Archivos de la categoría desarrollo

Tipos de certificados de seguridad SSL

Si alguna vez te has enfrentado a la necesidad de contratar un SSL, supongo que te habrá sorprendido la disparidad de precios y te te habrás preguntado el por qué.

Lo primero a considerar es qué es lo que valida cada tipo de certificado. Un notario solo da fe de lo que está escrito, no de que lo que esté escrito sea verdad, con los certificados pasa algo similar. La entidad certificadora (CA), comprobará la validez de la información para crear el certificado según lo que se le pida.

Podemos distinguir los siguientes tipos de certificados en base a lo que validan, a lo que han comprobado que es cierto:

  1. Domain Validated (DV). El dominio pertenece al titular.
  2. Organization Validated (OV). La organización indicada posee el dominio.
  3. Extended Validated (EV). Comprobaciones adicionales y exhaustivas sobre la organización que solicita el certificado para el dominio.

Domain Validated (DV)

Comprueba que el dominio es un dominio válido y el propietario puede confirmar que, efectivamente es el propietario del dominio.

Esta validación la realiza el CA intercambiando mails con el titular del dominio, por ejemplo o, tal y como hará Let’s Encript, mediante comprobaciones de un agente en el servidor web para asegurarse que tiene acceso al dominio para el que se solicita el SSL.

Los certificados DV verifican el consentimiento del dueño de un dominio pero no verifican quién es el dueño del dominio en realidad.

Organization Validated (OV)

En este caso se valida el dominio y la organización que lo solicita y para ello hacen falta comprobaciones adicionales por parte del CA.

En estos casos se incluye en el certificado generado información sobre el sitio web y sobre la propia organización.

Extended Validated (EV)

Proporcionan el máximo nivel de confianza.

En este caso, el CA debe asegurarse para conceder el certificado de que diversos datos del dominio y de la organización. El CA se pondrá en contacto con la organización, normalmente por vía telefónica y le solicitará la documentación necesaria para conceder el certificado según la guía para certificados EV de CA/Browser Forum.

Certificado EV
Certificado EV en Mozilla Firefox

Referencias

Candados (por Sylwia Bartyzel)

SSL para dummies: gestión de certificados y PKI

A mediados de 2014 Google indicó que iba a considerar los certificados SSL (Secure Sockets Layer) como un elemento relevante en su algoritmo de posicionamiento (artículo en Google Webmasters Central (EN)).

A mediados de 2015, la fundación Mozilla junto con otros partners (EFF, Akamai, Cisco…) tiene previsto ofrecer certificados SSL “autoinstalables” de forma gratuita a través de su entidad de certificación (CA), Let’s Encrypt.

Y es que la cantidad de sitios web con certificados SSL no ha hecho más que crecer.

Imagen de encuesta de SSL de Netcraft
Imagen de encuesta de SSL de Netcraft

Aun así, el mercado de los SSL está en mano de unos pocos proveedores: Symantec, GoDaddy y Comodo tienen el 75% del mercado de SSL.

De forma resumida, un certificado SSL nos permite establecer una comunicación segura entre nuestro navegador y la página web de destino, gracias a que hay un tercero, la autoridad de certificación (CA) que es la que asegura que el destino al que navegamos es quien dice ser.

Para entender bien como funciona, no es necesario, pero sí interesante, conocer términos como cifrado asimétrico, PKI (Public Key Infraestructure) o la ya mencionada CA (Certificate Authority).

Como funciona la infraestructura de clave pública (PKI)

El cifrado asimétrico se basa en el intercambio de claves públicas para cifrar el contenido que solo el poseedor de la clave privada puede descifrar o para ser capaces de identificar al emisor.

El emisor cifra la información usando su clave privada y envía la clave pública al receptor. Con la clave pública, el receptor cifra el mensaje que solo la clave privada puede descifrar con lo que la comunicación del mensaje es segura.

Esquema de cifrado asimétrico
Cifrado asimétrico (por RealTimeLogic)

Este sistema también se utiliza para la firma de mensajes.

Igual que antes, solo el emisor posee la clave privada con la que se cifra el mensaje. El emisor proporciona al receptor la clave pública y con ella puede descifrar el mensaje. Como solo el emisor puede cifrar los mensajes de esa clave pública, nos sirve para identificar al emisor, pero no para mantener seguro el mensaje ya que se puede descifrar usando la clave pública.

Firma asimétrica
Firma asimétrica

Firma digital de mensajesEl problema de estas comunicaciones es que aunque identifiquemos al emisor, ¿cómo podemos confiar en él?

TLS/SSL resuelven este problema utilizando un tercero de confianza. El protocolo TLS/SSL utiliza una clave simétrica, y se utiliza el cifrado asimétrico para enviar una firma cifrada con la clave privada del emisor junto con la clave pública necesaria.

Los certificados y la PKI

Componentes de un certificadoDe cara a establecer una relación de confianza, hay unas autoridades de certificación (CA) que son las que nos aseguran que el receptor es quien dice ser. Para que el emisor confíe en el receptor, este debe tener firmado su certificado público por una CA de confianza.

Los certificados de los CA, con sus claves públicas, están almacenadas por defecto en los navegadores.

Durante la comunicación navegador-servidor, lo que se produce es:

  1. El navegador solicita identificar al servidor
  2. El servidor, envía su certificado público
  3. El navegador comprueba la validez del certificado
  4. El navegador comprueba ahora la validez del CA, del tercero de confianza, en su lista de CA
  5. Si el certificado público es correcto, y el CA que lo ha firmado es de confianza, el navegador debe comprobar que el nombre del servidor (el dominio) del certificado es es el mismo con el que se está comunicando
  6. Si es así, el navegador puede confiar en que se está comunicando con un servidor concreto de forma segura
Esquema de validación de certificados
Esquema de validación de certificados

Referencias

Copias de seguridad con Duplicati servicios con soporte WebDAV

Logo de Duplicati

Duplicati es un cliente de backup gratuito y de código abierto que se puede utilizar con multitud de protocolos FTP, S3 o WebDAV que permite realizar copias de seguridad de forma regular y segura ya que las copias están cifradas.

Ojo, es un cliente de backup no es simplemente copiar tus archivos a Dropbox o similar. Con Duplicati, puedes realizar distintos tipos de copia y recuperar la información de cualquiera de las copias realizadas de forma sencilla.

En este artículo mostraremos como realizar una configuración sencilla de Duplicati 1.3.4 para realizar copias de seguridad en un servicio de disco que soporte WebDAV como puede ser el Disco Duro Online de Arsys.

La configuración es relativamente sencilla y solo hay que seguir los pasos del asistente para tener un backup de tu ordenador.

El pase de diapositivas requiere JavaScript.

Opciones de búsqueda avanzada en Google

Aunque normalmente todo el mundo pondrá lo que desea buscar en la caja del buscador y pulsará en el retorno de carro, Google permite algunas opciones interesantes y que, seguramente, no demasiada gente utiliza:

  • <cadena de búsqueda> site:<dominio o URL>
    Nos permite realizar búsqueda dentro de un dominio. Por ejemplo, para buscar dentro de sasaeh.com la palabra “google”, sería google site:sasaeh.com.Además nos sirve para saber cuántas páginas de nuestro dominio tenemos indexadas, poniendo site:sasaeh.com.
  • <cadena de búsqueda> filetype:[pdf|swf|doc|rtf|…]
    Nos permite buscar dentro de un tipo de archivo concreto. Flash, MS Word, MS Excel, PDF, etc… El numero de extensiones no dejará de crecer…. o tal vez desaparezca esta opción.
  • Parámetro as_qdr=[d|w|m|y|all]
    Nos permite buscar páginas indexadas/modificadas dentro de un periodo de tiempo:

    • d: day
    • w: week
    • m: month
    • y: year
    • all: cualquier periodo (por defecto)

    Muchas veces hemos encontrado soluciones y respuestas a preguntas que no tienen fecha y no sabemos su antigüedad ni si siguen siendo válidas o no. Con esto podríamos al filtrar algo más esa información y descartar páginas obsoletas.

  • <cadena de búsqueda> [allinurl|allintitle|allinanchor|allintext]:<cadena_filtro>
    Filtramos la búsqueda indicando que la URL (allinurl), el título  (allintitle), los enlace que apuntan al site (allinanchor) o el contenido de la página (allintext) debe tener la cadena_filtro.Existen variaciones sin el all para filtrar únicamente 1 palabra, en lugar de todas las palabras de una cadena.Es especialmente útil las búsquedas con allinanchor, como allinanchor:cuentos cortos.

También te permite conocer información sobre tu sitio web, sin necesidad de usar las herramientas para webmasters. Por ejempo, puedes saber que páginas enlazan a tu sitio:

  • link:<dominio>
    Nos permite conocer qué páginas enlazan a la nuestro site. Por ejemplo, ¿cuánta gente enlaza “sasaeh.com”? Respuesta link:sasaeh.com.

Todas estas opciones y alguna más, están disponibles desde la búsqueda avanzada de Google.

Actualización abril 2015:

Convertir pixels (px) a em

A la hora de hacer una web elástica, uno de los problema con los que nos encontramos es la falta de exactitud de las medidas con las que trabajamos.
Un pixel, es 1 pixel en pantalla, pero ¿cuánto es 1em o 1ex?

(Casi) Fácil. Aquí va una pequeña tabla de equivalencia sacada de (Worldtechies)

Points Pixels Ems Percent
6pt 8px 0.5em 50%
7pt 9px 0.55em 55%
7.5pt 10px 0.625em 62.5%
8pt 11px 0.7em 70%
9pt 12px 0.75em 75%
10pt 13px 0.8em 80%
10.5pt 14px 0.875em 87.5%
11pt 15px 0.95em 95%
12pt 16px 1em 100%
13pt 17px 1.05em 105%
13.5pt 18px 1.125em 112.5%
14pt 19px 1.2em 120%
14.5pt 20px 1.25em 125%
15pt 21px 1.3em 130%
16pt 22px 1.4em 140%
17pt 23px 1.45em 145%
18pt 24px 1.5em 150%
20pt 26px 1.6em 160%
22pt 29px 1.8em 180%
24pt 32px 2em 200%

Jon Tan lo explica mejor, indicando la fórmula para calcular la equivalencia:

1 ÷ parent font size (px) × required pixels = em equivalent

Asumiendo que, por defecto, el tamaño por defecto de la fuente en los navegadores es de 16px.

Para cálculos más complejos, podéis usar Em calculator.