El investigador Moxie Marlinspike demostró que el protocolo SSL, utilizado para proteger sitios web, puede ser vulnerable a ataques man-in-the-middle. Utilizando una herramienta llamada SSLstrip, fue capaz de interceptar el tráfico entre los usuarios y sitios web seguros como PayPal y LinkedIn, obteniendo información confidencial como cuentas de correo electrónico, números de tarjetas de crédito y contraseñas. SSL puede fallar porque los usuarios a menudo acceden a páginas seguras a través de enl

1. 1
SSL
El protocolo Secure Sockets Layer (SSL), utilizado en muchas páginas web
(como bancos y sitios de comercio electrónico) puede ser corrompido, tal y como
ha demostrado un investigador de seguridad.
Utilizando una aplicación especialmente creada, SSLstrip, un investigador que se
llama a sí mismo Moxie Marlinspike ha demostrado en una conferencia lo
vulnerables que son las conexiones SSL a un ataque del tipo man-in-the-
middle (MitM), en el que un pirata puede apoderarse del tráfico de los usuarios
que acceden a sitios seguros (del tipo https). Dicho de otra manera, con SSLstrip
se simula una especie de "phishing al vuelo".
Además, lo curioso es que el atacador no necesita modificar el tráfico SSL
encriptado, sino simplemente sacar partido de que los usuarios casi nunca se
conectan directamente a los sitios seguros https, sino que primero acceden desde
una página normal (http). Esto hace que sea posible hacer un seguimiento del
tráfico entre en la navegador y la web antes de que SSL se establezca de manera
segura, lo que le deja al usuario entre las dos opciones y el atacante puede hacer
sus fechorías sin que el usuario se percate de ello. Es decir, que el fallo de SSL
está en la manera en cómo se implementa en la página web y el usuario se ve
comprometido cuando pasa de una web no segura (http) a una segura (https).
SET
El Protocolo SET (Secure Electronic Transaction o Transacción
Electrónica Segura) es un sistema de comunicaciones que permite
gestionar de una forma segura las transacciones comerciales en la Red.
Y cuando decimos de una forma segura nos referimos a que aporta un
mayor nivel de seguridad que su antecesor el SSL. Precisamente esa fue
la razón que dio origen a su nacimiento.
El sistema SET fue desarrollado por Visa y MasterCard, con la
colaboración de American Express, Microsoft, IBM, Netscape, VeriSign y
otras empresas para dotar al comercio electrónico de mayores garantías
de seguridad de las que tenía hasta entonces. Sin embargo, a pesar de
sus evidentes ventajas, su utilización no se ha generalizado todavía.
Vamos a analizar sus ventajas e inconvenientes, así como las razones
que están dificultando su implantación.

2. 2
¿Qué se precisa para utilizar el Protocolo SET?
a) Que el comerciante disponga de un
certificado digital emitido por una Autoridad de Certificación.
b) Que el comprador disponga de un certificado digital emitido por la
entidad emisora de la tarjeta (por ejemplo, Visa), que incluye la firma
digital de dicha institución y una fecha de expiración.
¿Cómo funciona el SET?·
Permite la identificación y autenticación de comerciante y cliente
mediante certificados digitales.
La transacción se cierra entre el comprador y el banco, por lo
que el comerciante no ve ni puede conservar los datos de la
tarjeta.
Los datos viajan encriptados
Para probar la efectividad del ataque, este investigador se hizo pasar por un
atacante y consiguió 117 cuentas de correo electrónico, 16 números de tarjetas de
crédito, 7 contraseñas de PayPal y otras 300 cuentas de acceso seguro a diversas
páginas web en 24 horas. Entre las páginas web comprometidas se encontraban
Paypal, LinkedIn, Hotmail y Gmail.
CONCLUSIONES
La seguridad es un aspecto fundamental para muchas aplicaciones cliente-
servidor, siéndo un ejemplo muy importante, por su gran proyección en los últimos
tiempos, el negocio electrónico.
Mediante el uso de SSL/TLS se ha conseguido aumentar el grado de seguridad en
dichas conexiones cliente-servidor, teniendo presente que la idea de "seguridad
total".
nos ayudan a mantener la confidencialidad e integridad de los datos durante la
comunicación, protegiéndo así datos confidenciales como números de tarjetas de
crédito en las diferentes transacciones de comercio electronico, envío de
información privada, en una intranet o a través de Internet, de una organización,
etc.
se puede decir que un uso correcto de estos protocolos nos proporciona hoy en
día un nivel de seguridad "bastante aceptable".