Google ha modificado el método de encriptación utilizado por los servicios con HTTPS como Gmail, Docs o Google+, con el fin de impedir que el tráfico sea descifrado en el futuro, cuando los avances tecnológicos pudieran hacerlo posible.
La propuesta de Google es implementar una propiedad de seguridad que se basa en utilizar diferentes claves privadas para cifrar sesiones y borrarlas después de un periodo de tiempo. De esta forma, si alguien consigue robar dichas claves no podrán robar una cantidad significativa de tráfico de email de abarque meses de actividad. De hecho, con este planteamiento ni siquiera el administrador del servidor sería capaz de descifrar el tráfico HTTP retrospectivamente.
Como SSL no está diseñado para soportar mecanismos de intercambios de claves capaces de esa confidencialidad directa por defecto, lo que han hecho los ingenieros de Google ha sido diseñar una extensión para el popular OpenSSL.
De forma que la nueva implementación HTTPS de Google utiliza ECDHE_RSA para el intercambio de calves y el codificador RC4_128 para el cifrado. Por el momento esta combinación sólo es soportada por Firefox y Chrome, por lo que Explorer o Safari no se beneficiarán de esta seguridad añadida.
0 comentarios:
Publicar un comentario
Dejanos tu comentario