Verificando Identidad de sitios

Una URL con candado indica un canal protegido bajo ciertas condiciones, no que la página sea honesta. La identidad del sitio y lo que nos pide hacer siguen necesitando revisión. Bonito certificado, igual revisemos el ritual. (￢‿￢ )

Ejercicio histórico de inspección de certificados de diez sitios. La captura muestra lo observado entonces; no acredita la identidad legal, honestidad ni estado actual de cada servicio.

Google

Empecemos con uno sencillo para explicar el proceso: Google La forma más rápida, en navegadores basados en chromium es la de ir al sitio, hacer click aquí:

Presionamos Connection is secure Luego vamos a Certificate is valid Y nos dará la siguiente ventanita: Donde podemos ver:

A quién se le entregó
- Su nombre común (CN), si aparece. Para verificar el nombre del servicio TLS se usan los identificadores apropiados de Subject Alternative Name (SAN), no se debe depender del CN
- Organización
- Unidad organizacional
Quién lo entregó
- CN (en este caso WR2)
- O (en este caso es el mismo servicio de google trust)
- OU
El periodo de validez
- Desde cuando
- Hasta cuando
La huella de identidad SHA-256
- La huella del certificado
- Si la UI muestra una huella de la clave pública, es un resumen de esa clave, no la clave misma

Alternativamente podemos ir a las herramientas de desarrollador y

Presionar la pestaña de Security
Presionar View certificate nos mostrará la misma ventana.

Desafío Latam

La captura del ejercicio se asoció a desafio Latam
Fue emitido por una entidad confiable (Google Trust Services)
El certificado permite comprobar el dominio y los atributos que figuran en él; un certificado de validación de dominio no demuestra por sí solo el dueño legal.
Además incluye las huellas, la emisión y cuando expira.

Mi sitio web

Mi sitio de apuntes personales Aquí tenemos una nueva entidad: Let's Encrypt https://letsencrypt.org/es/

Emite certificados de forma gratuita. El certificado está firmado; el cifrado de la conexión es otra función del protocolo TLS.

Epublibre

Sitio para respaldos de libros Nuevamente Let's Encrypt :) pero esta vez es R11 R11 es el nombre de un certificado intermedio de Let’s Encrypt; no es el número de serie de cada certificado de sitio. más información aquí

RPGFan

Página para fans de los juegos RPG

Saint11.art

Página de un dibujante de pixel art con muchos tutoriales

TVTropes

Página para leer sobre "tropos" (elementos narrativos que se repiten en todas las obras) de series

En esta tenemos un certificado Amazon que utiliza RSA 2048 M02

Github.io

GitHub Pages publica sitios estáticos desde repositorios; subir una aplicación a GitHub no la despliega automáticamente como backend. GitHub Docs.

Aquí tenemos otra entidad: Digicert Inc Es otra autoridad de certificación. Las tarifas dependen del servicio y de la fecha de contratación.

Ese nombre identifica un emisor intermedio. No significa que RSA y SHA-256 sean dos algoritmos de cifrado de la conexión; la firma del certificado y el canal TLS tienen funciones distintas.

SII.cl

La página del servicio de impuestos internos. Aquí tenemos otra entidad de confianza: GlobalSign

Certificado expirado

Un sitio con un certificado expirado de prueba

Así podemos ver un certificado expirado: Venció el 2016

Otro ejemplo importante, del que no he podido encontrar, es cuando un certificado se emitió a un dominio, pero estamos en otro, lo que produce una discrepancia entre el nombre esperado y el certificado. Puede ser una mala configuración o un ataque; el fallo no demuestra suplantación por sí solo.

Síntesis

Los certificados son importantes para verificar la identidad y validez del sitio que visitamos. Si bien un certificado expirado no es necesariamente una señal de que algo malo pasa, si es algo a tener consideración. Quizás simplemente venció reciente y están en proceso de revalidarlo. Lo que sí, hay que tener ojo con el dominio/subdominio al que fue emitido para así evitar ataques de suplantación de identidad.

Uno que recuerdo de hace algunos años fue una página de phishing del banco que tenía el certificado "casi" exactamente igual. Alcance de las capturas: muestran certificados del momento en que se hizo el ejercicio. Contraste conceptual: RFC 5280 y Let’s Encrypt: nuevos intermedios.

Para la comprobación del nombre del servicio: RFC 9525, identidad de servicios en TLS.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi]                      |
| SEAL: sha256/12: ae5aae9bcfe1          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+