Incorporación de HTTPS como medida de seguridad en Facebook
- February 8th, 2011
- Posted in Criptografía . Seguridad
- By Israel Buitrón
- Write comment
Empezaré por los hechos.
Es bien sabido que Facebook es una red social de 500 millones de usuarios que ha sido blanco de muchos ataques a su seguridad, principalmente la privacidad de los usuarios. También es notable que dentro de los intereses de los creadores de dicha red nunca ha estado proveer dicha privacidad, tan es así que la maravilla de diseño visual y funcional que la red social tiene aplicado en su portal para atraer y hacer extremadamente fácil su uso, no ha sido aplicado para que los mismos usuarios ajusten las opciones relacionadas con la seguridad de su cuenta o para informar a sus usuarios sobre la aparición de dichas opciones.
Facebook ha decidido sacar ventaja de los datos que cada uno de los usuarios proporciona a la red social, pues el usuario, mediante la aceptación del contrato de privacidad, cede a Facebook los derechos sobre la información que ellos ingresan, siendo ahora este último, el propietario del material y plenamente puede proporcionar dichos datos a empresas, otros usuarios, etc.
Ahora Facebook hace anuncio de la incorporación del soporte de HTTPS (Hypertext Transfer Protocol Secure)[1] por medio de un artículo en su blog oficial[2], esto entre los usuarios es tomado como un “gran avance” en los pendientes que Facebook debería tomar en cuenta para garantizar algunos servicios de seguridad para sus usuarios, pero en lo personal no lo veo así.
Les presentaré noción breve sobre que implica que “Facebook use HTTPS”.
Me disculpo por las imprecisiones en las que pueda caer debido a este enfoque didáctico.
HTTPS es un protocolo que puede ser visto de manera superficial como la suma del protocolo HTTP (Hypertext Transfer Protocol) y el protocolo TLS (Transport Layer Security)[3]. HTTP es un protocolo que se usa para transferir “comúnmente” texto en una red como pueden ser las páginas web. No está de más recordar que las páginas web son cadenas de texto, generalmente construidas por instrucciones expresadas en un lenguaje llamado HTML (Hypertext Markup Language) y Javascript. TLS es un protocolo que hace uso de protocolos criptográficos para proveer comunicaciones seguras sobre redes -principalmente usado sobre Internet-, mediante servicios de integridad, autenticación y confidencialidad.
Para ejemplificar como es que HTTPS funciona podemos utilizar una analogía de un túnel de automóviles:
1.- Los automóviles representan los datos que se transfieren por HTTP
2.- El túnel representa al protocolo TLS y sus servicios de seguridad.
3.- Para que un automóvil entre al túnel, debe mostrar su identificación o su boleto de peaje y con ello puede hacer uso del túnel.
4.- Mientras el automóvil este dentro el túnel se encuentra seguro de ataques ya que nadie puede penetrar el túnel.
5.- Finalmente puede llegar a su destino: la salida del túnel.
De la misma forma en las computadoras, los datos entran a un túnel y desde la computadora origen hasta la computadora destino, los datos viajan seguros. Con esto se obtiene seguridad en la transferencia, es decir, nadie podrá interceptar los datos, modificarlos o entender la información que estos representen, pero solo hasta ahí es la seguridad con HTTPS.
El problema aún continua siendo que Facebook puede sacar partido de estos datos, porque tiene completa conciencia de la información, entonces la incorporación de HTTPS solo proporciona seguridad en la transferencia de datos desde las computadoras de los usuarios de Facebook hasta los servidores de Facebook y viceversa, pero en este caso Facebook sigue siendo de nuestra desconfianza y el origen de las violaciones a la privacidad de los usuarios.
Una solución real a esto es que los datos que cada uno de los usuarios proporciona a la red, no sean entendibles para el mismo Facebook, esto suena imposible para su operación, sin embargo, eso sería una forma real de confidencialidad de los datos de los usuarios de Facebook.
En conclusión, HTTPS solo protege la transferencia de los datos, pero no hace mas seguro el uso de Facebook en lo relacionado con servicios de seguridad para los datos de los usuarios de la red social.
Referencias:
Imágen | Digital Post Prod
Es un gran avance en cuanto a privacidad por que ahora es mas dificil interceptar tus datos desde una red interna. Antes con un sniffer y arpspoofing puedes interceptar el chat, tu password, contactos, etc y el usuario no se daba cuenta. Ahora tienes que usar sslstrip y hacer que la persona ignore la advertencia de seguridad.
Muchos filtros de contenido web funcionan en base al contenido de la pagina, el hecho de que ahora sea sobre SSL puede bypasear estos filtros.
Hola
Y sin embargo se mueve…
Yo estaba en contra de abrir un perfil de facebook precisamente por ls manera en qué manejan los datos y la privacidad de los usuarios hasta que Joel Gómez me dijo que mi “preocupación” tenía razones de existir y que hasta no probarlo personalmente no podía dar un juicio objetivo, y desde entonces tengo FB.
Lo comento por lo siguiente: si bien FB debería garantizar los datos de los usuarios, somos precisamente nosotros los que damos toda esa información fácil y rápido sin preocuparnos como será usada, sin leer los contratos de uso y pensando que nada pasa por publicar todas mis actividades.
La política de Facebook es clara, compartir toda la información posible, por eso y dentro de lo que cabe, que bueno que implementa HTTPS, por lo menos la información viajará protegida, mejor aún ojalá que como usuarios pensáramos si lo que compartimos puede ser usado en nuestra contra.
Saludos!