Red de información TI para profesionales ITMedia NetWork

miércoles, 21 de agosto de 2019
Actualizado a las 21:51


Búsqueda avanzada

Publicidad

Publicidad

Últimas noticias

Kazajistán impone un ‘certificado de seguridad’ en los dispositivos de sus ciudadanos con el que controlar su actividad

12 Agosto 2019por Redacción

F5 Labs, la división de ciberseguridad de F5 Networks, ha analizado el alcance y las implicaciones que puede tener para los ciudadanos de Kazajistán la instalación en sus dispositivos de un certificado digital de seguridad desarrollado por su gobierno.

El mes pasado, los ciudadanos de Kazajistán comenzaron a recibir notificaciones de sus proveedores de Internet que indicaban que estaban obligados a instalar un ‘certificado de seguridad’ en sus dispositivos si no querían experimentar una interrupción de su tráfico web.

Si bien no es la primera vez que un gobierno utiliza este tipo de táctica de vigilancia, sin duda es una de las iniciativas más agresivas que hemos visto hasta la fecha. Ha sido, básicamente, un ataque tipo man-in-the-middle

David Warburton

Cada operador kazajo era responsable de ponerse en contacto con sus clientes y de proporcionarles las instrucciones necesarias para la instalación del certificado Qaznet Trust Certificate, que sirve para eliminar el cifrado que utilizan los usuarios en sus comunicaciones. La medida afectaba tanto a dispositivos Android como iOS, así como a los navegadores Chrome, Firefox e Internet Explorer.

Al instalar el certificado Qaznet, el dispositivo o navegador web de cada ciudadano pasa a confiar en una entidad de certificación intermedia, que podrá tener acceso a sus comunicaciones cifradas. Si un ciudadano no instala este certificado de forma voluntaria, recibirá una advertencia del navegador cuando trate de visitar un determinado sitio web. Si hace clic en esa advertencia, estará permitiendo, sin saberlo, el acceso a sus comunicaciones cifradas, aunque no tenga instalado el certificado de seguridad. Los certificados instalados en los dispositivos de los usuarios estarán activos hasta el año 2046.

El Comité de Seguridad Nacional de Kazajistán (KNB) ha presentado la implementación de este certificado como una prueba, alegando que se pone en marcha con el objetivo de poder utilizarlo “en caso de que se produzca una futura amenaza a la seguridad nacional en forma de ciberataque”. En ese caso, los ciudadanos recibirían una notificación previa. El KNB también se compromete a publicar instrucciones para eliminar el certificado de seguridad de los dispositivos personales tras la prueba.

Será interesante realizar un seguimiento de la evolución de esta iniciativa y ver cómo Kazajistán tiene la intención de utilizarla en el futuro. Incluso si es una prueba, es muy probable que acabe influyendo en el uso local de Internet. Esperamos que otros países controlen esta iniciativa y se mantengan alerta sobre la puesta en marcha de prácticas similares

David Warburton

“A los ciudadanos se les dijo que estaban participando en una iniciativa de seguridad nacional, pero la verdad es que han tenido que elegir entre tener su tráfico web interceptado o no poder acceder a los sitios web más populares. Si bien no es la primera vez que un gobierno utiliza este tipo de táctica de vigilancia, sin duda es una de las iniciativas más agresivas que hemos visto hasta la fecha. Ha sido, básicamente, un ataque tipo man-in-the-middle”, afirma David Warburton, experto en ciberamenzas de F5 Networks.

Sitios afectados

En su investigación, F5 Labs ha detectado que esta medida afecta a sitios web como android.com, facebook.com, fb.com, g.co, goo.gl, google.com, instagram.com, googleusercontent.com, Mail.ru, ok.ru, twitter.com, vk.com, Vkontakte.ru, youtu.be y youtube.com

“Aunque la lista parece pequeña, contiene algunos de los sitios más populares de la web. La interceptación de google.com, android.com y mail.ru por sí sola permitiría al gobierno kazajo interceptar y leer algunos de los servicios de mensajería más populares en Internet”, explica Warburton.

“Curiosamente, muchos sitios de mensajería y redes sociales populares como WhatsApp, Telegram y WeChat no estaban siendo interceptados cuando realizamos nuestros escaneos. Sin embargo, es importante señalar que el gobierno kazajo podría modificar la lista sin previo aviso”.

Los resultados de F5 Labs coinciden estrechamente con los que aparecen en el análisis publicado por Censored Planet.

Controles de seguridad e implicaciones

En escenarios de esta naturaleza, F5 Labs aconseja a las organizaciones que lleven a cabo las pruebas necesarias en sus aplicaciones para poder informar a los usuarios de las posibles interceptaciones. Al realizar un protocolo de enlace SSL/TLS adicional, utilizando Javascript dentro de la página web, es posible comparar la huella digital del certificado que se envía al cliente con la que está configurada en el servidor web. Incluso si los nombres de los certificados coinciden, las huellas digitales serán diferentes.

“Será interesante realizar un seguimiento de la evolución de esta iniciativa y ver cómo Kazajistán tiene la intención de utilizarla en el futuro. Incluso si es una prueba, es muy probable que acabe influyendo en el uso local de Internet. Por ejemplo, no sabemos cuántos ciudadanos desinstalarán estos certificados cuando puedan hacerlo, dejando se sigan ejecutándose hasta 2046. Esperamos que otros países del mundo controlen esta iniciativa y se mantengan alerta sobre la puesta en marcha de prácticas similares”, concluye  Más información en www.f5.com y acceso al informe en www.f5.com/labs/articles/threat-intelligence/kazakhstan-attempts-to-mitm-itscitizens  

ShareThis

Publicidad

Publicidad

Publicidad

Opinión

Bryan Landerman, Enterprise Strategist en Amazon Web Services

Cómo abordar la transformación... Vosotros también podéis llegar a la meta

Muchas empresas se enfrentan a proyectos de transformación digital aun reconociendo que no se encuentran en posiciones idóneas para hacerlo. Bryan Landerman, Enterprise Strategist en Amazon Web Services, reconoce las capacidades de la nube para automatizar, securizar y proporcionar infraestructura TI, y no solo eso: “es una base espléndida para la innovación y para acelerar la creación de productos”, aunque el proceso no está exento de dificultades

Soluciones

1&1 IONOS cuenta con NetApp para dar agilidad y fiabilidad a servicios de nube para pymes y hacer realidad su visión de los datos

Desde su creación en 1988, una de las promesas fundamentales de 1&1 IONOS, que anteriormente operaba como 1&1 Internet, es la de ofrecer a sus clientes un acceso sencillo y personal a las últimas tecnologías. En el proceso, la empresa se ha establecido como uno de los mayores proveedores de hosting web y, para ello, cuenta con las soluciones de NetApp que aportan la agilidad y fiabilidad que la multinacional precisa para responder a las necesidades de sus clientes

techWEEK info

TechWEEK forma parte de la red de información TI para profesionales de IDG Communications.


Sitios especializados de ITMedia NetWork: IT CIO.es, IT PYMES.es, IT SEGURIDAD.es, Strategic Partner, NUEVAempresa.com.

ITMedia NetWork. © 2006 - 2019 Information Technology & Media S.A. (CIF A-84950211). Todos los derechos reservados.

Envío de artículos por email de techWEEK.es

Por favor, introduzca la siguiente información











Cerrar

Envío de artículos por email de techWEEK.es

Procesando envíos...

Envío de artículos por email de techWEEK.es

Email enviado. Cerrar

Envío de artículos por email de techWEEK.es

Error en el envio. Pulse aqui para cerrar.Cerrar