ElevenPaths crea un addon para que Firefox sea compatible con Certificate Transparency (porque Firefox sigue sin hacerlo)Área de Innovación y Laboratorio de ElevenPaths 18 febrero, 2019 Certificate Transparency es ya obligatorio en Chrome para los nuevos certificados creados desde finales de 2017. Esto significa que se mostrará una alerta en las páginas protegidas por certificados que no estén presentes en los logs que Chrome comprueba para esa fecha. Ningún otro navegador soporta Certificate Transparency todavía. Firefox lleva años intentándolo, pero no ha podido conseguirlo por problemas de rendimiento que no ha solucionado. Veamos qué hemos hecho y por qué. Hemos realizado nuestro propio comprobador a través de una extensión Visto que en Mozilla no tiene fecha aún para activar esta funcionalidad, hemos vuelto a crear una extensión propia para el navegador para saber si el sitio cumple con Certificate Transparency, o al menos saber si tiene los SCT correctos. Un certificado se considera dado de alta en los logs si cuenta con un SCT (Signed Certificate Timestamp). Este SCT se le otorga al dueño del certificado original cuando se introduce en el log y el navegador debe verificar si es real y está al día, esto es lo que Chrome viene realizando durante ya hace un tiempo. El SCT puede ofrecerse al usuario de tres maneras diferentes: Incrustado en el certificado. A través de una extensión TLS. Aprovechando OCSP. No es sencillo desde la perspectiva técnica de un plugin en Firefox llegar a la capa de TLS o OCSP y comprobar el SCT. Por eso nuestro plugin por ahora solo comprueba el SCT incrustado en los propios certificados. Aunque no es la solución ideal, es el escenario mayoritario y la vía por la que se distribuyen la mayoría de los SCT. Aquí puedes descargarte la extensión directamente desde el repositorio oficial de Firefox, programada por nuestro compañero en Buenos Aires, Tomás Coiro. ¿Por qué no usar la fórmula que se supone ya existe en Mozilla? Mozilla incluyó hace un tiempo una API para extensiones que permitía calcular el valor de Certificate Transparency, básicamente, si el lugar había hecho sus deberes con el certificado. Pero no hemos podido usarla porque, por defecto, no funciona. Encontraron problemas de rendimiento en la API, y decidieron hace dos años, desactivarlo por defecto. Aun así, es muy sencillo volverlo a activar desde la configuración del navegador. Aunque no servirá de mucho. No serás capaz de ver nada, a no ser que muestres por consola un log. Sin la opción activa aparecía un “not applicable“. Con ella un “compliant” o “not_enough_scts” según el caso. Podríamos haber activado la opción por defecto en la extensión y monitorizar su salida, pero no lo hemos considerado lo más adecuado dado el impacto en el rendimiento y, además, por otras razones que detallamos a continuación. Ahondando un poco más en el funcionamiento (por ahora, “en pausa”) de Certificate Transparency en Firefox… ¿Cuántos SCT son suficientes para Firefox? Pues no lo tenemos claro, porque realizan unas cuentas algo extrañas. En cualquier caso (además del problema de rendimiento que reconocen), hemos comprobado que la mayoría de las veces, no son suficientes los SCT para satisfacer la política. Nos aparece constantemente “not_enough_sct, cuando Chrome sí que lo da por válido. En resumen, Firefox está trabajando para aportar la tecnología Certificate Transparency a su navegador, pero parece que existen otras prioridades y tras un primer intento, el trabajo ha quedado algo atascado. En todo caso, mientras lo solucionan, podéis utilizar nuestra extensión Certificate Transparency como ayuda. RSA Conference 2019Si quieres cambiar los hábitos de seguridad de tus empleados no apeles a su voluntad, cambia su entorno
