Y es que, al parecer, a los muchachos de Mountain View no les importa mucho el tema de la seguridad a la hora de navegar por Internet.
Suena raro despues de conocerse el día de ayer una noticia en la que el equipo de producto de Google Chrome anunciaba la disponibilidad pública de la nueva versión del navegador (17.0.963.46), que incluye análisis en tiempo real de archivos con extensiones .exe y .msi (Ver nota)
Según se desprende de información oficial, los ingenieros de Chrome están planeando eliminar de las futuras versiones del navegador el chequeo en línea de certificados revocados, por considerarlo un método “ineficiente” y “lento”.
Para entender un poco más de que se trata esto, es necesario aclarar que actualmente los navegadores realizan un chequeo en línea de los certificados presentados por los sitios SSL (aquellos navegados via https), para asegurarse que dicho certificado no se encuentre revocado.
Es sabido que el método de chequeo, conocido como OCSP (Online Certificate Status Protocol), en ocasiones impide la conexión a sitios https si no logra contactar a los servidores operativos de la CA (Certification Authority) del certificado.
Adam Langley, ingeniero de seguridad de Google, asegura que “Un atacante capaz de interceptar conexiones HTTPS, puede también engañar el chequeo de caducidad del certificado y permitir el ingreso al sitio de manera normal”
“El tiempo promedio de trabajo de OCSP está en los 300 ms, aunque puede llegar a demorar 1 segundo. Este tiempo ocasiona que las páginas demoren en cargar y desalienta el uso de HTTPS”, asegura Langley.
Por este motivo Google ha decidido reemplazar el chequeo OCSP por una lista local de certificados revocados, que podrá ser actualizada bajo demanda sin necesidad de reiniciar el navegador. Según comentarios del propio Langley, atacantes podrían bloquear el proceso de actualización de esta lista, pero “se trataría de un proceso más complejo de vulnerar”.
Al momento es toda la información que se ha publicado respecto a esta decisión. En lo personal considero desmesurado eliminar el único sistema que existe, y del cual nunca se ha puesto en duda (hasta ahora) su funcionamiento, solo para lograr que la experiencia de navegación del usuario sea más “rápida”.
