Existen numerosas entidades emisoras (CA) de estos certificados, siendo una de ellas Symantec, empresa de seguridad conocida por ser la responsable del desarrollo del antivirus Norton. A finales de la semana pasada, Google estaba realizando un análisis de certificados falsos por la red, cuando de repente se ha encontrado con varios certificados SSL para el dominio Google.com totalmente válidos y legítimos, pero que no estaban bajo su control. Estos certificados habían sido emitidos por Symantec e incluso habían sido renovados recientemente, por lo que los certificados, además, estaban bajo un supuesto control.
Estos certificados fueron emitidos sin el permiso de Google para realizar pruebas internas en la empresa, sin embargo esto no está permitido por lo que aunque los trabajadores eran excepcionales y hacían un gran trabajo en la compañía, Symantec ya ha despedido a estos 3 responsables.
Symantec también ha revocado la validez de los certificados y Google, por su parte, ya ha añadido dichos certificados a la lista negra de su navegador para evitar el uso de ellos. Según se ha podido demostrar, estos certificados no han sido utilizados por piratas informáticos, pero con algo más de tiempo sí se podrían haber llevado a cabo por piratas informáticos para interceptar las comunicaciones con prácticamente todas las plataformas de Google como Gmail, YouTube, Drive, etc.
Este tipo de sucesos nos hace preguntarnos: ¿Hasta qué punto son fiables las empresas de seguridad?
Está claro que no son buenos meses para la seguridad informática, sin embargo la cosa es bastante más preocupante de lo que parece. Las empresas de seguridad son las que nos protegen de los piratas informáticos y del malware que circula por la red, sin embargo en las últimas semanas se han destapado varios escándalos relacionados con las empresas de seguridad más prestigiosas del sector:
En primer lugar, la semana pasada se pudo ver cómo AVG cambia su modelo de negocio y pasa de ser un gran antivirus gratuito a ser un software espía que recopila datos de sus usuarios y los vende a terceras empresas. Tras AVG, hace poco más se ha podido ver cómo Kaspersky juega a dos bandas creando virus y actualizando sus bases de datos para poder eliminar los virus que ellos mismos han creado. En tercer lugar podemos hacer referencia a Symantec que, como hemos visto, utilizan y filtran certificados SSL en nombre de una tercera empresa (en este caso Google) por error, pero este tipo de errores no deberían ocurrir.
¿Crees que podemos fiarnos de las empresas antivirus y de seguridad?
Fuente: softzone
Quizá te interese:
