Mucho se ha hablado sobre los 'males' que aquejan al protocolo SSL y en general al modelo PKI que subyace tras el.

Desde entidades que emplean algoritmos de baja calidad, entidades que son hackeadas y emiten certificados fraudulentos o incluso bugs del protocolo en si.



Pero hasta ahora, salvo vagas ideas, nadie ha cogido el toro por los cuernos y ha propuesto una alternativa. En la pasada BlackHat, el famoso investigador Moxie Marlinspike (autor de SSLstrip) se ha lanzado al ruedo con una propuesta alternativa al esquema actual.

Frente al tradicional funcionamiento de las entidades certificadoras (CAs) donde un numero X de organizaciones se arrogan la capacidad de emitir certificados SSL y luego negocian con los desarrolladores de los navegadores que incluyan su 'certificado raíz', Moxie propone un modelo que me recuerda, en parte, al esquema GPG.

La idea es que seas tú mismo quien decida si das o no das por bueno un certificado SSL, sea de una organización en concreto o incluso un certificado auto-firmado creado por alguien ajeno a las tradicionales entidades de certificación.

Como es lógico, muy pocas personas tienen la perspectiva o capacidad para dilucidar si un certificado merece o no merece confianza, por lo que aparece la figura del 'notario' que es una persona / organización en la que tu decides confiar y delegas en el la confianza, por lo que todos los certificados que el de por buenos serán buenos para ti.

De momento el proyecto ha liberado una extensión para Firefox y dos notarios activos. Se espera que si el proyecto cuaja, aparezcan mas notarios disponibles.

Mi opinión personal es que la idea es bastante buena, el concepto de que los 'notarios' sean dinámicos, tengan que tener una fiabilidad adquirida por consenso y reputación y que en caso de que 'metan la pata', se le pueda retirar la confianza, supone un avance frente al modelo tradicional.

Además no olvidemos que a partir de Windows Vista, Microsoft ha convertido la gestión de los certificados digitales en algo oscuro en el que es difícil intervenir

No obstante, creo que Moxie se deja en el tintero otro punto importante a la hora de 'vender' el producto. Mas allá de que las entidades de certificación son 'hackeables' o que dado el número de certificados raíz aprobados en los navegadores, resulta creíble que algunas entidades de certificación 'colaboren' con gobiernos para vulnerar la privacidad, se deja el hecho de que hace tiempo que las CAs dejaron de tener escrúpulos a la hora de emitir certificados y dejaron a un lado su rigor para simplemente emitir certificados por 10 dólares. Sin verificar lo que hay detrás

URL del proyecto: Convergence

Publicado por Yago Jesus en http://www.securitybydefault.com/2011/08/convergence-el-futuro-de-ssl.html