Próximos cambios de seguridad en los navegadores web: Qué necesita saber? Dean Coclin Sr. Director, Business Development

Transcripción

1 Próximos cambios de seguridad en los navegadores web: Qué necesita saber? Dean Coclin Sr. Director, Business Development 1

2 Agenda Tendencias del año pasado hacia https Qué ha cambiado? Actualización de Phishing

3 Tendencias del año pasado Section 1 SYMANTEC CONFIDENTIAL- INTERNAL USE ONLY Copyright 2017 Symantec Corporation 3

4 Recuerda estos puntos? o Los navegadores de internet ya advierten sobre las conexiones nohttps. o Las Entidades de Gobierno están migrando todas sus conexiones a https. o Características potentes del navegador sólo disponibles a través de https. o Protocolo http2 solo sobre https. o Datos de referencia solo a traves de https.

5 Qué ha cambiado? Section 2 SYMANTEC CONFIDENTIAL- INTERNAL USE ONLY Copyright 2017 Symantec Corporation 5

6 Ahora tenemos... o >75% de páginas cargadas en Chrome sobre https. o >50% de páginas cargadas en Android sobre https.

7 Comparación (datos de Google Chrome) Ene 2016 May % 39% 24% 56% % de los 100 sitios principales soportan https % de los 100 sitios principales predeterminados en https % de los 100 sitios principales soportan https % de los 100 sitios principales predeterminados en https

8 Nuevo comportamiento de Chrome

9 Cambios en Chrome

10 Otros navegadores Firefox deshabilita Geolocalización sobre http (Versión 55). Apple soporta CT. Microsoft solicita la revocación de certificados DV en sitios fraudulentos.

11 Nuevos dominios.gov A partir de la primavera de 2017, todos los nuevos dominios que se registren como.gov serán enviados a los navegadores para una precarga. Los navegadores validará que la conexión sea estrictamente https. Aplica para dominios y sub dominios. No se permitirá hacer click a omitiendo advertencias.

12 Seguimiento de la adopción.gov a https

13 .gov a través de HTTPS

14 Portales web de noticias usando https Cada portal web de noticias debería ser seguro. El cifrado HTTPS permite seguridad, privacidad y previene la censura. Estamos siguiendo la adopción! De los sitios de noticias ofrecen https. Predeterminan a https. Sitios comprometidos a cambiar.

15 El número de certificados DV aumentó 335% en el último año Desglose de tipos de certificados junio 2016 Tipo Certificado Crecimiento anual Desglose de tipos de Certificados junio 2017 OV 19% EV 3% DV 335% OV 5% EV 1% OV 5% DV 78% EV 11% DV 94% Total de Certificados : 5,328,455 Total 263% Total de Certificados : 19,344,017 Según Netcraft

16 TRANSACCIONES 90% 80% Transacciones de e-commerce cifradas en todo el mundo* 81% 70% 60% 50% 40% 30% 20% 10% 0% 12% 4% 1% 0,90% 0,80% Symantec** Digicert Comodo GlobalSign Other GoDaddy PROTEGIDA POR *Fuente: Análisis de la investigación Comscore de 2017 encargada por Symantec ** Incluye las subsidiarias de Symantec, afiliados y revendedores.

17 Certificados que cambian a Let s Encrypt Número de certificados Comodo WoSign Symantec GoDaddy GlobalSign Other Amazon DigiCert Trustwave Asseco Entrust.net TERENA Network Solutions QuoVadis TAIWAN-CA

18 La mayoría de los Certificados que cambian de Comodo a Let s Encrypt eran anteriormente Certificados de cpanel Total de Certificados que cambiaron de Comodo desde Octubre 2016 Junio 2017: 256,420 Comodo cambiando a Let s Encrypt Desglose del tipo de certificado COMODO CA Limited 11% Otro 1% cpanel, Inc. 88% Tipo Certificado Comodo # de Certificados que cambiaron % del Total cpanel, Inc. 225,316 88% COMODO CA Limited 29,184 11% Gandi 1, % Internet % GANDI SAS % Globe Hosting, Inc % EUNETIC GmbH % TBS INTERNET % Register.com % DREAMSCAPE NETWORKS FZ- LLC WebSpace-Forum, Thomas Wendt % % The USERTRUST Network %

19 Actualización de Phishing Section 3 SYMANTEC CONFIDENTIAL- INTERNAL USE ONLY Copyright 2017 Symantec Corporation 19

20 Cuál es el sitio real de PayPal?

21 Qué significa esto? o El sitio está seguro. o El sitio es real y no contiene vulnerabilidades. o Sé quién dice ser el sitio. o El sitio no tiene malware. o Puedo estar seguro que lo que compre en este sitio es auténtico. LO SIENTO!, todo lo que significa es que los datos se cifran entre su computador y el servidor, y que usted está conectado a ese nombre de dominio.

22 Cómo sabemos si es el dominio correcto? o DV: No hay información de propiedad. o OV/EV: Datos sobre el propietario en el certificado.

23 Otro sitio de PayPal

24 Sitio de Phishing de Amex

25 Estadísticas de Phishing

26 Certificados emitidos a sitios de Phishing GoDaddy 69 Symantec 50 Actalis 19 GlobalSign 15 Stratro AG 9 StartCom 6 TrustAsia 4 Amazon 3 Comodo 2,100 Let s Encrypt 3,109 Copyright 2017 Symantec Corporation 26

27 Interfaz de Usuario propuesta por el navegador 360 Dueño de SSL con EV, candado verde, con el nombre de la empresa. Dueño de SSL con OV, candado gris

28 LOS NÚMEROS DE SSL EN LATINOAMERICA SYMANTEC CONFIDENTIAL- INTERNAL USE ONLY Copyright 2017 Symantec Corporation 28

29 Qué podemos hacer? Firmar la petición! La identidad del sitio web es importante para la seguridad del usuario. DV no proporciona identidad comercial. Tipos de certificados TLS que se utilizan para proteger sitios web: EV, OV y DV Cada uno debería recibir un indicador de seguridad de interfaz de usuario claramente definido que muestre a los usuarios cuando la identidad de un sitio web ha sido confirmada independientemente. Los navegadores deben adoptar un conjunto común de indicadores de seguridad de interfaz de usuario de navegador para cada tipo de certificado y deben educar a los usuarios sobre las diferencias para promover la seguridad del usuario.

30 Q&A

31 Gracias! Dean