Este hecho no tiene absolutamente nada que ver que el famoso Efecto 2000 pero, por casualidades de la vida, se va a producir el mismo día.
Consecuencias:
Si el certificado raiz caduda automáticamente, todos los certificados firmados con esa clave de Verisign se considerarán caducados. En la práctica, cuando un usuario intente acceder a un Servidor Seguro SSL (la mayoría de Tiendas Virtuales y servicios de Banca Virtual de Internet funcionan con certificados de Verisign), le aparecerá un mensaje similar al siguiente:
«Aviso de Seguridad: El Certificado Digital del servidor no es válido»
con la consiguiente nerviosismo y preocupación por parte del usuario inexperto, que reaccionará no comprando en esa tienda Virtual o no utilizando el servicio de Home Banking correspondiente.
Solución de Verisign:
Verisign, consciente del problema, ha creado otra serie de Certificados Raiz que ha instalado en las nuevas versiones de los nagadores de Netscape y Microsoft (a partir de las versiones 4.0, m s o menos). Se supone que Verisign deber¡a contactar con todos sus clientes y proporcionarles otro certificado web SSL generado con las nuevas claves raiz (que no caducar n hasta dentro de unos 20 a_os).
L¡mites de la soluci¢n de Verisign:
Independientemente de esta soluci¢n, ningon usuario con una versi¢n de navegador anterior a v4.0 podr reconocer los certificados Verisign como v lidos. Esto ocurrir justo el 31/12/99.
Si el comercio decidiese adoptar la soluci¢n y cambiar de certificado por una versi¢n actualizada hoy mismo, en ese mismo momento los usuarios de navegadores con versiones anteriores a la 4.0 se encontrar¡an de pronto con el problema. Pero si el comercio no cambia la clave antes del 31/12/99 se encontrar con que TODOS sus usuarios recibir n el mismo mensaje.
Un ejemplo: AMAZON.COM
Estos son los campos de su certificado
Subject: C=US S=Washington L=Seattle O="Amazon.com, Inc." OU=Software CN=www.amazon.com Issuer: C=US O="RSA Data Security, Inc." OU=Secure Server Certification Authority Effective Date: 5/4/99 12:00:00 AM Expiration Date: 5/20/00 11:59:59 PM Security Protocol: SSL 3.0 Signature Type: RSA/MD5 Encryption Type: RC4 Privacy Strength: Low (40 bits)
Este certificado est emitido por «RSA Data Security» (que tiene el mismo problema que Verisign, ya que ambos son socios y comparten la CA de algon modo). Si observamos el certificado Raiz tenemos que:
Verisign/RSA Secure Server Subject: Secure Server Certification Authority "RSA Data Security, Inc." US Expiration Date: 12/31/99 11:54:17 PM
O sea: que o AMAZON.COM cambia su certificado antes de las 12 del 12/31/99, o aparecer un desagradable mensaje a todos sus usuarios.
Soluci¢n REAL:
En realidad, no se trata de un problema de seguridad importante, ya que si el usuario se instala el certificado raiz apropiado en su navegador, se acaba el problema.
Comentarios:
Verisign y RSA Data Security se van a encontar con los mismos problemas que tenemos el resto de Autoridades Certificadoras como FESTE, que no tenemos incluidos nuestros certificados por defecto en los navegadores.
En un entorno de seguridad te¢rico, deber¡a ser siempre el propio usuario el que decidiese, de forma activa, qu’ autoridades de certificaci¢n le merecen confianza. En la pr ctica, tanto por desconocimiento como por comodidad, la gente prefiere delegar este tipo de decisiones a los proveedores. Nosotros creemos que esta actitud de los usuarios es incorrecta. Si todo sigue como hasta ahora, dentro de unos a_os la criptograf¡a habr llegado a su madurez, por lo que es de suponer que toda la seguridad de un sistema se centrar precisamente en ese punto: «Elegir uno mismo la Autoridad de Certificaci¢n que le merece confianza».
Por Oscar Conesa
Director T’cnico de FESTE
oconesa@feste.org
