{"id":1190,"date":"2014-12-13T12:13:22","date_gmt":"2014-12-13T18:13:22","guid":{"rendered":"https:\/\/www.lastdragon.net\/?p=1190"},"modified":"2014-12-13T12:14:08","modified_gmt":"2014-12-13T18:14:08","slug":"chromium-quiere-mostrar-http-como-inseguro-la-paranoia-de-la-seguridad-se-sale-de-control","status":"publish","type":"post","link":"https:\/\/www.lastdragon.net\/?p=1190","title":{"rendered":"Chromium quiere mostrar HTTP como inseguro, la paranoia de la seguridad se sale de control"},"content":{"rendered":"

Esto puede sonar contradictorio porque yo uso demasiada seguridad en la cueva del drag\u00f3n, pero lo m\u00edo no es paranoia, es que utilizo la cueva del drag\u00f3n como repositorio para cuentas bancarias y de tarjetas de cr\u00e9dito, escrituraciones y documentos de valor por lo que transmitir informaci\u00f3n para mi justifica completamente tener certificados e incluso sistemas de archivos cifrados entre otras opciones, tambi\u00e9n justifico el asunto con el protocolo de SPDY<\/a> , que por cierto tambi\u00e9n es invento de Google<\/p>\n

\u00daltimamente Google est\u00e1 dando demasiada importancia a las conexiones cifradas, esto no es malo, lo malo es la forma en la que pretenden imponerla, por ejemplo los sitios que usan TLS \/SSL son rankeados en mejor posici\u00f3n independientemente si el sitio justifica el cifrado de la conexi\u00f3n.<\/p>\n

Por citar un ejemplo, para que querr\u00eda un sitio que da recetas de cocinas y que adem\u00e1s no captura informaci\u00f3n de usuario tener un certificado de seguridad y cifrar las conexiones, la respuesta m\u00e1s obvia es para NADA, exacto, no tiene ning\u00fan sentido, pero si quiere estar por arriba de un sitio con menos calidad en sus recetas deber\u00e1 tener un certificado configurado en el sitio, desde aqu\u00ed eso suena como un chantaje.<\/p>\n

Hay cosas que simplemente no necesitan ser cifradas.<\/p>\n

\u00bf Que significa cifrar tu conexi\u00f3n en t\u00e9rminos reales ?<\/p>\n

Para empezar no puedes usar un certificado autoafirmado, porque si lo haces veras una horrible pantalla como la siguiente.<\/p>\n

\"SSL
\nVer mas grande<\/a><\/p>\n

Aunque la conexi\u00f3n realmente ser\u00e1 segura y cifrada, por supuesto hay un motivo para mostrar esa advertencia, el motivo es que de otra forma cualquiera podr\u00eda hacerse un certificado de una instituci\u00f3n bancaria y hacerla pasar por buena, es una forma de evitar el pishing <\/p>\n

Para evitar esa pantalla de advertencia, se requiere firmar el certificado por una entidad denominada AUTORIDAD CERTIFICADORA ( AC ) la cual te investiga y si demuestras que eres quien dices ser firma tu certificado para que no aparezca esa advertencia, el problema es que la investigaci\u00f3n en si misma tiene un costo, el costo lo tienes que pagar tu mas la comisi\u00f3n por la ACCION de firmaste el certificado, dinero, dinero, dinero. Ahora ese es un lujo que no todos pueden darse, no me imagino a unas se\u00f1oras pagando y firmando su sitio de recetas solo para no ser excluido de los mejores puestos \u201c MERECIDOS \u201c en el buscador de Google<\/p>\n

Si todo fuera tan f\u00e1cil como dar dinero.<\/p>\n

Imaginando que si, pagas tu cuota y firman tu certificado que por cierto expirara dependiendo del tiempo que hayas solicitado la firma, despu\u00e9s tendr\u00e1s que pagar de nuevo por otra firma, pero asumiendo que de hecho puedes pagarlo. Ah\u00ed no termina el problema, el certificado debe configurarse en el servidor que lo va a despachar, no siempre es una tarea sencilla. Luego hay una diferencia fundamental entre una conexi\u00f3n cifrada y otra que no lo est\u00e1.<\/p>\n

HTTP b\u00e1sicamente es un flujo de datos, as\u00ed como lo lee del disco duro, as\u00ed lo transmite sin nada m\u00e1s que eso, una conexi\u00f3n HTTPS tiene que aplicar matem\u00e1ticas y algoritmos complicados por cada conexi\u00f3n antes de empezar a transferir, esto significa adem\u00e1s que si tu CPU es humilde, tendr\u00e1s que invertir en nuevos CPU para tus servidores para mantener el trafico que antes manten\u00edas sin ning\u00fan problema con HTTP, indirectamente gastaras m\u00e1s energ\u00eda RAM, luego procesar todas esas matem\u00e1ticas, terminaran consumiendo m\u00e1s energ\u00eda el\u00e9ctrica, energ\u00eda que se concertar\u00e1 en calor, calor que necesitara mejores sistemas de enfriamiento. Y nada de lo dicho anteriormente es gratis.<\/p>\n

Como puedes probar esto de forma sencilla, si eres propietario de un Access Point Linksys en modelos recientes que soportan mayor cifrado, a veces se bloquean cuando hay muchas maquinas conectadas transmitiendo en la red inal\u00e1mbrica mientras usas WPA, adem\u00e1s de calentarse mucho al tacto y la \u00fanica soluci\u00f3n es apagarlo y prenderlo para que vuelva a dar servicio<\/p>\n

Ya que google y sus proyectos relacionados est\u00e1 muy interesado en esto al menos deber\u00eda tomarse la gentileza de convertirse en una AC y obsequiar los certificados firmados con sencillos mecanismo que demuestren que eres el propietario del dominio que deseas firmar, ser\u00eda un detallazo de google por que de otra manera Google obliga a incurrir en muchos costos operativos para poder tener un buen lugar de RANK en su motor de b\u00fasqueda.
\nNo estoy encontrar de cifrar las conexiones, simplemente estoy diciendo que debe cifrarse solo si el prop\u00f3sito de ese sitio web lo justifica, frases para apoyar eso, del tama\u00f1o del sapo la pedrada, la herramienta correcta para el trabajo correcto.<\/p>\n","protected":false},"excerpt":{"rendered":"

Esto puede sonar contradictorio porque yo uso demasiada seguridad en la cueva del drag\u00f3n, pero lo m\u00edo no es paranoia, es que utilizo la cueva del drag\u00f3n como repositorio para cuentas bancarias y de tarjetas de cr\u00e9dito, escrituraciones y documentos de valor por lo que transmitir informaci\u00f3n para mi justifica completamente tener certificados e incluso…<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8],"tags":[],"class_list":["post-1190","post","type-post","status-publish","format-standard","hentry","category-en-la-opinion-de"],"_links":{"self":[{"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/posts\/1190","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=1190"}],"version-history":[{"count":2,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/posts\/1190\/revisions"}],"predecessor-version":[{"id":1192,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=\/wp\/v2\/posts\/1190\/revisions\/1192"}],"wp:attachment":[{"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=1190"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=1190"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.lastdragon.net\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=1190"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}