Certificate Transparency Checker para Mozilla Firefox
La iniciativa de Certificate Transparency viene impulsada desde el equipo de seguridad de Google y busca justo lo que el nombre pone: Que haya transparencia sobre los certificados digitales que se utilizan en conexiones seguras HTTPs. La idea es tan sencilla como crear repositorios en Internet llamados Logs, donde los due�os de los certificados que van a ser utilizados en servicios web de Internet puedan ser consultados, revisados y analizados. En definitiva, que cualquiera pueda ver la informaci�n de los certificados que se est�n utilizando.
 |
| Figura 1: Certificate Transparency Checker para Mozilla Firefox |
La idea de esta tecnolog�a es permitir que los analistas de seguridad puedan revisar, cu�ndo un certificado digital se da de alta en un Log, la informaci�n relativa al mismo, lo que evitar�a tener que recurrir a los conocidos servicios de escaneo de sitios web en Internet que permiten accede a estos certificados con periodicidad - y de forma incompleta - por supuesto. Lo que se busca es que cualquier certificado pueda ser analizado por quien quiera y sirva para detectar ataques de Phishing, fallos de configuraci�n o investigar la historia de un determinado certificado que fue utilizado en un incidente de seguridad.
 |
| Figura 2: Web del proyecto Certificate Transparency de Google |
Cuando un certificado digital es subido a uno de los servidores Log - puede subirlo a m�ltiples servidores distintos para que exista mayor disponibilidad - recibe lo que se llama SCT (Signed Certifcate Timestamp) que lleva informaci�n del certificado, el servidor Log y la fecha a la que fue subido a dicho servidor Log.
 |
| Figura 3: Esquema de auditor�a de Certificate Transparency con SCTs integrados en el certificado |
Este SCT ser� enviado junto con el certificado digital para garantizar que el due�o de dicho certificado ha expuesto p�blicamente la informaci�n de este certificado para que haya transparencia sobre �l y que cualquiera pueda evaluar su veracidad, robustez y cualquier otro detalle. Para que esto tenga valor, el navegador que utilice un cliente debe dar valor a la existencia o no de esta transparencia, y por ello Google Chrome va a comenzar a generar alertas de seguridad cuando un usuario se conecte a un sitio web que utilice un certificado digital del que no se haya podido verificar su publicaci�n en un servidor de Logs de Certificate Transparency.
 |
| Figura 4: En los eventos de Google Chrome se puede ver la info de los SCT despu�s de recibir el certificado. |
Para ello, cuando se conecta a un sitio web HTTPs analizar� el certificado digital para ver si �ste trae la informaci�n de los SCT en los que ha sido publicado incrustados, o si v�a OSCP o usando extensiones TLS se env�an dichos SCT, que las tres opciones son v�lidas. Si es as�, lo dar� como publicado y sujeto a escrutinio p�blico, por lo que no generar� ninguna alerta, mientras que si no tiene SCTs v�lidos, entonces generar� una alerta en futuras versiones del navegador - no por ahora -.
 |
| Figura 5: Esquema de Certificate Transparency con organizaciones que monitorizan la emisi�n de certificados y auditan los certificados emitidos. |
Se persigue luchar contra los certificados digitales robados o generados de manera fraudulenta que son utilizados en esquemas de Spear Phishing o APTs que generalmente solo son vistos por la v�ctima. De esta forma ahora, si la v�ctima utiliza Google Chrome recibir� una alerta cuando esos certificados est�n fuera de los servidores de Log. Existen muchas dudas a�n al respecto, pero lo cierto es que la fuerza que tiene Google con Chrome har� que se acabe imponiendo de una forma u otra, y por eso algunos navegadores van a comenzar a a tomarse en serio este sistema.
Certificate Transparency Checker en Mozilla Firefox
Nuestros compa�eros del Laboratorio de ElevenPaths han estado haciendo cierto trabajo al respecto, y han lazando un Add-on para Mozilla Firefox llamado Certificate Tansparency Checker que eval�a los certificados digitales en busca de los SCT incrustados, ayudando a que esta informaci�n sea visible y �til dentro del navegador Mozilla Firefox.
 |
| Figura 6: Descarga de Certificate Transparency Checker para Mozilla Firefox |
Para eso te la puedes descargar desde la web del laboratorio de ElevenPaths, e instalar el Add-on en tu navegador Mozilla Firefox. A partir de ese momento, podr�s verificar si un determinado sitio web cumple o no con la especificaci�n de Certificate Transparency como se puede ver en esta imagen.
 |
| Figura 7: Informaci�n de Certificate Transparency del certificado de ElevenPaths |
En el siguiente v�deo se puede ver el proceso completo en un minuto, desde la descarga e instalaci�n del add-on hasta la verificaci�n de la informaci�n SCT contenida en un determinado certificado digital.
Figura 8: Explicaci�n de Certificate Transparency Checker
En este caso, la informaci�n de SCTs que pudieran venir por extensiones TLS o por medio del protocolo OCSP quedan fuera del �mbito, as� que, aunque el porcentaje de uso de TLS u OCSP para enviar info de Certificate Transparency es peque�o, podr�a estar cumpliendo la especificaci�n y que con el plugin de Certificate Transparency Checker no se viera.
Saludos Malignos!
Sigue Un inform�tico en el lado del mal - Google+ RSS 0xWord
download file now