Un certificado SSL falso para Windows Live preocupa a Microsoft

[wolfbcn]

Microsoft está luchando por bloquear un certificado para HTTPS fraudulento que fue emitido para una de las compañías de Windows Live Web, debido a que puede ser utilizado para realizar ataques hacker.

El certificado fue emitido para live.fi y www.live.fi, que son direcciones reservadas por Microsoft para sus servicios de Windows Live. Comodo, empresa emisora del certificado, la ha revocado, sin embargo la facilidad para saltarse este proceso permite que los atacantes aun puedan utilizarlo para actuar contra aquellos usuarios que anden desprevenidos. Microsoft avisó el pasado lunes de los posibles ataques que pueden recibir los usuarios, entre los que se encuentran suplantación de contenidos, phishing y ataques man-in-the-middle contra varios sitios web de la propia multinacional, sin embargo no puede ser usado para emitir otros certificados, suplantar otros dominios o códigos de firmas.

La única manera de bloquear el certificado es que los desarrolladores de navegadores web liberen la revocación del certificado a través de una actualización. Los usuarios de Windows 8 y 8.1 tienen más suerte, ya que estas versiones del sistema operativo de Microsoft incorporan un actualizador automático de certificados revocados, que funciona sin que el usuario tenga que realizar ninguna acción. Otras versiones como Windows 7, Windows Server 2008, Server 2008 R2 tienen también disponible este actualizador, pero hay que instalarlo por separado, y en Windows Server 2003 es necesario instalar manualmente una actualización.

No están claras las circunstancias que permitieron la creación de un certificado fraudulento para live.fi, pero desde Microsoft sugieren que una persona ha podido obtener la dirección de correo electrónico reservada de uno de los trabajadores para demostrar su control sobre el dominio.

Por su parte Mozilla y Google ya están movimiento ficha para incorporar a Firefox y Chrome la revocación de este certificado, pudiendo ser lanzadas las actualizaciones en los próximos días.

Fuente | ArsTechnica

http://www.muycomputer.com/2015/03/17/certificado-ssl-falso-windows-live-microsoft