SSL Encryption

Chrome advirtió el día 17 de que se actualizaba para revocar una serie de certificados digitales. Mozilla advirtió el día 22 de marzo de que actualizaba su navegador porque había incluido en él certificados fraudulentos. El día 23 es Microsoft la que confirma que debe actualizar su lista de certificados porque incluye varios inválidos. ¿Qué significa todo esto? ¿Qué pasa con los certificados?

¿Para qué sirven los certificados?

SSL debería cumplir dos funciones. Establecer una conexión cifrada sobre un canal público y también autentica al servidor. Nos ayuda a estar seguros de que el servidor es quien dice ser y también que pertenece a la empresa a la que debería pertenecer. Para la parte de autenticación, los servidores con SSL activo ofrecen al navegador un certificado para que lo compruebe, que es como una especie de DNI. En él, una autoridad (Verisign, Comodo…) certifica con su firma que la clave pública realmente pertenece al sitio.

El sistema de confianza en certificados tiene una estructura de árbol invertido y las raíces son estos certificados. El sistema confiará en todo lo que emitan. Si esto no ocurriese de esta forma y los navegadores o sistemas operativos no contasen con una serie de certificados raíz por defecto, no podríamos confiar en la identidad de las páginas, puesto que nadie lo acreditaría. Por el contrario (y como ocurre en realidad) se introducen demasiadas autoridades certificadoras en las que se confía (demasiados “Estados” que emitan el DNI), estas se vuelven el punto débil de la cadena, puesto que se confía en ellas y a su vez, en todo lo que ellas confíen. Un árbol con demasiadas “raíces” es más difícil de controlar. Además, las autoridades certificadoras confían en autoridades intermedias que le alivian el trabajo.

Qué ha pasado

Tanto Chrome como Mozilla como Internet Explorer (a través de la Trusted Root Certification Authorities Store) incluyen de serie una serie de certificados raíz en los que se confía, emitidos por autoridades certificadoras. Varios de estos certificados pertenecientes a Comodo han sido revocados porque se ha comprobado que han sido emitidos de forma fraudulenta sin su consentimiento.

Según ha anunciado Comodo (en una nota de prensa tardía, una vez que ya se había descubierto el asunto), un atacante con IP de Irán se hizo con usuario y contraseña de una autoridad secundaria de Comodo en el sur de Europa. El atacante utilizó estos datos para hacerse pasar por esa autoridad secundaria y emitir certificados fraudulentos de páginas como login.live.com, mail.google.com, www.google.com, login.yahoo.com, login.skype.com, addons.mozilla.org… Traducido: un atacante quería obtener certificados de esos dominios para hacerse pasar por ellos. Pero… ¿cómo puede ser, si ya existen? ¿Para qué emitir certificados válidos de dominios a los que no puedes suplantar? Esta es la segunda parte del problema: para que esto le sea útil al atacante, necesita:

* Emitir certificados válidos. Lo consiguió comprometiendo a esta entidad de Comodo.

* Que se le muestren como válidos a la víctima en su navegador. Esto es lo que hacen ya de por sí los navegadores con sus certificados raíz. Ahora que la mayoría los han revocado, esto no sería tan sencillo.

* Interponerse en el sistema DNS de la víctima. Bien por pharming, por “hombre en el medio”, troyanos o por cualquier otro método que redirija la resolución de dominios de la víctima.

Así, el atacante redirige a “otro” dominio a la víctima, e instala ahí el certificado que ha robado. A partir de ahí, podría o bien suplantar a la otra página o bien redirigir a la víctima a la original. El asunto es que, en cualquier caso, tendría acceso a toda la información, cifrada, que se transmita entre la víctima y el dominio al que quiere acceder. Aunque estuviese cifrada, aunque aparezca el candado en el navegador al visitar esta página, o la barra de navegación en verde, e incluso se compruebe la cadena de certificación… no solo el navegador dará por legítima la página, sino que el atacante podrá leer toda la información cifrada que se transmite.

Si unimos que el ataque a Comodo no habrá sido “sencillo” (se trata de uno muy sofisticado y dirigido), que la IP proviene de Irán, que el atacante emitió certificados para páginas muy conocidas, y que necesita además, para que esto sea efectivo, tener acceso a un cambio en los DNS… todo apunta a un ataque que, cuando menos, inquieta.

Nuevas características de Firefox 3.6:

- Personas: permite transformar la apariencia de Firefox seleccionando nuevos temas.

- Detección de plugings desactualizados: Firefox detectará los plugins que estén desactualizados para mantenerte seguro de potenciales riesgos de seguridad y vulnerabilidades.

- Mejoras de estabilidad: Firefox 3.6 reduce significativamente los cierres inesperados del navegador producidos por aplicaciones de terceros.

- Completar formularios: Similar a la “Barra alucinante”, pero pensada para formularios.

- Rendimiento: Se ha mejorado el rendimiento de JavaScript en la respuesta global del navegador tanto abriendo pestañas como reduciendo el tiempo de arranque.

- Vídeo y audio en formato abierto: Firefox 3.6 cuenta con soporte de audio y vídeo HTML 5 (Vorbis y Theora).

Nuevas características para desarrolladores:

- Implementación con las últimas especificaciones HTML5, incluyendo la nueva API “arrastrar y soltar”.

- Tratamiento de tipografías: Además de las familias estándares OpenType y TrueType incorporadas en Firefox 3.5, ahora el navegador también soporta el nuevo “Web Open Font Format”.

- CSS Gradients (degradados mediante CSS) Firefox 3.6 admite 2 tipos de degradados CSS: lineal y radial, permitiendo mostrar transiciones suaves entre dos o más colores.

- Orientación de dispositivos: Algunos portátiles y dispositivos móviles pueden detectar la orientación del equipo. Firefox 3.6 permite a los desarrolladores web crear interesantes interacciones y juegos soportando la orientación de páginas web.

Fuente : DiarioTi

El lanzamiento de la versión 3.6 como versión estable de éste cada vez más popular navegador estaba prevista para finales del 2009, pero no pudo lograrse. Ahora por fin tenemos en nuestras manos tan esperado anuncio. Algunas de las características son:

• Basado en Gecko 1.9.2
• Soporte para la API del archivo de HTML5.
• Un cambio a la forma de como se integra software de terceros con Firefox para aumentar la estabilidad.
• La capacidad de ejecutar scripts de forma asincrónica para acelerar los tiempos de carga de página.
• Un mecanismo para prevenir incompatibilidad de software que pueda cerrar el navegador inesperadamente.
• Cambio de apariencia por los usuarios con un solo click con el soporte llamado Personas.
• Firefox 3.6 alertará cuando los plugins instalados estén sin actualizar para ayudar en la seguridad del navegador y el usuario.
• El video nativo abierto puede mostrarse en pantalla completa.
• Soporte para el formato web de fuentes abierta.
• Mejoras en el rendimiento de JavaScript, en la capacidad de respuesta general y a la hora del comienzo.
• Soporte para el nuevo CSS, DOM, y tecnologías web HTML 5.

Puedes descargar firefos 3.6 RC1 en la web oficial

Fuente: Puerto Free

En el sitio de extensiones de Firefox se celebra el billón de descargas, y se aprecia el poster que se muestra arriba.

Se esperaba que ésta cantidad de descargas del popular navegador de Mozilla Foundation se alcanzara el fin de semana, pero ha sido una muy grata sorpresa para la compañía haber llegado a dicha cifra ayer Viernes 31 por la noche.

Se ha alcanzado ésta cifra desde que se lanzó la primera versión estable de Firefox 1.0 en el 2004. Desde entonces, cada nueva versión ha tenido mejoras importantes, y no obstante ahora mismo se trabaja en la siguiente versión que se espera para el 2010.

Source: Espacio Linux

A pesar de que Firefox 3.5 ha visto la luz hace poco tiempo, la fundación Mozilla ya da a conocer ciertas características de su próxima versión,  Firefox 3.6 está basada en Gecko 1.9.2 y Mozilla ha publicado una pequeña guia para desarrolladores  con el fin de ponerles al corriente sobre todas sus características.

Según la guía, Firefox 3.6 ofrecerá información de posicionamiento, soporte para recopilación local de datos y alardea de una característica de ocultación.

Se cree que Firefox 3.6 sea entregado a mediados del 2010.

Fuente: Mozilla.org

La Fundación Mozilla trabaja desde hace un tiempo en la nueva versión del popular navegador Firefox 4.0, el cual está basado en el tema del Sistema Operativo de Microsoft, Windows Vista. En lo personal no me agrada mucho la idea, veremos que pasa en el futuro.

Fuente: Mozilla Wiki

Tan sólo unos cuantos días después de la salida al mundo de la versión 3.5 del popular navegador, en Mozilla Foundation ya anuncian la primera actualización, la cual repararía 3 bugs, los que casi retrasaron el lanzamiento.

Es de esperar que sigan trabajando tan arduamente para dejar muy felices a los miles de usuarios de Firefoz en el mundo.

Fuente: Tech Connect Magazine

Para los fanáticos de Firefox aquí tienen una noticia que les puede ser de gran interés ademas optar al gran premio de una MacBook.

La fundación Mozilla vuelve a organizar un concurso de desarrollo de plugins para Firefox. En esta ocasión, aprovechando la inminente publicación de Firefox 3.5 (el pasado día 16 salió a la luz la RC1), se ha abierto un apartado especial para premiar a las extensiones que hagan un mejor uso de las novedades de Firefox 3.5.

Todas las entradas participantes serán juzgadas por un panel de expertos, dividiéndose el concurso en 6 categorías: mejor plugin de nueva creación, mejor actualización de plugin, mejor plugin orientado a la compra online, mejor plugin en categoría de juegos y entretenimiento. Los premios a los ganadores de cada categoría incluyen un MacBook Pro de 15″ entre otros regalos. También habrá premios para los 6 siguientes clasificados en la categoría de mejor plugin de nueva creación.

El plazo de inscripción comenzó hace 3 días (16 de Junio) y se extiende hasta el 2 de Octubre de 2009. El 9 de noviembre se darán a conocer los nombres de los ganadores. ¡Anímate a participar!

Puedes leer las normas completas en la web del concurso.

Se piensa que después de esta Beta 2 bien podría seguir una nueva Beta 3, para dar a sus desarrolladores más tiempo para corregir más errores antes de pasar a la próxima fase de lanzamientos de RCs.