Están pasando tantas cosas en relación a PKI en este momento, que es difícil de definir un único tema: certificados altamente utilizados en el mercado a punto de sufrir cambios que tendrán un enorme impacto en las empresas que los usan; iniciativas SSL gratuitas siendo responsables de emitir miles de certificados utilizados para phishing, SHA1 aun siendo utilizados por empresas y poniendo en riesgo sus datos, y mientras todo esto pasa, parece que olvidamos que los cibercriminales no han detenido sus operaciones para esperar que nos protejamos, para asegurar nuestros datos y sistemas.
¡Lamentablemente, el movimiento HTTPS, de cifrado de datos, enseñó accidentalmente a las personas que confíen en el cifrado en lugar de confiar en la identidad! “Busque el candado de seguridad!”, «Busque el HTTPS», «Esto significa seguridad». Al mismo tiempo, la falta de verificación relacionada con la validación de certificados de dominio y la ausencia de filtros de phishing en estas iniciativas gratis, han permitido, y aún permiten, la emisión de miles de certificados a los cibercriminales, que son usados en sitios web con el fin de ataques phishing, atrayendo más y más gente y llevándolos a entregar los datos a los criminales sin siquiera darse cuenta.
Como muchos de ustedes saben, hay 3 tipos básicos de certificados SSL: validación de dominio (DV), validación de organización (OV) y validación extendida (EV). El DV, como ya lo vimos, no lleva a cabo la verificación de la identidad de la empresa; el OV hace la verificación de la identidad, pero a simple vista, en la interfaz, se muestra de la misma forma que el DV para el usuario final (de hecho los navegadores deberían hacer más clara la diferencia); el EV es el único que no requiere interacción del usuario y automáticamente activa la barra de navegación en verde mostrando el nombre de la empresa, garantizando al usuario transparencia de que la identidad fue verificada con los más altos estándares en un proceso de verificación estricta.
Para leer el artículo completo lo invitamos a visitar el artículo de Digitall International, en el siguiente enlace: “SSL: Una Crisis de Identidad”, sí tiene inquietudes respecto a certificados SSLL, puede contactar a Digitall International mediante el email contact@digitallinternational.com
