Re: [øŧ] certificado a borrar
2011/9/5 hubble <hubble@telefonica.net>:
> Increíblemente en debian testing disfrutamos de iceweasel 5.0, algo que creía que no llegaría hasta la próxima década tal y como nos tiene acostumbrados debian.
>
> La cosa es que supongo que sabéis que nuestros navegadores web (no solo en iceweasel) vienen con unos certificados de seguridad de diversas empresas certificadoras.
>
> Un certificado digital (también conocido como certificado de clave pública o certificado de identidad) es un documento digital mediante el cual un tercero confiable (una autoridad de certificación) garantiza la vinculación entre la identidad de un sujeto o entidad (por ejemplo: nombre, dirección y otros aspectos de identificación) y una clave pública.
>
> Este tipo de certificados se emplea para comprobar que una clave pública pertenece a un individuo o entidad. La existencia de firmas en los certificados aseguran por parte del firmante del certificado (una autoridad de certificación, por ejemplo) que la información de identidad y la clave pública perteneciente al usuario o entidad referida en el certificado digital están vinculadas.
>
> para saber más (http://es.wikipedia.org/wiki/Certificado_digital)
>
> Pues bien, el caso es que hace ya unos meses (se sabe desde junio), la empresa DigiNotar fue crackeada y se expidieron certificados falsos de diversos dominios de google.
>
> Estos certificados ¿falsos? han estado a la venta por internet e incluso algún gobierno (por el ejemplo el caso de Siria) lo han podido utilizar para realizar un MIM (para saber más http://es.wikipedia.org/wiki/Ataque_Man-in-the-middle), apoyados por los ISP del país, a las personas que se conectaban a google (gmail)a gestionar su correo quedando su cuenta y contraseñas al descubierto y pudiendo ser presa de la represión si fuera el caso.
>
> En la mayoría de las actualizaciones de los navegadores para otras distribuciones de software se ha reparado ese problema de seguridad.
>
> A la velocidad a la que nos actualizamos en debian creo que eso no se sabe cuándo llegará.
>
> Es por ello que os informo del hecho y de que si queréis protegeros debéis de borrar ese certificado de seguridad que acompaña vuestro navegador de la siguiente manera en iceweasel:
>
> Edita/Preferencias/Avanzado/Cifrado/ allí pulsamos el botón de "Visualiza los certificados"
>
> Buscamos el de DigiNotar y lo eliminamos sin contemplaciones (esa compañía ya no es fiable)
>
> No os fiéis de lo que digo, buscad información en internet y veréis que es cierto.
>
> Para otros navegadores actuad de la misma manera si os es posible.
>
Para los que no lo sepan, en Testing las cosas están bastante avanzadas:
* Se actualizó el paquete ca-certificates[1] revocando los certificados
* Icedove fue actualizado también a tal efecto [2]
[1] http://packages.debian.org/changelogs/pool/main/c/ca-certificates/ca-certificates_20110502+nmu1/changelog
[2] http://packages.debian.org/changelogs/pool/main/i/icedove/icedove_3.1.13-1/changelog
Sólo faltaría revocar los certificados en los navegadores. Así que
gracias por el mail con la explicación.
Saludos,
Toote
PD: iceweasel 6.0 está en unstable desde hace una semana
http://packages.qa.debian.org/i/iceweasel.html
--
Web: http://www.enespanol.com.ar
Reply to: