La Wikipedia, Reddit, Bing, etc, etc, incluso la Casa Blanca ha ordenado a todas sus webs del Gobierno estén disponibles en HTTPS. El Director de información del presidente Barack Obama, Tony Scott, emitió un memorando que requiere que "todos los sitios web federales y servicios web de acceso público sólo proporcionen servicio a través de una conexión segura."







La Casa Blanca parece que tmabién se están tomando en serio la privacidad en línea.

Hace unas semanas, el gobierno cambió al cifrado HTTPS por defecto en su sitio, haciendo las visitas a WhiteHouse.gov más seguras y privadas. Ahora, la Casa Blanca está subiendo la apuesta y pide todos los sitios web del gobierno a seguir su ejemplo.

Memorando:

• https://www.whitehouse.gov/sites/default/files/omb/memoranda/2015/m-15-13.pdf

Aparte de WhiteHouse.gov, otros sitios web como CIA.gov, NSA.gov y FTC.gov ya han implementado HTTPS por defecto. Sin embargo, muchos otros todavía están sin cifrar, incluyendo los sitios del FBI, el Servicio de Rentas Internas (IRS), e incluso el Departamento de Seguridad Nacional, que es la agencia federal responsable de la seguridad cibernética a través del gobierno de Estados Unidos.

• https://pulse.cio.gov/https/domains/

"El pueblo estadounidense espera que los sitios web del gobierno pasen a ser seguros y sus interacciones con estos sitios web sean privados", escribió la administración en una página web que anuncia su nueva iniciativa

"Toda actividad de navegación debe ser considerada privada y confidencial."

Con esta iniciativa, la Casa Blanca está ordenando las agencias del gobierno para hacer que cada nueva página web esté cifrada de forma predeterminada. Para los sitios existentes, las agencias gubernamentales les da dos años para cambiar el cifrado, según las directrices de la iniciativa.

El memorando establece que la "fuerte protección de la privacidad y la integridad actualmente disponible con las conexiones web de servicios públicos es el Protocolo de transferencia de hipertexto seguro (HTTPS)" y da las agencias federales hasta 31 de diciembre 2016, fecha límite para adoptar el estándar de seguridad.


"Conexiones HTTP sin cifrar crean una vulnerabilidad y exponen información potencialmente sensible sobre los usuarios de los sitios web y servicios federales no cifrados", escribió Scott, en una entrada de blog en WhiteHouse.gov. "Estos datos pueden incluir la identidad del navegador, contenido del sitio web, los términos de búsqueda, y otra información enviado por el usuario. Para hacer frente a estas preocupaciones, muchas organizaciones comerciales ya han adoptado políticas sólo HTTPS para proteger a los visitantes a sus sitios web y servicios. La acción de hoy va a entregar ese misma protección a los usuarios de los sitios web y servicios federales ".

La nueva política sigue a dos meses de comentarios públicos, que parecen haber impulsado una línea de tiempo más agresivo para la adopción.

"Publiqué una solicitud de extracción detallado hoy que muestra exactamente lo que ha cambiado entre la versión propuesta de la nota, y la nota final", dijo Eric Mill, un ingeniero de software de Administración de Servicios Generales con el equipo de desarrollo de tecnología de la agencia, llamada 18F. "El cambio más sustancial se estaba poniendo un plazo específico de 31 de diciembre 2016, que es un poco más corto que el propuesto originalmente. También hizo hincapié en que los sitios de mayor prioridad no deberían esperar hasta el final del proceso, y hemos añadido alguna mención explícita de las mejores prácticas alrededor de confidencialidad directa y sistemas de cifrado / protocolos modernos.

Como un post sobre el cambio a HTTPS en todas partes al 18F notas, los comentarios incluyeron un amplio apoyo a una política de seguridad que prácticamente todos los principales estándares cuerpo, empresa de tecnología y organización de libertades civiles está detrás.

"HTTPS en todas partes hace que todo el gobierno más fuerte, y toda la Web más fuerte", dijo Molino en una entrevista. ". Hay alguna explicación en el sitio de orientación HTTPS esta sección se describen que las garantías técnicas están mejoradas bastante bien:"

Reddit también se pasa a HTTPS

A partir del próximo 29 de junio de 2015 todo el tráfico en la popular comunidad será encriptado con el protocolo HTTPS.

Ahora, tanto las conexiones al servicio así como las cookies y otros registros personales tenidos en cuenta al acceder a Reddit, serán blindados con el protocolo HTTPS que evitará que caigan en manos equivocadas, en particular, si estas últimas pretenden aprovechar algún espacio para adentrarse, robar la información y hasta inyectar software malicioso.En fin, no es el único gran servicio o compañía que opta por HTTPS para la protección de la transmisión de datos de sus usuarios pues Google, Yahoo, Facebook, Microsoft y Wikipedia ya trabajan de igual forma.

HTTPS Everywhere

HTTPS Everywhere es una extensión para los navegador Firefox, Chrome y Opera creada por la Electronic Frontier Foundation (EFF) en colaboración con The Tor Project. Sirve para forzar el cifrado de la información enviada o recibida entre el navegador y los sitios web que soporten el protocolo HTTPS

 
Lo que HTTPS Everywhere hace es reescribir todas esas peticiones originalmente hechas en HTTP en peticiones HTTPS. La instalación del complemento es tan secilla como la de cualquier otro. Y aquí reitero esto: el plugin funcionará únicamente en sitios web que soporten HTTPS, por ejemplo. De hecho, por defecto soporta estos y otros sitios web:

• https://www.eff.org/HTTPS-EVERYWHERE

¿Cuál es la diferencia entre HTTP y HTTPS?

Cuando una página web te pide que introduzcas un dato como por ejemplo un número de teléfono o una contraseña y te ofrece un botón que pone ENVIAR al pulsarlo lo que estás haciendo es enviar esa información a un ordenador en algún lugar del mundo. Ahora imagínate que esa información fuera en un sobre que transporta que una paloma mensajera ¿qué ocurriría si en el viaje de la paloma una persona la atrapa y abre el sobre? Pues sencillamente interceptaría la comunicación y vería lo que estás tratando de enviar. Además luego puede devolver la paloma a su ruta sin que te hayas enterado de nada.

¿Qué hace HTTPS?

Cuando se configura correctamente, una conexión HTTPS garantiza tres cosas:

• Confidencialidad. La conexión del visitante está cifrado, oscureciendo las URL, cookies y otros metadatos sensibles.
• Autenticidad. El visitante está hablando con el sitio web "real", y no a un imitador o por medio de un "man-in-the-middle".
• Integridad. Los datos enviados entre el visitante y el sitio web no ha sido manipulados o modificadso.

Una conexión HTTP plano puede ser fácilmente, monitorizada  y modificada,

HTTPS es un método seguro de comunicación a través de una red. La sigla HTTPS combina Protocolo de transferencia de hipertexto (HTTP), que se ve en la barra de direcciones de todos los navegadores web a la izquierda del nombre de dominio, con Secure Sockets Layer (SSL) o Transport Layer Security (TLS). Adición de la capa adicional ayuda a proteger al usuario.

Esta es la manera más segura y confiable de poder acceder a los contenidos que nos ofrece la web, ya que cualquier dato o información que introduzcamos será cifrada, lo que garantiza que no podrá ser vista por nadie más que el cliente y el servidor, anulando de esta forma la posibilidad de que pueda ser utilizada, ya que el ciberdelincuente sólo tendrá en sus manos datos cifrados que no podrá descifrar.

Cómo podemos ver, la utilización del protocolo HTTPS es de vital importancia para cualquier actividad que involucre el uso de datos personales como los utilizados en entidades bancarias, tiendas en línea, correos electrónicos y en cualquier otro sitio en el cual debamos introducir passwords, números de tarjeta de crédito u otra información personal.


¿Cómo de difícil es atacar a una conexión HTTPS?

Los ataques a las conexiones HTTPS generalmente se dividen en 3 categorías:

• Comprometiendo la calidad de la conexión HTTPS, a través de criptoanálisis o otras deficiencias de protocolo.
• Comprometer el equipo cliente, como por ejemplo mediante la instalación de un certificado raíz malicioso en el almacén de confianza del sistema o navegador.
• La obtención de un certificado de "rogue" de confianza de los principales navegadores, por lo general mediante la manipulación o comprometiendo una autoridad de certificación.