Los vectores de ataque más comunes de la tecnología SSL

Desde que se empezó a utilizar el comercio electrónico, descubrimos que la seguridad es fundamental para su correcto funcionamiento. De no atenderse, puede causar la pérdida de nuestra empresa por robos y atentados contra la misma o simplemente la desaprobación por parte de los usuarios y las autoridades correspondientes, motivo por el cual nuestra plataforma puede desaparecer.

La tecnología SSL llegó hace varios años para arreglar esta situación. Gracias a ella, los usuarios tienen la posibilidad de lograr una navegación confidencial y protegida, manteniendo su información fuera del alcance de personas externas a la transacción y evitando con ello que se vean envueltas en engaños o fraudes. La única condición, es que para gozar óptimamente de este elemento, se debe de saber administrarlo correctamente.

Gestionarlo ya no es una opción sino una obligación. El entender sus requerimientos nos dará como resultado su correcta implementación, misma que traerá los resultados esperados. En muchas ocasiones se critica o se cuestiona la eficacia de este elemento, sin embargo no concientizamos que el motivo del fallo está en una mala gestión o incorrecta utilización de este elemento.

De igual forma, ya hablando como clientes, también debemos de ser partícipes en la identificación de dicho protocolo. Sabiendo identificar cuáles son los sitios que en verdad lo utilizan, nos evitamos ser víctimas de fraudes, engaños y robos, algo que según estadísticas de importantes firmas de seguridad digital, es algo de todos los días.

¿Sabes cómo funciona?

• La barra de navegación se tornará a un color verde cuando nos dirija al sitio
• La dirección URL iniciará con las siglas HTTPS, protocolos que nos garantiza un canal seguro de comunicación entre el sitio-cliente
• Un ícono en forma de candado aparecerá en el sitio y al darle clic se desglosará toda la información que corresponde a quién gestiona el sitio

Estos son los elementos técnicos que entran en juego

Al entrar en el proceso, obtenemos dos claves: una pública y una privada, mismas que nos otorgan la seguridad de que solo las partes en cuestión tendrán acceso a la información personal que se comparta. Además se ponen en función uns algoritmos llamados hash, mismos que dan pie a la firma digital, certificados digitales y la seguridad que nada se modifique sin la validación de quienes están llevando a cabo el proceso.

A través de este protocolo de seguridad se consigue que los ciberdelincuentes no tengan acceso a nuestra información o en su defecto a la de nuestros clientes. Sin embargo, los ciberdelincuentes, a medida que avanza la tecnología, han logrado descifrar nuevas maneras de atacar, motivo por el cual es normal encontrarnos con la noticia de que existen algunos elementos que debemos atender para no ser víctimas de cibercrímenes.

Todo lo anterior hace funcional y confiable que las transacciones electrónicas se realicen de manera confiable para ambas partes. Todo se debe verificar mediante las autoridades de certificación, encargadas a su vez de mantener informada a la comunidad en general de cuándo se deben revalidar los certificados, ya que de no hacerse la seguridad se vuelve obsoleta y da pie a posibles ataques.

Los 5 vectores de ataque a tecnología SSL

La razón principal cuando recibimos ataques es por no contar con certificados SSL o bien, una vez obtenidos, no los actualicemos, renovemos y ajustemos a las necesidades que tenemos que cubrir por los servicios que ofrecemos. El no hacerlo, podemos ser víctimas de los siguientes ataques:

• POODLE: El problema era que en esta versión de protocolo SSL, se remitía al uso de otras versiones TLS o de igual forma SSL obsoletas, con lo que se obtenían datos guardados en cookies y descifrar con ello lo que según se estaba encriptando. Se dice que a pesar de que se hizo público el fallo, todavía muchas empresas se mostraban vulnerables por no verificar las versiones.
• Heartbleed: Su error se encuentra en las bibliotecas criptográficas OpenSSL. Este fallo le da la posibilidad a los cibercriminales de leer la información personal de los clientes, consiguiendo con ello claves privadas y accesos a cuentas. Según Symantec, alrededor de 4.5 millones de pacientes de un hospital fueron afectados al vulnerar la seguridad del centro y dejar al descubierto su información.
• FREAK: Este fallo se convirtió en el elemento por el sistema vulnerable favorito de los ciberdelincuentes. Permitía que se realizaran ataques men in the middle, o sea, que se interpusieran los ciberdelincuentes en la comunicación que establecían los clientes con una plataforma, consiguiendo así la información. Es provocado por defectos en el software de OpenSSL. Se dice que usuarios de Apple fueron los más afectados.
• Bar Mitzvah: Esta vulnerabilidad corresponde a la intercepción de credenciales por el fallo del algoritmo encargado de la encriptación, el RC4. Según su uso corresponde al 30 por ciento de uso, algo que se busca cambiar pues ya existe la opción AES.
• Shellshock: Este elemento provocó muchos problemas a los usuarios de Linux, siendo de lo más común con un 70 por ciento de uso. Su principal afectación era que al vulnerar su protocolo, los cibercriminales podían instalar malwares y asimismo engañar a quienes visitaban el sitio, con el fin de estafarlos o infectarlos. Si bien no es fallo de los certificados SSL, da muestra que para que SSL funcione correctamente debe de funcionar óptimamente el servidor.

Acciones que pueden medrar las afectaciones que generan estos vectores

• Buena coordinación con Autoridades de Certificación: Cuando se busque una autoridad de certificación debemos de tener como prioridad que ante las fallas que pudieran presentarse, tomarán inmediatamente las medidas necesarias como cambios de claves y protocolos.
• Hacer análisis constantes: Los análisis de vulnerabilidades deben de realizarse las veces que sean necesarias y adelantarse a los posibles ataques de los entes maliciosos.
• Actualizaciones y renovaciones al día.
• Comparación de sistemas con las demandas del mercado.
• No irse por el costo: la mayoría de las veces, lo barato sale caro.
• Revisa comentarios y opiniones: acerca de las autoridades de certificación, ya que en los foros y comentarios puedes encontrar la solución a tus problemas.

Al utilizar Certsuperior y Symantec, podrás obtener una autoridad de certificación que te ofrezca todo lo anterior, además de una robusta defensa contra vulnerabilidades y ciberdelincuentes.

Fuente: Certsuperior

Altcomp y Symantec hacen equipo para entregar seguridad de forma simple a los endpoints. Si deseas conocer cómo lo hacemos, te invitamos a que nos contactes y con gusto te atendemos.