizar búsquedas estas sean eficientes). Una vez tenida en cuenta esta cuestión podemos pasar a saber que es la Deep Web.

Con Deep Web en un principio se englobaron los contenidos no indexables. Esto que suena un tanto extraño simplemente se refiere a los contenidos complicados de encontrar usando los buscadores que están al alcance de todos, principalmente porque los motores de búsqueda no pueden acceder a ellas y por tanto no las incluyen en sus Bases de Datos.

Leer más
06 Marzo 2019 03
Seguridad-Privacidad en Internet

¿Quién es quién en la seguridad informática?

¿QUIÉN ES QUIÉN EN LA SEGURIDAD INFORMATICA?.

Autor: David Martin Alvarez.

Uno de los hándicaps de la seguridad informática, y que logra que a la gente le asuste esta es su terminología . A lo largo de los artículos que se han presentado hemos descifrado muchos términos.

Hoy le toca el turno a los personajes que se mueven en este “turbio” mundo. En alguna ocasión estoy seguro que habrás oido estos términos , y supongo que igual que yo al principio se te escapaba algo.

El Hacker:

Definir cómo es un hacker sería algo complicado, a pesar de que tenemos un estereotipo en nuestra cabeza la figura real de estos no se suele corresponder con ella. 

El Hacker principalmente es alguien al que le interesa mucho aprender y acumular conocimientos informáticos. Es alguien al que le gusta cambiar y probar los programas y dispositivos que están a su alrededor.

Leer más
Revista