Entradas Etiquetadas :

ssl

certificados digitales prestigia seguridad
Como proteger tus certificados digitales
1020 680 Prestigia

Todos los días trabajamos con certificados digitales para comunicarnos de forma segura con terceros (clientes, proveedores, administración pública, etc.). Esta comunicación incluye el envío de documentos, acceso a la administración electrónica, presentación de documentos, firma de contratos, etc. Pero, ¿protegemos de una forma correcta y eficiente nuestros certificados digitales? ¿Qué es la centralización de certificados? ¿Cómo ayuda a su empresa en su proceso de digitalización?

El certificado digital es un elemento de uso masivo en los lugares de trabajo que permite trabajar en el entorno web acreditando a nuestra persona o actuando en nombre de la empresa o pyme. Sin embargo, sin las medidas de seguridad adecuadas, un tercero puede acceder a información confidencial sin nuestro conocimiento e incluso impersonar nuestra identidad o la de la compañía o pyme sobre la que trabajemos.

La centralización de certificados digitales significa que todos los certificados se recopilan en un solo punto, de esta forma gestionamos y controlamos el uso que hacen los diferentes usuarios de cada certificado digital. Por tanto, el objetivo de la centralización de certificados es evitar la falta de control que se origina cuando se utilizan múltiples certificados en una empresa, corriendo el riesgo de robo de información e incluso de identidad.

Ventajas de centralizar nuestros certificados digitales

Es importante contar con herramientas que protejan la identidad digital de nuestra organización. A continuación, te detallamos algunas de las ventajas de centralizar nuestros certificados digitales:

  • Instalación: las personas menos familiarizadas con la instalación y configuración de certificados pueden encontrar abrumador el proceso de instalación de un certificado. Con un clic, desde nuestro almacén de certificados se permite a un usuario de instalar y configurar un certificado SSL.
  • Monitoreo: se necesita una vigilancia y monitorización constante para mantener la protección nuestros certificados digitales cara a evitar su robo o uso fraudulento. La monitorización de certificados, supervisa todos los certificados SSL de una organización y notifica a los administradores sobre los intentos de suplantación de identidad.
  • Inspección: es difícil mantener actualizada la información detallada sobre cada certificado digital. El inspector de certificados realiza análisis de vulnerabilidades y ofrece análisis e información sobre certificados y configuraciones inseguras, lo que reduce la carga administrativa y facilita su renovación o modificación en el caso de que sea necesaria.

Monitorizar, implementar, inspeccionar y administrar certificados SSL en una red se hace conveniente y efectivo a través de una plataforma interactiva e intuitiva. Un único sistema de gestión elimina la necesidad de la gestión manual de certificados y permite que los administradores de la empresa o pyme tomen el control y optimicen la seguridad de los certificados SSL en toda la organización.

Conclusiones

Los cibercriminales suelen robar claves privadas a través de ataques de malware sobre las máquinas corporativas, como por ejemplo con ataques de tipo APT. Entre los objetivos particularmente atacados se encuentran las empresas que desarrollan software y, por lo tanto, generan y distribuyen activamente certificados digitales. Cuando los cibercriminales obtengan acceso a las máquinas de desarrollo, buscarán claves privadas expuestas para robar y así poder impersonar a la empresa atacada. La mejor defensa para las organizaciones es simple y compleja a su vez: mantenga sus claves privadas seguras.

En vuestra empresa, ¿utilizáis certificados digitales para firmar documentación interna? ¿realizáis auditorias de seguridad a vuestros certificados y sistemas? Desde Prestigia Seguridad, nuestros expertos están especializados en test de intrusión, análisis de malware y respuesta a incidentes, no dudes en contactar con nosotros para informarte.

https google prestigia seguridad
Evitar penalizaciones SEO en páginas sin HTTPS
1020 680 Prestigia

No hace mucho, Google anunció que cambiar un sitio web al protocolo HTTPS le daría un pequeño impulso en su posicionamiento SEO. Google, siendo el gobernante de Internet y el buscador más utilizado, de ahí la importancia de tener un posicionamiento SEO idóneo frente a nuestros competidores. Muchas personas piensan que instalar un certificado es algo secundario, pero es vital comprender la diferencia entre HTTP y HTTPS para mejorar no solo tu seguridad, sino tu posicionamiento SEO.

Para empezar, es fundamental tener algunos conocimientos básicos, os preguntareis, ¿Por qué Google preferiría HTTPS para los posicionamientos SEO? ¿Y cuáles son los beneficios de usar HTTPS para el SEO? También debes tener en cuenta que existen veneficios enormes utilizando conexiones seguras vía HTTPS par tu compañía o pyme y mejorar la privacidad.

Diferencias entre HTTP y HTTPS

Hay muchas ventajas en utilizar HTTPS frente a HTTP, a continuación, te contamos las principales diferencias.

  • HTTP: Es el protocolo de transferencia de hipertexto (HTTP), se utiliza para enviar y recibir información a través de Internet. HTTP se engloba como un protocolo de capa de aplicación, lo que significa que se centra en cómo se presenta la información al usuario en claro y sin cifrar.
  • HTTPS: El protocolo de transferencia segura de hipertexto (HTTPS) fue desarrollado para permitir la autorización y transacciones completamente seguras. El intercambio de información es confidencial y debe ser seguro para evitar el acceso de fuentes no autorizadas a nuestra información. En pocas palabras, HTTPS es simplemente la versión segura de HTTP.

Ventajas para tu SEO utilizando HTTPS

No debería sorprender a nadie que Google favorezca los sitios web confiables, seguros y certificados. Esto se debe a que los usuarios pueden saber que el sitio web cifrará su información para mayor nivel de seguridad. Pero los usuarios deben comprender que obtener un certificado puede ser un proceso bastante complicado, por lo que permite obtener beneficios de mayor rango.

Cuando el sitio web pasa por el proceso de obtención de un certificado, el emisor del certificado se convierte en el tercero de confianza. Cuando un navegador reconoce un sitio web seguro, utilizará la información del certificado para verificar que el sitio web es exactamente como dice ser, seguro. Cuando un usuario conoce la diferencia entre un sitio web HTTP y HTTPS, puede navegar y sabrá que su información estará segura. Este nivel de seguridad permite a las empresas comenzar y permanecer en la industria del comercio electrónico e Internet gracias a su credibilidad.

Google ahora usa HTTPS como medio de clasificación para su SEO. El análisis de datos ha demostrado que los sitios web HTTPS tienen una mayor ventaja de clasificación sobre los enlaces HTTP, por lo que cambiar a HTTPS beneficiará a cualquier sitio web, ya sea que se trate de información confidencial o no. Esto proporciona tres capas importantes de protección: integridad de los datos para garantizar que los datos no se puedan modificar o romper durante la transferencia sin detección, cifrado de los datos para mantenerlos seguros y autenticación para demostrar que los usuarios se están comunicando con el sitio previsto.

En definitiva, Google explica que los sitios web que utilizan HTTPS tendrán una ligera ventaja de clasificación debido a estos aspectos de seguridad. Aun así, estos sitios web HTTPS seguros solo tendrán un pequeño beneficio del sistema de clasificación general, no más beneficios que los proveedores de contenido de alta calidad.

En vuestra empresa, ¿Utilizáis certificados para vuestras páginas en Internet? ¿Los auditáis de forma periódica para verificar calidad de cifrados, expiración, etc.? Desde Prestigia Seguridad, nuestros expertos realizan pruebas para verificar si tus certificados están correctamente configurados, no dudes en contactar con nosotros para informarte.

vulnerabilidades ssl tls
Vulnerabilidades en SSL y TLS
1020 680 Prestigia

Desde Prestigia Seguridad, en múltiples ocasiones hemos compartido artículos relacionados con consejos y buenas prácticas a seguir sobre Ciberseguridad en vacaciones, por ejemplo, donde comentábamos como en una red Wi-Fi pueden capturar nuestras contraseñas si no navegamos con conexiones HTTPS. Vemos este tema muy interesante y hemos decidido dedicar este artículo de hoy sobre las distintas vulnerabilidades en SSL y TLS que existen, con el fin de que empresas y usuarios sepan algunos de las principales vulnerabilidades (todas corregidas ya) que han logrado romper la seguridad de las comunicaciones cifradas.

¿Qué es SSL (Secure Sockets Layer) y TLS (Transport Layer Security)?

La versión 3.0 de SSL fue catalogada como la última revisión de este protocolo de comunicaciones seguro conocido por las siglas SSL “Secure Sockets Layers”. La evolución de este protocolo de comunicaciones seguras, paso a llamarse TLS “Transport Layer Security” que, comenzando nuevo nombre, comenzó con nuevo versionado, siendo la primera la 1.0. Su función primaria sería el envío de claves de cifrado entre aplicaciones que implementen este protocolo, de forma que se realice una conexión segura entre ellas sobre la cual no se puedan interceptar los datos enviados y recibidos.

Pongamos el siguiente ejemplo, necesitas conectarte con tu banca online, para realizar operaciones, de este modo, el banco nos proporcionara una conexión segura con los protocolos comentados anteriormente. Gracias a esto, ningún atacante en la misma red podrá obtener tu usuario y contraseña de tu banca online. Este tipo de casos podrían darse, por ejemplo, desde una red Wi-Fi compartida con otros usuarios.

A día de hoy, la inmensa mayoría de aplicaciones tanto Web como aplicaciones móviles, utilizan SSL y TLS para proteger las comunicaciones de los usuarios. No obstante, a lo largo del tiempo las diferentes versiones del protocolo han sido revisadas por investigadores de seguridad, que han encontrado de deficiencias que han ayudado a día de hoy, que estos protocolos disfruten de un nivel de seguridad óptimo.

Principales vulnerabilidades SSL y TLS conocidas

Existen numerosas vulnerabilidades descubiertas en SSL/TLS. Dada la complejidad de sus ataques, es complicado poder ejecutarlas en la mayoría de los casos, puesto que la mayoría son investigaciones con una base matemática compleja que requiere entornos y condiciones concretas para poder explotarse, sin embargo, dada su fácil explotación, han llegado a poner los usuarios en serios aprietos, os las compartimos:

  • Ataque Heartbleed: Esta conocida vulnerabilidad afecta a la versión OpenSSL 1.0.1 la cual fue puesta online el 14 de marzo de 2012 y adicionalmente, afecta también a la versión 1.0.1f. Esta vulnerabilidad en su día, afectó a dos tercios de todo internet. Existen aun así otras entidades como puede ser Netcraft, que reducen el impacto hasta el 17% de los servidores web que, siendo empíricos, que 1 de cada 5 servidores posea esta vulnerabilidad, da que pensar. Esta vulnerabilidad permitiría a un atacante tener acceso a esa información que SSL está protegiendo. Este severo error reside en el manejo de memoria en la implementación de «Transport Layer Security Heartbeat Extension» y gracias a ello, pudo ser utilizado para revelar más de 64 kilobytes de la memoria de la aplicación con cada heartbeat.
  • Ataque POODLE: Consiste en el aprovechamiento de una funcionalidad con la cual, cuando un intento de conexión SSL es erróneo, se procede a forzar de nuevo dicha conexión con un protocolo más antiguo. Gracias a esto, el atacante ocasionaría de forma intencionada errores de conexión en este protocolo seguro TLS en las versiones 1.2, 1.1 y 1.0 y de este modo, forzar así el uso de SSL 3.0 para el aprovechamiento de la nueva vulnerabilidad.
  • Ataque BEAST: Denominado como BEAST y con identificador CVE-2011-3389, aprovecha la debilidad en el modo de cifrado CBC “Cipher Block Chaining” de SSL/TLS. De este modo se permitiría a mediante un ataque Man In The Middle “MITM” obtener información de la sesión como podrían ser datos de sesión “cookies” de usuarios.
  • Ataque SWEET32: La vulnerabilidad SWEET32 tiene asignado el identificador CVE-2016-2183. Su explotación se basa en el ataque de colisión en el protocolo SSL y TLS sobre las suites de cifrado que usan bloques de 64 bits para extraer texto plano de los datos cifrados, cuando es utilizado el modo de cifrado CBC.

Soluciones para proteger tus comunicaciones

Ya comentamos las ventajas de implementar correctamente certificados SSL, pero eso no nos libra de ser vulnerables a que nuestras comunicaciones puedan ser espiadas, a continuación de comentamos como minimizar riesgos:

Simplemente, para protegernos sobre las vulnerabilidades POODLE/SWEET32/BEAST básicamente debemos deshabilitar SSL 3 y TLS 1.0 deben estar deshabilitados.

Adicionalmente, como siempre recomendamos, debemos asegurarnos que nuestras aplicaciones y sistema operativo estén actualizados al día.

También deben ser realizadas pruebas adicionales que validen la seguridad de la versión OpenSSL utilizada en su servidor.

Finalizando las buenas prácticas, aconsejamos contratar servicios profesionales para realizar por ejemplo test de intrusión, realizando pruebas de hacking ético, para que seamos notificados de este tipo de vulnerabilidades si nuestros sistemas son vulnerables.

Desde Prestigia Seguridad no queremos dejar de aconsejar como lectura recomendada la entrada sobre errores comunes en la gestión de la seguridad en empresa y recomendar la contratación de profesionales para ejecutar test de seguridad que eviten poner en riesgo los datos de la compañía frente a cibercriminales.

En Prestigia Online S.L. utilizamos cookies para asegurar que damos la mejor experiencia al usuario en nuestro sitio web. Si continúa utilizando este sitio asumiremos que está de acuerdo. Más información sobre las cookies que utilizamos en nuestra Política de cookies.

Configuración de Cookies

Debajo puede elegir el tipo de cookies que permite en esta web. Las funcionales son necesarias para el funcionamiento de la web. Las analíticas nos ayudan a ofrecer contenido más interesante según sus intereses. Las de Social Media ayuda a compartir el contenido que considere interesante.

Pulse el botón "Guardar configuración de cookies" para aplicar selección.

FunctionalOur website uses functional cookies. These cookies are necessary to let our website work.

AnalyticalOur website uses analytical cookies to make it possible to analyze our website and optimize for the purpose of a.o. the usability.

Social mediaOur website places social media cookies to show you 3rd party content like YouTube and FaceBook. These cookies may track your personal data.