ssl archivos — Prestigia

Cómo proteger canales de comunicación en tu empresa

https://seguridad.prestigia.es/wp-content/uploads/2022/03/proteger-comunicaciones-prestigia-seguridad.png 1020 680 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2022/03/proteger-comunicaciones-prestigia-seguridad.png 3 mayo, 2022 6 marzo, 2022

3 mayo, 2022

Los canales de comunicación se pueden considerar como los medios de transmisión de información entre dispositivos y usuarios en una red. El ritmo al que se han adoptado las tecnologías en los últimos años ha llevado a una intercomunicación mucho mayor entre los tipos de dispositivos, redes, etc. El estándar por el cual estos dispositivos se conectan entre sí se denomina sistemas unificados de información y comunicaciones, y es ampliamente visto como algo bueno por su facilidad de uso y configuración para muchas clases diferentes de dispositivos, sin embargo, estos estándares muchas veces no implementan cifrados en sus comunicaciones de base, permitiendo que un potencial atacante pueda interceptar la información e incluso modificarla.

La privacidad depende del control del acceso a la información confidencial y el anonimato juega un papel fundamental, obstaculiza el descubrimiento de información y reduce su exposición a terceros. Puedes realizar el envío de información confidencial, con menos preocupación por las consecuencias y es esencial cuando puedes ser foco de un ataque.

Dado el tema tan importante que tamos a tratar, proponemos una serie de estándares a nivel empresarial para la protección y envío de información confidencial en tu organización.

Protocolos para proteger tus canales de comunicación

Internet puede ser un lugar peligroso si no se toman las medidas de seguridad necesarias, conceptos como fraude y robo de datos están al día. Para ayudar a proteger los datos de tu pequeña empresa, es una buena idea tener una comprensión básica de los protocolos seguros de Internet. Estos protocolos se utilizan para transacciones financieras, transferencias de archivos e incluso correo electrónico. Lo más probable es que uses estos protocolos todos los días, ya sea que te hayas dado cuenta de lo que son o no, te los explicamos:

HTTPS: Muchos sitios web utilizan el protocolo de transferencia de hipertexto seguro (HTTPS) como una versión segura del Protocolo de transferencia de hipertexto (HTTP). Puede saber fácilmente si un sitio web utiliza esta seguridad mirando la barra de direcciones en la parte superior de su navegador web. Cuando te conectas a un sitio web con HTTPS, la conexión se cifra con un certificado digital. A menudo se usa en sitios web que ofrecen transacciones financieras, como sitios web de banca en línea.
SSH: Secure Shell (SSH) es un protocolo utilizado para iniciar sesión de forma segura en un equipo remoto. Se puede utilizar para conectarte de forma segura a un servidor de tu organización, una red privada virtual (VPN) o un servidor de transferencia de archivos como en el caso de SFTP.
IPSec: Es un conjunto de protocolos adoptado por empresas como Microsoft y Cisco para crear conexiones seguras y encriptadas entre equipos en Internet. Los estándares IPsec están controlados por el Grupo de Trabajo de Ingeniería de Internet (IETF). IPsec te defiende contra ataques de corrupción y robo de datos y ataques de spoofing. Los servidores de Windows utilizan IPsec para controlar servidores, equipos y redes de forma remota.

Para aquellos que se preocupan por la seguridad y la privacidad, el uso de estos protocolos ha sido durante mucho tiempo la configuración estándar para conexiones seguras entre tu organización y el exterior, ya sea para conectar a la banca online, conectar a al correo electrónico o transferir ficheros de forma segura.

Y vosotros, ¿Utilizáis por ejemplo SSH para conectar y gestionar vuestros servidores? En el caso de que no uséis SSH por ejemplo ¿Implementáis capas como por ejemplo el uso de IPSec o VPN? Desde Prestigia Seguridad, nuestros expertos están especializados en test de intrusión, análisis de malware y respuesta a incidentes, no dudes en contactar con nosotros para informarte.

Como proteger tus certificados digitales

https://seguridad.prestigia.es/wp-content/uploads/2021/09/certificados-digitales-prestigia-seguridad.png 1020 680 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2021/09/certificados-digitales-prestigia-seguridad.png 23 noviembre, 2021 8 diciembre, 2021

23 noviembre, 2021

Todos los días trabajamos con certificados digitales para comunicarnos de forma segura con terceros (clientes, proveedores, administración pública, etc.). Esta comunicación incluye el envío de documentos, acceso a la administración electrónica, presentación de documentos, firma de contratos, etc. Pero, ¿protegemos de una forma correcta y eficiente nuestros certificados digitales? ¿Qué es la centralización de certificados? ¿Cómo ayuda a su empresa en su proceso de digitalización?

El certificado digital es un elemento de uso masivo en los lugares de trabajo que permite trabajar en el entorno web acreditando a nuestra persona o actuando en nombre de la empresa o pyme. Sin embargo, sin las medidas de seguridad adecuadas, un tercero puede acceder a información confidencial sin nuestro conocimiento e incluso impersonar nuestra identidad o la de la compañía o pyme sobre la que trabajemos.

La centralización de certificados digitales significa que todos los certificados se recopilan en un solo punto, de esta forma gestionamos y controlamos el uso que hacen los diferentes usuarios de cada certificado digital. Por tanto, el objetivo de la centralización de certificados es evitar la falta de control que se origina cuando se utilizan múltiples certificados en una empresa, corriendo el riesgo de robo de información e incluso de identidad.

Ventajas de centralizar nuestros certificados digitales

Es importante contar con herramientas que protejan la identidad digital de nuestra organización. A continuación, te detallamos algunas de las ventajas de centralizar nuestros certificados digitales:

Instalación: las personas menos familiarizadas con la instalación y configuración de certificados pueden encontrar abrumador el proceso de instalación de un certificado. Con un clic, desde nuestro almacén de certificados se permite a un usuario de instalar y configurar un certificado SSL.
Monitoreo: se necesita una vigilancia y monitorización constante para mantener la protección nuestros certificados digitales cara a evitar su robo o uso fraudulento. La monitorización de certificados, supervisa todos los certificados SSL de una organización y notifica a los administradores sobre los intentos de suplantación de identidad.
Inspección: es difícil mantener actualizada la información detallada sobre cada certificado digital. El inspector de certificados realiza análisis de vulnerabilidades y ofrece análisis e información sobre certificados y configuraciones inseguras, lo que reduce la carga administrativa y facilita su renovación o modificación en el caso de que sea necesaria.

Monitorizar, implementar, inspeccionar y administrar certificados SSL en una red se hace conveniente y efectivo a través de una plataforma interactiva e intuitiva. Un único sistema de gestión elimina la necesidad de la gestión manual de certificados y permite que los administradores de la empresa o pyme tomen el control y optimicen la seguridad de los certificados SSL en toda la organización.

Conclusiones

Los cibercriminales suelen robar claves privadas a través de ataques de malware sobre las máquinas corporativas, como por ejemplo con ataques de tipo APT. Entre los objetivos particularmente atacados se encuentran las empresas que desarrollan software y, por lo tanto, generan y distribuyen activamente certificados digitales. Cuando los cibercriminales obtengan acceso a las máquinas de desarrollo, buscarán claves privadas expuestas para robar y así poder impersonar a la empresa atacada. La mejor defensa para las organizaciones es simple y compleja a su vez: mantenga sus claves privadas seguras.

En vuestra empresa, ¿utilizáis certificados digitales para firmar documentación interna? ¿realizáis auditorias de seguridad a vuestros certificados y sistemas? Desde Prestigia Seguridad, nuestros expertos están especializados en test de intrusión, análisis de malware y respuesta a incidentes, no dudes en contactar con nosotros para informarte.

Evitar penalizaciones SEO en páginas sin HTTPS

https://seguridad.prestigia.es/wp-content/uploads/2021/09/https-google-prestigia-seguridad.png 1020 680 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2021/09/https-google-prestigia-seguridad.png 19 octubre, 2021 8 diciembre, 2021

19 octubre, 2021

No hace mucho, Google anunció que cambiar un sitio web al protocolo HTTPS le daría un pequeño impulso en su posicionamiento SEO. Google, siendo el gobernante de Internet y el buscador más utilizado, de ahí la importancia de tener un posicionamiento SEO idóneo frente a nuestros competidores. Muchas personas piensan que instalar un certificado es algo secundario, pero es vital comprender la diferencia entre HTTP y HTTPS para mejorar no solo tu seguridad, sino tu posicionamiento SEO.

Para empezar, es fundamental tener algunos conocimientos básicos, os preguntareis, ¿Por qué Google preferiría HTTPS para los posicionamientos SEO? ¿Y cuáles son los beneficios de usar HTTPS para el SEO? También debes tener en cuenta que existen veneficios enormes utilizando conexiones seguras vía HTTPS par tu compañía o pyme y mejorar la privacidad.

Diferencias entre HTTP y HTTPS

Hay muchas ventajas en utilizar HTTPS frente a HTTP, a continuación, te contamos las principales diferencias.

HTTP: Es el protocolo de transferencia de hipertexto (HTTP), se utiliza para enviar y recibir información a través de Internet. HTTP se engloba como un protocolo de capa de aplicación, lo que significa que se centra en cómo se presenta la información al usuario en claro y sin cifrar.
HTTPS: El protocolo de transferencia segura de hipertexto (HTTPS) fue desarrollado para permitir la autorización y transacciones completamente seguras. El intercambio de información es confidencial y debe ser seguro para evitar el acceso de fuentes no autorizadas a nuestra información. En pocas palabras, HTTPS es simplemente la versión segura de HTTP.

Ventajas para tu SEO utilizando HTTPS

No debería sorprender a nadie que Google favorezca los sitios web confiables, seguros y certificados. Esto se debe a que los usuarios pueden saber que el sitio web cifrará su información para mayor nivel de seguridad. Pero los usuarios deben comprender que obtener un certificado puede ser un proceso bastante complicado, por lo que permite obtener beneficios de mayor rango.

Cuando el sitio web pasa por el proceso de obtención de un certificado, el emisor del certificado se convierte en el tercero de confianza. Cuando un navegador reconoce un sitio web seguro, utilizará la información del certificado para verificar que el sitio web es exactamente como dice ser, seguro. Cuando un usuario conoce la diferencia entre un sitio web HTTP y HTTPS, puede navegar y sabrá que su información estará segura. Este nivel de seguridad permite a las empresas comenzar y permanecer en la industria del comercio electrónico e Internet gracias a su credibilidad.

Google ahora usa HTTPS como medio de clasificación para su SEO. El análisis de datos ha demostrado que los sitios web HTTPS tienen una mayor ventaja de clasificación sobre los enlaces HTTP, por lo que cambiar a HTTPS beneficiará a cualquier sitio web, ya sea que se trate de información confidencial o no. Esto proporciona tres capas importantes de protección: integridad de los datos para garantizar que los datos no se puedan modificar o romper durante la transferencia sin detección, cifrado de los datos para mantenerlos seguros y autenticación para demostrar que los usuarios se están comunicando con el sitio previsto.

En definitiva, Google explica que los sitios web que utilizan HTTPS tendrán una ligera ventaja de clasificación debido a estos aspectos de seguridad. Aun así, estos sitios web HTTPS seguros solo tendrán un pequeño beneficio del sistema de clasificación general, no más beneficios que los proveedores de contenido de alta calidad.

En vuestra empresa, ¿Utilizáis certificados para vuestras páginas en Internet? ¿Los auditáis de forma periódica para verificar calidad de cifrados, expiración, etc.? Desde Prestigia Seguridad, nuestros expertos realizan pruebas para verificar si tus certificados están correctamente configurados, no dudes en contactar con nosotros para informarte.

Vulnerabilidades en SSL y TLS

https://seguridad.prestigia.es/wp-content/uploads/2020/03/vulnerabilidades-ssl-tls.jpg 1020 680 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2020/03/vulnerabilidades-ssl-tls.jpg 10 marzo, 2020 2 marzo, 2020

10 marzo, 2020

Desde Prestigia Seguridad, en múltiples ocasiones hemos compartido artículos relacionados con consejos y buenas prácticas a seguir sobre Ciberseguridad en vacaciones, por ejemplo, donde comentábamos como en una red Wi-Fi pueden capturar nuestras contraseñas si no navegamos con conexiones HTTPS. Vemos este tema muy interesante y hemos decidido dedicar este artículo de hoy sobre las distintas vulnerabilidades en SSL y TLS que existen, con el fin de que empresas y usuarios sepan algunos de las principales vulnerabilidades (todas corregidas ya) que han logrado romper la seguridad de las comunicaciones cifradas.

¿Qué es SSL (Secure Sockets Layer) y TLS (Transport Layer Security)?

La versión 3.0 de SSL fue catalogada como la última revisión de este protocolo de comunicaciones seguro conocido por las siglas SSL “Secure Sockets Layers”. La evolución de este protocolo de comunicaciones seguras, paso a llamarse TLS “Transport Layer Security” que, comenzando nuevo nombre, comenzó con nuevo versionado, siendo la primera la 1.0. Su función primaria sería el envío de claves de cifrado entre aplicaciones que implementen este protocolo, de forma que se realice una conexión segura entre ellas sobre la cual no se puedan interceptar los datos enviados y recibidos.

Pongamos el siguiente ejemplo, necesitas conectarte con tu banca online, para realizar operaciones, de este modo, el banco nos proporcionara una conexión segura con los protocolos comentados anteriormente. Gracias a esto, ningún atacante en la misma red podrá obtener tu usuario y contraseña de tu banca online. Este tipo de casos podrían darse, por ejemplo, desde una red Wi-Fi compartida con otros usuarios.

A día de hoy, la inmensa mayoría de aplicaciones tanto Web como aplicaciones móviles, utilizan SSL y TLS para proteger las comunicaciones de los usuarios. No obstante, a lo largo del tiempo las diferentes versiones del protocolo han sido revisadas por investigadores de seguridad, que han encontrado de deficiencias que han ayudado a día de hoy, que estos protocolos disfruten de un nivel de seguridad óptimo.

Principales vulnerabilidades SSL y TLS conocidas

Existen numerosas vulnerabilidades descubiertas en SSL/TLS. Dada la complejidad de sus ataques, es complicado poder ejecutarlas en la mayoría de los casos, puesto que la mayoría son investigaciones con una base matemática compleja que requiere entornos y condiciones concretas para poder explotarse, sin embargo, dada su fácil explotación, han llegado a poner los usuarios en serios aprietos, os las compartimos:

Ataque Heartbleed: Esta conocida vulnerabilidad afecta a la versión OpenSSL 1.0.1 la cual fue puesta online el 14 de marzo de 2012 y adicionalmente, afecta también a la versión 1.0.1f. Esta vulnerabilidad en su día, afectó a dos tercios de todo internet. Existen aun así otras entidades como puede ser Netcraft, que reducen el impacto hasta el 17% de los servidores web que, siendo empíricos, que 1 de cada 5 servidores posea esta vulnerabilidad, da que pensar. Esta vulnerabilidad permitiría a un atacante tener acceso a esa información que SSL está protegiendo. Este severo error reside en el manejo de memoria en la implementación de «Transport Layer Security Heartbeat Extension» y gracias a ello, pudo ser utilizado para revelar más de 64 kilobytes de la memoria de la aplicación con cada heartbeat.
Ataque POODLE: Consiste en el aprovechamiento de una funcionalidad con la cual, cuando un intento de conexión SSL es erróneo, se procede a forzar de nuevo dicha conexión con un protocolo más antiguo. Gracias a esto, el atacante ocasionaría de forma intencionada errores de conexión en este protocolo seguro TLS en las versiones 1.2, 1.1 y 1.0 y de este modo, forzar así el uso de SSL 3.0 para el aprovechamiento de la nueva vulnerabilidad.
Ataque BEAST: Denominado como BEAST y con identificador CVE-2011-3389, aprovecha la debilidad en el modo de cifrado CBC “Cipher Block Chaining” de SSL/TLS. De este modo se permitiría a mediante un ataque Man In The Middle “MITM” obtener información de la sesión como podrían ser datos de sesión “cookies” de usuarios.
Ataque SWEET32: La vulnerabilidad SWEET32 tiene asignado el identificador CVE-2016-2183. Su explotación se basa en el ataque de colisión en el protocolo SSL y TLS sobre las suites de cifrado que usan bloques de 64 bits para extraer texto plano de los datos cifrados, cuando es utilizado el modo de cifrado CBC.

Soluciones para proteger tus comunicaciones

Ya comentamos las ventajas de implementar correctamente certificados SSL, pero eso no nos libra de ser vulnerables a que nuestras comunicaciones puedan ser espiadas, a continuación de comentamos como minimizar riesgos:

Simplemente, para protegernos sobre las vulnerabilidades POODLE/SWEET32/BEAST básicamente debemos deshabilitar SSL 3 y TLS 1.0 deben estar deshabilitados.

Adicionalmente, como siempre recomendamos, debemos asegurarnos que nuestras aplicaciones y sistema operativo estén actualizados al día.

También deben ser realizadas pruebas adicionales que validen la seguridad de la versión OpenSSL utilizada en su servidor.

Finalizando las buenas prácticas, aconsejamos contratar servicios profesionales para realizar por ejemplo test de intrusión, realizando pruebas de hacking ético, para que seamos notificados de este tipo de vulnerabilidades si nuestros sistemas son vulnerables.

Desde Prestigia Seguridad no queremos dejar de aconsejar como lectura recomendada la entrada sobre errores comunes en la gestión de la seguridad en empresa y recomendar la contratación de profesionales para ejecutar test de seguridad que eviten poner en riesgo los datos de la compañía frente a cibercriminales.