Fue bonito mientras duró. A día de hoy y según lo constatado en la Black Hat el protocolo seguro HTTPS/SSL no es seguro.
Al parecer la herramienta SSLStrip permite engañar al navegador y hacerle pensar que se encuentra navegando por una web mediante protocolo seguro HTTPS/SSL.
Lots of time the security of HTTPS comes down to the security of HTTP and HTTP is not secure.
Marlinspike.
Antes de pulsar la tecla del panico…
…Dan Kaminsky sugirió una posible solución forzando la validación del dominio mediante DNSSEC, de tal modo que se pueda forzar el uso del HTTPS/SSL legitimo. Siempre nos quedara la solución del autor: Encriptarlo TODO.
“A día de hoy y según lo constatado en la Black Hat el protocolo seguro HTTPS/SSL no es seguro.”
Falso!
Se requiere un ataque mitm previo, el protocolo en sí es seguro.
Bueno, yo me refiero más a que los usuarios están empezando a confiar en toda web en la que aparece un candado por alguna parte del navegador. Y eso es realmente preocupante, si bien es cierto que tienes razón y que para interceptar cualquier dato relevante es necesario un ataque mitm.
Aprovecho para dejar el White Paper que lo explica con más detalle:
http://www.blackhat.com/presentations/bh-dc-09/Marlinspike/BlackHat-DC-09-Marlinspike-Defeating-SSL.pdf
Un saludo!