Un pequeño y sencillo ejercicio donde verificaremos la identidad de 10 sitios webs a través de sus certificados.
Empecemos con uno sencillo para explicar el proceso: Google
La forma más rápida, en navegadores basados en chromium es la de ir al sitio, hacer click aquí:
Presionamos Connection is secure
Luego vamos a Certificate is valid
Y nos dará la siguiente ventanita:
Donde podemos ver:
- A quién se le entregó
- Su nombre común (CN)
- Organización
- Unidad organizacional
- Quién lo entregó
- CN (en este caso WR2)
- O (en este caso es el mismo servicio de google trust)
- OU
- El periodo de validez
- Desde cuando
- Hasta cuando
- La huella de identidad SHA-256
- La huella del certificado
- Su llave pública
Alternativamente podemos ir a las herramientas de desarrollador y
- Presionar la pestaña de Security
- Presionar View certificate
nos mostrará la misma ventana.
Desafío Latam
- La identidad corresponde efectivamente a desafio Latam
- Fue emitido por una entidad confiable (Google Trust Services)
- Sabemos el dominio y dueño
- Además incluye las huellas, la emisión y cuando expira.
Mi sitio web
Mi sitio de apuntes personales
Aquí tenemos una nueva entidad:
Let's Encrypt
https://letsencrypt.org/es/
Entrega certificados cifrados gratuitos gracias a donaciones de grandes organizaciones como chrome, aws, mozilla, cisco, ibm, ford foundation, shopify, github, zendesk, etc.
Epublibre
Sitio para respaldos de libros
Nuevamente Let's Encrypt :) pero esta vez es R11
No es más que una numeración en serie para los certificados emitidos por ellos. más información aquí
RPGFan
Página para fans de los juegos RPG
Saint11.art
Página de un dibujante de pixel art con muchos tutoriales
TVTropes
Página para leer sobre "tropos" (elementos narrativos que se repiten en todas las obras) de series
En esta tenemos un certificado Amazon que utiliza RSA 2048 M02
Github.io
Plataforma donde se desplegan las aplicaciones web subidas en github
Aquí tenemos otra entidad: Digicert Inc
Es otra plataforma de certificados seguros con precios que van desde los 22 euros el más básico a los 95 euros el avanzado.
Su CN también nos indica el tipo de certificado, que es TLS con encriptación RSA SHA256 2020 CA1.
SII.cl
La página del servicio de impuestos internos.
Aquí tenemos otra entidad de confianza: GlobalSign
Certificado expirado
Un sitio con un certificado expirado de prueba
Así podemos ver un certificado expirado: Venció el 2016
Otro ejemplo importante, del que no he podido encontrar, es cuando un certificado se emitió a un dominio, pero estamos en otro, lo que sería una suplantación de SSL o "Spoofing".
Síntesis
Los certificados son importantes para verificar la identidad y validez del sitio que visitamos.
Si bien un certificado expirado no es necesariamente una señal de que algo malo pasa, si es algo a tener consideración. Quizás simplemente venció reciente y están en proceso de revalidarlo.
Lo que sí, hay que tener ojo con el dominio/subdominio al que fue emitido para así evitar ataques de suplantación de identidad.
Uno que recuerdo de hace algunos años fue una página de phishing del banco que tenía el certificado "casi" exactamente igual.