ElevenPaths crea un addon para que Firefox sea compatible con Certificate Transparency (porque Firefox sigue sin hacerlo)

Certificate Transparency es ya obligatorio en Chrome para los nuevos certificados creados desde finales de 2017. Esto significa que se mostrará una alerta en las páginas protegidas por certificados que no estén presentes en los logs que Chrome comprueba para esa fecha. Ningún otro navegador soporta Certificate Transparency todavía. Firefox lleva años intentándolo, pero no ha podido conseguirlo por problemas de rendimiento que no ha solucionado. Veamos qué hemos hecho y por qué.

Visto que en Mozilla no tiene fecha aún para activar esta funcionalidad,
hemos vuelto a crear una extensión propia para el navegador para saber si el sitio cumple con Certificate Transparency, o al menos saber si
tiene los SCT correctos.

Un certificado se considera
dado de alta en los logs si cuenta con un SCT (Signed Certificate
Timestamp). Este SCT se le otorga al dueño del certificado original cuando
se introduce en el log y el navegador debe verificar si es real y está
al día, esto es lo que Chrome viene realizando durante ya
hace un tiempo.

El SCT puede ofrecerse al usuario de tres maneras
diferentes:

• Incrustado en el certificado.
• A través de una extensión TLS.
• Aprovechando OCSP.

No es sencillo desde la perspectiva técnica de un plugin en
Firefox llegar a la capa de TLS o OCSP y comprobar el SCT. Por eso
nuestro plugin por ahora solo comprueba el SCT incrustado en los propios
certificados. Aunque no es la solución ideal, es el escenario mayoritario y la
vía por la que se distribuyen la mayoría de los SCT.

Aquí puedes descargarte la extensión directamente desde el repositorio oficial de Firefox, programada por nuestro compañero en Buenos Aires, Tomás Coiro.

Mozilla incluyó hace un tiempo una API para extensiones que permitía
calcular el valor de Certificate Transparency, básicamente, si el lugar
había hecho sus deberes con el certificado.

Pero no hemos podido usarla porque, por defecto, no funciona. Encontraron problemas de rendimiento en la API, y decidieron hace dos años, desactivarlo por defecto.

Aun así, es muy sencillo volverlo a activar desde la configuración del navegador.

Aunque no servirá de mucho. No serás capaz de ver nada, a no ser que muestres por consola un log. Sin la opción activa aparecía un “not applicable“. Con ella un “compliant” o “not_enough_scts” según el caso.

Podríamos haber activado la opción por defecto en la extensión y monitorizar su salida, pero no lo hemos considerado lo más adecuado dado el impacto en el rendimiento y, además, por otras razones que detallamos a continuación.

Ahondando un poco más en el funcionamiento (por ahora, “en pausa”) de Certificate Transparency en Firefox… ¿Cuántos SCT son suficientes para Firefox? Pues no lo tenemos claro, porque realizan unas cuentas algo extrañas.