Una breve explicación sobre cómo las empresas pueden ofrecer seguridad completa a sus clientes y socios comerciales.
Ciudad
de México, Junio 2019 – Cada semana aparecen nuevas amenazas de
seguridad: registros médicos modificados o robados, contraseñas
comprometidas, números de tarjetas de créditos robados, etc. Todo lo
anterior es suficientes para que exista una preocupación cuando los
usuarios ingresan su información en línea a diferentes compañías y por
diferentes motivos. Sin embargo, esto puede evitarse si se puede
diferenciar qué sitios son seguros.
La creencia común es que
cualquier usuario puede determinar si un sitio web es seguro. Solo hay
que buscar el candado en la barra de direcciones del navegador seguido
de las letras HTTPS, esto significa que el sitio web está utilizando un
certificado TLS / SSL (denominado en adelante "TLS", que es el protocolo
actual utilizado para el cifrado) para cifrar La navegación y así
gestionar los datos seguros. Sin embargo, se debe ir más allá y
verificar qué CA (Autoridad de Certificación) emitió el certificado y
qué tipo de validación existe para proporcionar una seguridad sólida que
es seguro compartir la información del usuario con el sitio.
"Con
la llegada de una web que está más del 90% encriptada y con los
navegadores que muestran un candado verde para todos los sitios https,
independientemente del tipo de certificado, es una falacia simplemente"
buscar el bloqueo ", ya que esto no es suficiente para proteger a los
usuarios. de sitios fraudulentos ”, dijo Dean Coclin, Director Senior de
Desarrollo de Negocios de DigiCert. "Los usuarios deben ser diligentes
en la búsqueda de pistas sobre la identidad del sitio, incluida la
presencia de certificados de alta seguridad, como la Validación ampliada
(EV), que a menudo incluyen la barra de direcciones verde o el nombre
legal del propietario del sitio web junto a la URL".
Esto
proporciona una excelente visibilidad de que el sitio ha sido
autenticado. Los certificados de Validación de la organización (OV)
también muestran cierta información de la compañía al hacer clic en "más
información" en el candado para ayudarlo a verificar el sitio.
Otra
pista que se debe buscar es el nombre de la Autoridad de Certificación
(CA) que emitió el certificado del sitio web. Con algunos navegadores,
los usuarios pueden desplazarse sobre el bloqueo para ver el nombre de
la CA. Las principales CA, como DigiCert, están actualizando
constantemente los estándares globales mediante los cuales las CA
validan las identidades y siguen procesos rigurosos.
"Es muy
fácil que los sitios web obtengan certificados en la red hoy en día,
pero las empresas también necesitan proteger la integridad de sus
propios procesos y proporcionar seguridad de identidad a sus usuarios.
Como líder mundial en certificados de alta seguridad, DigiCert ofrece
soluciones optimizadas, aún "Los procesos de validación de identidad
altamente integrales, así como el personal de soporte al cliente, las
herramientas y las plataformas líderes en la industria ayudan a los
clientes a obtener y administrar sus certificados. Esto promueve una web
más segura para todos", dijo Manuel Pavón, Gerente de Desarrollo de
Canales para América Latina.
El proceso de obtención e instalación de un certificado TLS incluye algunos pasos como los siguientes:
1.-
El primer paso es solicitar un certificado de una de las Autoridades de
Certificación (CA). Durante este proceso, un cliente crea una Solicitud
de firma de certificado (CSR) y obtiene un par de claves (público para
identificación en la web y datos de cifrado y privado para
almacenamiento seguro en sus sistemas y descifrado de los datos que
recibe).
2.- El siguiente paso es la validación. La Autoridad de
Certificación revisa los documentos legales de la organización para
verificar que la organización solicitante controla el dominio (DV), es
propietaria del dominio y es un negocio legítimo (OV) y que el
propietario del dominio autoriza al solicitante a recibir un certificado
en su nombre (EV). La validación se lleva a cabo en varios niveles y
depende del tipo de certificado que se busca. Al igual que un pasaporte o
una licencia de conducir, cuando se trata de asuntos de datos
confidenciales como transacciones en línea, las empresas pueden promover
una identidad sólida mediante el uso de certificados OV y EV.
3.-
Emisión. Una vez que se verifica todo, el pago se procesa y la
Autoridad de Certificación emite el certificado a la organización.
DigiCert utiliza la última tecnología y procesos para acelerar el
proceso de emisión y liderar la industria.
4.- Instalación. El
administrador del sistema de la organización debe instalar el
certificado en el servidor indicado. Existen varias herramientas para
ayudar a un administrador del sistema a instalar correctamente el
certificado y configurar su servidor. Aquí se encuentra uno popular:
https://www.digicert.com/tools/.
5.- Encriptación del navegador.
El navegador se comunica con el servidor del sitio web para determinar
la validez del certificado. Si está validado, el usuario puede ver un
candado verde y HTTPS en la barra de direcciones del navegador. Para
mayor seguridad de que el sitio web que visitan es auténtico, los
usuarios pueden buscar signos de certificados de alta seguridad,
incluido el nombre de la organización o el color verde en la barra de
direcciones web.
Los certificados se intercambian, es decir, si
navega por un sitio web, el navegador web y el servidor se comunican
entre bastidores para establecer el protocolo de intercambio para la
conexión.
Los certificados se validan después de que el
navegador "habla" con el servidor y determina si el certificado TLS está
presente. El navegador comprueba el certificado en el servidor para
asegurarse de que sea válido y que provenga de una Autoridad de
Certificación confiable.
Se comprueban las fechas de vencimiento
y, si todo está bien, el navegador muestra el candado en HTTPS. Y, por
último, si todo está bien, el navegador o la aplicación responden de
manera adecuada y, si el certificado pasó todas las verificaciones, el
navegador inicia una sesión segura y toda la información está
encriptada.
