El icono del candado verde en la barra de URL ya no es un símbolo en el que puede confiar

Durante años, se le ha dicho constantemente que no ingrese su información privada en un sitio web que no tenga un candado verde en la barra de direcciones. Algunos de ustedes han escuchado este consejo, y otros no, pero ¿alguna vez se han preguntado qué significa este candado verde y cómo funciona?

Aunque los navegadores como Google Chrome ahora lo están eliminando lentamente (las razones se harán evidentes en un minuto), el candado verde todavía se reconoce universalmente como una señal de que el sitio web que está viendo tiene un certificado SSL y se carga bajo HTTPS. Esto, a su vez, significa que toda la información que viene y va al sitio web está encriptada y está a salvo de los ataques de Man-in-the-Middle.

En el pasado, los expertos tenían otra razón para advertirle que no ingrese sus datos en sitios web que no se cargaron a través de HTTPS. Los certificados SSL son emitidos por las Autoridades de Certificación (CA) que solían cobrar varios cientos de dólares por año por ellos. Como era de esperar, los estafadores no estaban preparados para desembolsar este tipo de dinero para que sus páginas de phishing se parecieran más a las reales, e incluso si lo hubieran sido, no habrían aprobado algunas de las verificaciones manuales que se hicieron en esos días. En otras palabras, los formularios de inicio de sesión reales de Amazon tenían bloqueos verdes, y los falsos no. Esto, desafortunadamente, ya no es el caso.

La aparición de certificados SSL gratuitos y el impacto que tuvieron en Internet

Lamentablemente, los delincuentes no fueron los únicos que no pudieron enrutar sus sitios web a través de HTTPS. Los certificados SSL también eran demasiado caros para muchos propietarios legítimos de sitios web, lo que significaba que bastantes tiendas en línea dejaban expuestos los datos de sus clientes. Algo tuvo que hacerse.

En 2014, se estableció una nueva CA con el nombre Let's Encrypt que comenzó a ofrecer certificados SSL de forma totalmente gratuita. A Internet le gustó la idea.

Let's Encrypt salió oficialmente de Beta en abril de 2016 cuando anunció con orgullo que la cantidad de certificados que había emitido rondaba los 1,7 millones. Solo catorce meses después, había más de 100 millones de certificados Let's Encrypt.

Ahora, otras CA también ofrecen certificados SSL gratuitos, y debido a ellos, HTTPS se está convirtiendo en la norma y no en la excepción. En agosto, el especialista en seguridad Scott Helme dijo que, por primera vez, más de la mitad de los sitios web de Alexa Top 1 Million se cargaron bajo HTTPS. Este cambio ha llevado a los proveedores de navegadores a deshacerse del ícono de candado verde y reemplazarlo con un signo "No seguro" más grande cuando una página no se carga bajo HTTPS. De hecho, el candado ya no es tan útil como solía ser.

Casi el 50% de todas las páginas de phishing ahora se cargan a través de HTTPS

La aparición de certificados SSL gratuitos es una de las cosas buenas que le sucedió al mundo recientemente. Aunque no son una panacea, han permitido a los vendedores en línea más pequeños no solo sobrevivir sino prosperar, y en este momento, incluso los sitios web HTML más básicos no tienen una excusa para ejecutarse bajo HTTP.

Lamentablemente, si los certificados SSL son gratuitos y fáciles de configurar para los propietarios legítimos de sitios web, también son gratuitos y fáciles de configurar para los estafadores. De hecho, PhishLabs, una compañía de inteligencia y mitigación de amenazas, le dijo a Brian Krebs que casi la mitad (aproximadamente el 49%) de todas las páginas de phishing que detectó durante el tercer trimestre de este año se cargaron bajo HTTPS. Esto, dijo PhishLabs en Twitter, aumentó un 35% durante el segundo trimestre y un 33% durante el primer trimestre.

Los delincuentes están configurando activamente certificados SSL en sus páginas de estafa, en parte porque es fácil de hacer y no les cuesta nada, y en parte debido a los cambios que los proveedores de navegadores están implementando. Se dan cuenta de que es mucho menos probable que los usuarios revelen su información personal a un sitio web que se carga bajo una advertencia visible "No segura".

¿Qué podemos hacer al respecto?

¿Significa esto que la decisión de los proveedores de navegadores de alejarse del candado verde es un gran error? No lo hace El simple hecho del asunto es que el ícono del candado nunca será tan útil como solía ser. Si se queda, no tendrá ningún impacto en la situación actual, porque si los estafadores deciden que lo necesitan, solo obtendrán un certificado SSL gratuito.

¿No deberíamos deshacernos de los certificados SSL gratuitos, entonces? No, no deberíamos. Negarles a los proveedores la opción de proteger los datos de sus clientes de forma gratuita será un gran salto hacia atrás y pondrá en grave peligro la información personal de millones de personas. Lo que debemos hacer en cambio es enseñar a tantos usuarios como sea posible qué es HTTPS.

HTTPS no es un indicador de confiabilidad. Si no está presente, puede estar bastante seguro de que no se debe confiar en el sitio web que está viendo, pero incluso si está allí, es posible que esté viendo una estafa. Hay otros factores a los que debe prestar más atención.