![\"\"](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/88\/2018\/04\/27101845\/certificates-are-different-featured-1024x672.jpg\")
<\/p>\nDecimos que una conexi\u00f3n es segura cuando est\u00e1 cifrada. Es muy simple, \u00bfverdad? \u00bfPero de d\u00f3nde proceden los certificados y cu\u00e1l es la diferencia entre SSL y TLS? Adem\u00e1s, \u00bfqu\u00e9 relaci\u00f3n tienen los certificados digitales con la seguridad?<\/p>\n
En este art\u00edculo, vamos a intentar responder a algunas de tus preguntas. Pero primero vamos a recordar lo que significan HTTP y HTTPS en la barra de direcciones de tu navegador.<\/p>\n
<\/p>\n
Cuando un usuario lee o introduce datos en un sitio web, se produce un intercambio de informaci\u00f3n entre su ordenador y el servidor en el que se aloja el sitio. El proceso se rige por un protocolo de transferencia de datos llamado HTTP (siglas en ingl\u00e9s de Protocolo de transferencia de hipertexto).<\/p>\n
HTTP tambi\u00e9n tiene una extensi\u00f3n llamada HTTPS (siglas en ingl\u00e9s de Protocolo seguro de transferencia de hipertexto). Esta versi\u00f3n segura se encarga de transferir la informaci\u00f3n entre el cliente y el servidor de forma cifrada, por lo que \u00fanicamente el cliente y el servidor podr\u00e1n disponer de esta informaci\u00f3n, sin intromisi\u00f3n de terceras partes (por ejemplo, un proveedor o administrador de wifi).<\/p>\n
Los datos que se transmiten desde el cliente al servidor est\u00e1n a su vez cifrados con su propio protocolo cifrado. El primer protocolo creado para este prop\u00f3sito fue SSL (siglas en ingl\u00e9s para \u201ccapa de puertos seguros\u201d). Hubo varias versiones del protocolo SSL y todas ellas tuvieron problemas de seguridad. Por ello apareci\u00f3 una nueva versi\u00f3n con el nombre TLS (siglas en ingl\u00e9s para \u201cseguridad de la capa de transporte\u201d), actualmente en uso. Sin embargo, aunque se le haya cambiado el nombre, sigue conoci\u00e9ndose com\u00fanmente con las iniciales antiguas.<\/p>\n
Para cifrar los datos, los sitios requieren un certificado, tambi\u00e9n llamado firma digital, que confirma que el mecanismo de cifrado es de confianza y cumple con el protocolo. Adem\u00e1s de las letras S<\/em> en HTTPS, otra forma de identificar un sitio seguro es con el candado verde (o escudo en algunos navegadores) y la frase Es seguro<\/em> o el nombre de la empresa en la barra de direcciones del navegador. Puedes comprobarlo ahora mismo en la parte superior de tu navegador, todos los sitios web de Kaspersky Lab usan HTTPS.<\/p>\n Los certificados se pueden obtener de dos formas distintas. Por un lado, est\u00e1n los certificados autofirmados<\/i>, que se emiten y firman por un webmaster<\/i>. Cuando un usuario intenta acceder al sitio, recibe un aviso de que el certificado no es de confianza.<\/p>\n La forma de identificar un sitio que no sea seguro var\u00eda seg\u00fan el navegador. La ventana puede mostrar un candado tachado, un escudo rojo, las palabras No es seguro<\/em>, las letras HTTPS<\/em> en rojo en vez de en verde o el HTTPS<\/em> de la barra de direcciones tachado y resaltado en rojo.<\/p>\n La mejor opci\u00f3n es comprar un certificado firmado por una autoridad de certificado (AC o CA en ingl\u00e9s, Certification Authority). Las CA comprueban los documentos del propietario del sitio y el derecho a poseer el dominio. Despu\u00e9s de todo, la presencia de un certificado debe indicar que la fuente pertenece a una empresa leg\u00edtima registrada en una regi\u00f3n en concreto.<\/p>\n Aunque existen muchas CA, puedes contar con una mano las de confianza. La reputaci\u00f3n de una CA determina en qu\u00e9 medida los desarrolladores de navegadores conf\u00edan en ella y c\u00f3mo muestran los sitios que llevan sus certificados. El precio de un certificado depende del tipo y del periodo de validez y de la reputaci\u00f3n de la CA.<\/p>\n Los certificados firmados por CA se presentan de muchas formas y, seg\u00fan el nivel de confianza, var\u00eda qui\u00e9n puede recibir esta acreditaci\u00f3n, c\u00f3mo y a qu\u00e9 precio.<\/p>\n Para conseguir un certificado con validaci\u00f3n de dominio (conocido por sus siglas en ingl\u00e9s, DV, Domain Validation certificate<\/em>), una entidad individual o legal debe demostrar que posee el dominio en cuesti\u00f3n o que administra su sitio en \u00e9l. Este certificado permite que se establezca una conexi\u00f3n segura, pero no contiene informaci\u00f3n sobre la organizaci\u00f3n a la que pertenece y no se requiere ning\u00fan documento para expedirlo. Para obtener este tipo de certificado solo le tienes que dedicar unos pocos minutos.<\/p>\n Las versiones superiores reciben el nombre de certificado de validaci\u00f3n de organizaci\u00f3n (conocido por sus siglas en ingl\u00e9s, OV, Organization Validation certificate<\/em>) y confirman no solo que la conexi\u00f3n al dominio es segura, sino tambi\u00e9n que el dominio pertenece a la organizaci\u00f3n que se especifica en el certificado. La revisi\u00f3n de todos los documentos y la expedici\u00f3n del certificado puede llevar varios d\u00edas. Si un sitio cuenta con uno de estos certificados, el navegador muestra un candado gris o verde con las palabras Es seguro<\/em> y las letras HTTPS<\/em> en la barra de direcciones.<\/p>\n Por \u00faltimo, tenemos los certificados de validaci\u00f3n extendida (conocido por sus siglas en ingl\u00e9s, EV, Extended Validation certificate<\/em>). Como con los de validaci\u00f3n de organizaci\u00f3n, solo las entidades legales que hayan proporcionado todos los documentos necesarios pueden obtener este tipo de certificados. El nombre y la ubicaci\u00f3n de la organizaci\u00f3n aparecen en verde, junto a un candado de este mismo color en la barra de direcciones.<\/p>\n La mayor\u00eda de los navegadores conf\u00edan en estos certificados que, por cierto, son los m\u00e1s caros. La informaci\u00f3n del certificado (qui\u00e9n lo ha expedido, cu\u00e1ndo, su periodo de validez) puede visualizarse haciendo clic en el nombre de la organizaci\u00f3n o en las palabras Es seguro<\/em>.<\/p>\n La seguridad online<\/i> y la protecci\u00f3n de los datos de usuario son los principios b\u00e1sicos que tienen en cuenta los desarrolladores de navegadores como Google y Mozilla en sus pol\u00edticas. Por ejemplo, en oto\u00f1o del 2017, Google anunci\u00f3<\/a> que a partir de ese momento empezaba a categorizar y avergonzar a todas las p\u00e1ginas HTTP con la etiqueta \u201cNo es seguro\u201d, lo que obstaculizar\u00eda el tr\u00e1fico de usuarios.<\/p>\n Este movimiento de Google oblig\u00f3 a que los sitios HTTP compraran un certificado de confianza. Por tanto, la demanda de servicios CA se dispar\u00f3 y provoc\u00f3 que muchas autoridades aceleraran la etapa de revisi\u00f3n de documentos y, por tanto, decayera el control de calidad.<\/p>\n Como consecuencia, es probable que haya muchos sitios web con certificado que no sean del todo de confianza. Un estudio de Google<\/a> ha revelado que una de las CA m\u00e1s importantes y reputadas ha expedido m\u00e1s de 30.000 certificados sin la debida cautela. Esto afect\u00f3 negativamente a la CA en cuesti\u00f3n; Google declar\u00f3 que dejar\u00eda de confiar en todos sus certificados a esperas de una revisi\u00f3n completa por parte de su sistema de verificaci\u00f3n y la introducci\u00f3n de nuevas normativas. Mozilla tambi\u00e9n planea reforzar la verificaci\u00f3n de los certificados<\/a> en sus navegadores.<\/p>\n A pesar de las respuestas, seguimos sin poder estar seguros de que un certificado y su propietario sean de fiar. No podemos fiarnos por completo de unas letras en verdad, ni siquiera en el caso de los certificados de validaci\u00f3n extendida que se supone que cumplen con todos los requisitos de seguridad.<\/p>\nC\u00f3mo consigue un sitio un certificado SSL<\/h3>\n
Tipos de certificados SSL<\/h3>\n
Los certificados con validaci\u00f3n de dominio<\/h4>\n
Los certificados de validaci\u00f3n de organizaci\u00f3n<\/h4>\n
Certificado de validaci\u00f3n extendida<\/h4>\n
Problemas con los certificados<\/h3>\n