La convergencia fue una estrategia propuesta para reemplazar las autoridades de certificación SSL , presentada por primera vez por Moxie Marlinspike en agosto de 2011 mientras daba una charla titulada "SSL y el futuro de la autenticidad" en la conferencia de seguridad de Black Hat . [1] Se demostró con un complemento de Firefox y un demonio de notario del lado del servidor .
Lanzamiento final | 0.09 (cliente) / 2012-03-07 |
---|---|
Repositorio | |
Escrito en | Python, JavaScript |
Sistema operativo | Windows, OS X, Linux |
Disponible en | inglés |
Tipo | buscando en la web |
Licencia | GPLv3 |
Sitio web | Ver Archivado el 3 de agosto de 2016 en Wayback Machine. |
En la charla, Marlinspike propuso que todos los problemas actuales con el sistema de la autoridad de certificación (CA) podrían reducirse a una sola propiedad faltante, a la que llamó "agilidad de confianza" y que Convergence pretendía proporcionar. La estrategia afirmó ser ágil, segura y distribuida. [2] [3]
A partir de 2013, [4] Marlinspike se centra en una propuesta de IETF llamada TACK, [5] que está diseñada para ser un primer paso indiscutible que aboga por la fijación dinámica de certificados en lugar del reemplazo completo de CA y reduce la cantidad de veces que un tercero necesita ser de confianza. [6] [7]
El desarrollo de Convergence continuó en una bifurcación "Convergence Extra" hasta aproximadamente 2014. [8] [Se necesita una fuente de terceros ]
Fondo
La convergencia se basó en trabajos anteriores del Proyecto Perspectivas de la Universidad Carnegie Mellon . Al igual que Perspectives, Convergence autenticaba las conexiones contactando a notarios externos, pero a diferencia de Perspectives, los notarios de Convergence podían usar una serie de estrategias diferentes más allá de la perspectiva de la red para llegar a un veredicto.
Convergencia en comparación con SSL convencional
El propósito de una autoridad de certificación en el sistema SSL convencional es dar fe de la identidad de un sitio, comprobando su certificado SSL. Sin alguna concesión, uno está abierto a un ataque de hombre en el medio . Un único sitio está avalado por una única autoridad de certificación (CA), y el usuario debe confiar en esta CA. Los navegadores web normalmente incluyen una lista de CA confiables predeterminadas y muestran una advertencia sobre una "conexión no confiable" cuando un sitio no puede ser garantizado por una CA confiable. Un problema con este sistema es que si un usuario (o proveedor de navegador) pierde la confianza en una CA, eliminar la CA de la lista de autoridades de confianza del navegador significa perder la confianza en todos los sitios que usaron esa CA. Esto sucedió cuando los principales navegadores perdieron la confianza en la CA de DigiNotar [9] y los sitios registrados con esta CA tuvieron que obtener nuevas autoridades de certificación (consulte el compromiso de la autoridad de certificación # CA para obtener más ejemplos de violaciones de confianza).
Con Convergence, sin embargo, hubo un nivel de redundancia y ningún punto único de falla . Varios notarios podrían responder por un solo sitio. Un usuario podría optar por confiar en varios notarios, la mayoría de los cuales responderían por los mismos sitios. Si los notarios no estaban de acuerdo sobre si la identidad de un sitio era correcta, el usuario podía optar por optar por el voto mayoritario , o pecar de cauteloso y exigir que todos los notarios estuvieran de acuerdo, o estar contento con un solo notario (el método de votación estaba controlado con una configuración en el complemento del navegador). Si un usuario opta por desconfiar de cierto notario, se puede seguir confiando en un sitio no malintencionado siempre que los demás notarios confiables confíen en él; por lo tanto, ya no había un solo punto de falla.
En septiembre de 2011, Qualys anunció que ejecutaría dos servidores notariales. [10] En junio de 2016, estos servidores parecían estar inactivos. [11] Se mantuvo una lista de notarios en la wiki de Convergence. [12]
Alternativas
- El Proyecto Monkeysphere intenta resolver el mismo problema utilizando el modelo de web de confianza PGP para evaluar la autenticidad de los certificados https. [13]
- La fijación de clave pública HTTP es un mecanismo de seguridad que permite que los sitios web HTTPS resistan la suplantación de identidad por parte de atacantes que utilizan certificados mal emitidos o fraudulentos.
- La transparencia de certificados es un intento de resolver el problema mediante registros públicos de solo anexos verificables .
Referencias
- ^ "SSL y el futuro de la autenticidad" . YouTube .
- ^ Schwartz, Mathew J. (30 de septiembre de 2011). "Nueva alternativa SSL: el soporte crece para la convergencia" . InformationWeek . UBM. Archivado desde el original el 1 de octubre de 2011 . Consultado el 25 de septiembre de 2016 .
- ^ Messmer, Ellen (12 de octubre de 2011). "La industria de los certificados SSL puede y debe ser reemplazada" . Mundo de la red . IDG. Archivado desde el original el 1 de marzo de 2014 . Consultado el 25 de septiembre de 2016 .
- ^ Marlinspike, Moxie [@moxie] (18 de febrero de 2013). "@deviantollam Desafortunadamente, no es posible desarrollar una extensión de convergencia de Chrome. Nos hemos centrado más en tack.io" (Tweet), a través de Twitter .
- ^ "Declaraciones de confianza para claves de certificado" . Archivado desde el original el 4 de septiembre de 2018 . Consultado el 19 de junio de 2019 .
- ^ Fisher, Dennis (30 de mayo de 2012). "Moxie Marlinspike en TACK, convergencia y agilidad de confianza" . ThreatPost .
- ^ Marlinspike, Moxie (octubre de 2012). "Trevor Perrin y yo estamos haciendo ..." Hacker News (Foro) . Consultado el 24 de septiembre de 2016 .
- ^ "mk-fg / convergencia" . 27 de agosto de 2020 - a través de GitHub.
- ^ Bien, Dan. "CA holandés desterrado de por vida de Chrome, Firefox" . www.theregister.com .
- ^ "SSL Labs: Anuncia el lanzamiento de dos notarios de Convergencia" . Blog de seguridad de Qualys . 29 de septiembre de 2011.
- ^ Servidor de notario de EE. UU.: Https://www.ssllabs.com/convergence/notary-us.convergence.qualys.com.notary [ enlace muerto permanente ]
- ^ "moxie0 / Convergencia" . GitHub .
- ^ Fuchs, Karl-Peter; Herrmann, Dominik; Micheloni, Andrea; Federrath, Hannes (18 de febrero de 2015). "Laribus: detección de preservación de la privacidad de certificados SSL falsos con una red social de notario P2P" . Revista EURASIP sobre seguridad de la información . 2015 . doi : 10.1186 / s13635-014-0018-0 . S2CID 3746068 . Consultado el 20 de diciembre de 2019 .
enlaces externos
- "Convergencia" . Archivado desde el original el 3 de agosto de 2016 . Consultado el 13 de octubre de 2011 .CS1 maint: bot: estado de URL original desconocido ( enlace )
- Página del proyecto de convergencia en GitHub