ElevenPaths crea un addon para que Firefox sea compatible con Certificate Transparency (porque Firefox sigue sin hacerlo)Área de Innovación y Laboratorio de Telefónica Tech 18 febrero, 2019 Certificate Transparency es ya obligatorio en Chrome para los nuevos certificados creados desde finales de 2017. Esto significa que se mostrará una alerta en las páginas protegidas por certificados que no estén presentes en los logs que Chrome comprueba para esa fecha. Ningún otro navegador soporta Certificate Transparency todavía. Firefox lleva años intentándolo, pero no ha podido conseguirlo por problemas de rendimiento que no ha solucionado. Veamos qué hemos hecho y por qué. Hemos realizado nuestro propio comprobador a través de una extensión Visto que en Mozilla no tiene fecha aún para activar esta funcionalidad, hemos vuelto a crear una extensión propia para el navegador para saber si el sitio cumple con Certificate Transparency, o al menos saber si tiene los SCT correctos. Un certificado se considera dado de alta en los logs si cuenta con un SCT (Signed Certificate Timestamp). Este SCT se le otorga al dueño del certificado original cuando se introduce en el log y el navegador debe verificar si es real y está al día, esto es lo que Chrome viene realizando durante ya hace un tiempo. El SCT puede ofrecerse al usuario de tres maneras diferentes: Incrustado en el certificado. A través de una extensión TLS. Aprovechando OCSP. No es sencillo desde la perspectiva técnica de un plugin en Firefox llegar a la capa de TLS o OCSP y comprobar el SCT. Por eso nuestro plugin por ahora solo comprueba el SCT incrustado en los propios certificados. Aunque no es la solución ideal, es el escenario mayoritario y la vía por la que se distribuyen la mayoría de los SCT. Aquí puedes descargarte la extensión directamente desde el repositorio oficial de Firefox, programada por nuestro compañero en Buenos Aires, Tomás Coiro. ¿Por qué no usar la fórmula que se supone ya existe en Mozilla? Mozilla incluyó hace un tiempo una API para extensiones que permitía calcular el valor de Certificate Transparency, básicamente, si el lugar había hecho sus deberes con el certificado. Pero no hemos podido usarla porque, por defecto, no funciona. Encontraron problemas de rendimiento en la API, y decidieron hace dos años, desactivarlo por defecto. Aun así, es muy sencillo volverlo a activar desde la configuración del navegador. Aunque no servirá de mucho. No serás capaz de ver nada, a no ser que muestres por consola un log. Sin la opción activa aparecía un «not applicable«. Con ella un «compliant» o «not_enough_scts» según el caso. Podríamos haber activado la opción por defecto en la extensión y monitorizar su salida, pero no lo hemos considerado lo más adecuado dado el impacto en el rendimiento y, además, por otras razones que detallamos a continuación. Ahondando un poco más en el funcionamiento (por ahora, «en pausa») de Certificate Transparency en Firefox… ¿Cuántos SCT son suficientes para Firefox? Pues no lo tenemos claro, porque realizan unas cuentas algo extrañas. En cualquier caso (además del problema de rendimiento que reconocen), hemos comprobado que la mayoría de las veces, no son suficientes los SCT para satisfacer la política. Nos aparece constantemente «not_enough_sct, cuando Chrome sí que lo da por válido. En resumen, Firefox está trabajando para aportar la tecnología Certificate Transparency a su navegador, pero parece que existen otras prioridades y tras un primer intento, el trabajo ha quedado algo atascado. En todo caso, mientras lo solucionan, podéis utilizar nuestra extensión Certificate Transparency como ayuda. RSA Conference 2019Si quieres cambiar los hábitos de seguridad de tus empleados no apeles a su voluntad, cambia su entorno
Telefónica Tech Boletín semanal de ciberseguridad, 18 — 24 de junio Caída de los servicios de Microsoft Office 365 y Cloudflare a nivel mundial A lo largo del pasado martes se vieron interrumpidos múltiples servicios web a nivel mundial. El origen...
Cristina del Carmen Arroyo Siruela Día de la mujer ingeniera: construyendo nuevos caminos El término “ingeniero” proviene del latín, ingenium, en castellano ingenio. Desde hace mucho tiempo, se ha asociado el mundo de la ingeniería con el sexo masculino. Pero ¿es el...
Cristina del Carmen Arroyo Siruela Los ataques más comunes contra las contraseñas y cómo protegerte Una credencial de acceso es básicamente un nombre de usuario y una contraseña asociada a esa persona y a los permisos de accesos que tiene otorgados para una aplicación,...
Telefónica Tech Webinar: Sports Tech, la revolución digital del fútbol El pasado 15 de junio desde Telefónica Tech organizamos un webinar dedicado a la tecnología en el deporte: “Sports Tech, la revolución digital del fútbol”, disponible ya en nuestro...
Telefónica Tech Boletín semanal de ciberseguridad, 13 — 17 de junio Hertzbleed. Nuevo ataque de canal lateral contra procesadores AMD e Intel Investigadores de seguridad de varias universidades de Estados Unidos han descubierto un nuevo ataque de canal lateral que afecta...
Telefónica Tech ¡Estamos de estreno! Conoce la nueva web de Telefónica Tech Cyber Security & Cloud En Telefónica Tech no dejamos de crecer y de trabajar para ser el partner tecnológico de las empresas en su proceso de transformación digital. Como parte de este propósito Telefónica Tech...