Es importante cifrar los datos en Internet para que nadie pueda verlos. Para eso es fundamental la adopción del HTTPS, que no es más que HTTP normal sobre SSL/TLS. Estos SSL/TLS o Secure Sockets Layer/Transmission Layer Security son dos protocolos especialmente creados para enviar paquetes cifrados a través de la red.
El pasado mes de septiembre, Google anunció que a partir del 2017 empezaría a etiquetar como inseguras algunas de las páginas que no utilizasen HTTPS. Parisa Tabriz, jefa de seguridad de Chrome, ha explicado en una entrevista en Wired por qué han decidido tomar esta dirección tan agresiva y por qué para ella es casi algo personal.
Google ha decidido invertir su estrategia de advertencias, y en vez de avisar únicamente de cuándo una web está cifrada con HTTPS, va a empezar a avisar cuando una página no lo hace, y lo va a hacer etiquetando como inseguras las páginas sin HTTPS. El aviso aparecerá en la barra de direcciones para que se vea bien.
El primer paso se dará en enero del 2017 con el lanzamiento de Chrome 56, que etiquetará como inseguras las páginas que gestionen contraseñas o tarjetas de crédito que no utilicen HTTPS. Más adelante se ampliarán los avisos etiquetando a las páginas con descargas o las que estén en HTTP simple cuando se utilice el modo incógnito.
Haciendo que la web parezca aterradora

"La gente dice que no podemos hacer que la mitad de la web parezca aterradora, porque los usuarios tendrán miedo de ella", dice Tabriz. "Pero para nosotros, es un problema de tratar de ser honestos con los usuarios. Sin HTTPS, un usuario o servicio web no puede tener ninguna expectativa de que nada en un página no haya sido manipulado o escuchado. Y eso es una locura".
Para Google también es una cuestión práctica. Para competir con las apps móviles y los permisos que se les da, Google quiere que las páginas web sean capaces de profundizar en los recursos de nuestros PCs y obtener información sensible como la ubicación. "No querrías que un ataque de intermediario (man-in-the-middle) fuese capaz de acceder a esas cosas".
Para Parisa Tabriz la lucha por implantar el HTTPS es personal. En 2011 descubrió que gobiernos como el iraní, país de procedencia de su padre, estaban espiando a sus ciudadanos mediante falsos certificados de autenticación en HTTP. "Para vosotros, un certificado falso significa una contraseña o información personal robada", explica. "Para mí y miles de otros iraníes, esto puede conducir a la cárcel, a la tortura o a la pena de muerte".
Por lo tanto, con ella al frente y siendo conscientes de que en algunos países el utilizar conexiones HTTPS puede salvar vidas, Google parece haber decidido ser agresivo en su estrategia. "En nuestros momentos de impaciencia, sólo queremos marcar todo como inseguro", dice la jefa de seguridad. "Una gran fracción de la web no es HTTPS, y eso es embarazoso para mí. Y no va a resolver por sí mismo".
En la empresa del buscador son conscientes de que meter tanta presión a las páginas que aún no han dado el salto al HTTP va a despertar las iras de muchos. Pero esperan que gracias a ello pueda acelerarse aún más su adopción.
Vía | Wired
En Genbeta | Google saca pecho anunciando que YouTube ya cifra el 97% de sus conexiones con HTTPS
Ver 55 comentarios
55 comentarios
kadmon
Cuando tu navegador es el más usado, se hace lo que tú dices y punto.
Si lo hacen bien, es una buena idea que se fuerce un poco a aquellas páginas que deberían usar https pero no lo usan, pero no deja de ser un "porque yo lo valgo" que podrían usar para cualquier otra cosa no tan razonable.
Chrome 56, un sinsentido de numeración.
cristianhcd
no entiendo porqué debo agregar un certificado de seguridad a mi web, que es meramente informativa, en la cual no realizo ninguna transacción o login... y por ejemplo, moodle [cms de educación] va a tener que gestionar certificado ja
davidlh
Me parece bien. Es un modo de que todo el mundo se ponga más en serio con la seguridad.
miguelabellan nosoye
Me gustaría ver que métodos usan para identificar web que "gestionen contraseñas y tarjetas de crédito". Si simplemente se limitan a comprobar la existencia de un formulario de registro / inicio de sesión o conectores sociales, Weblogs SL entero podría ser considerado inseguro. Lo cual me parece una estupidez ya que simplemente por iniciar sesión no estamos comprometiendo ninguna información sensible, asumiendo que el protocolo OAuth esté correctamente implementado (eso espero).
mpol
Existiendo LetsEncrypt hay que ser muy descuidado para no tener https en tu web.
Usuario desactivado
Ya va siendo hora que weblogs, en la que uno sí se identifica con usuario y contraseña, se aplique... Y no he usado un sniffer para ver cómo se manda la contraseña (quiero creer que se manda el hash)
A mí me parece no bien, sino esencial, la medida de https, y no sólo para webs con cuentas, pero es cierto que no me gusta la actitud prepotente de Google y considero que no está en posición de soltar moralinas sobre Internet o la seguridad de nuestros datos.
cambiadeso
Lo que nunca entenderé es que una web en la que introduces contraseñas por HTTP no diga nada, pero sin embargo si entras a una web con certificado autofirmado saltan todas las alarmas y el usuario tiene que agregar una excepción, con la molestia que ello implica.
Y sin embargo, la segunda página será más difícil de rastrear el contenido que se envíe cifrado...
En fin, como dice @ciudadwifi, esto de los certificados es un negocio
Ya se que existe lets' encrypt. Pero, te la juegas a una sola CA. Si por la razon que sea algún dia se dejara de confiar en esta CA, habría que mudar todas las paginas a otro sitio.
scar8612
Y los certificados gratuitos de Let's Encrypt ?
cuvsi
Lo que tiene gracia es que para los blogs de Blogger, que es de Google, HTTPS todavía no está disponible para los blogs de dominios personalizados. Espero que solucionen este problema, porque si no va a ser como aquello de "consejos vendo, que para mí no tengo".
En todo caso, quizá la medida es un poco drástica, pero va a hacer la navegación más segura, principalmente para los que no tienen ni idea de Internet. Y una vez que conoces una página y quien está detrás da igual que sea HTTP o HTTPS.
Por cierto, en general, los comentarios anteriores muy interesantes y con mucha información.
tarotista
Creo que Google domina el mercado y pone las reglas.
danielpc
Y como deberiamos calificar a una empresa (Google) que lee y espia los correos personales de la gente?