Se han revelado múltiples vulnerabilidades en la biblioteca TLS embebida wolfSSL, que dejan expuestos a miles de millones de servidores y dispositivos IoT. Si no se corrigen, estos fallos podrían permitir la falsificación de certificados, la ejecución remota de código y ataques de denegación de servicio, comprometiendo los mecanismos de confianza de TLS y permitiendo que los atacantes evadan la validación de certificados.

Apache Logging Services ha revelado una vulnerabilidad de seguridad crítica en Log4j Core que expone a las aplicaciones a la posible interceptación de datos de registro. El fallo reside en el componente Socket Appender. Afecta a las versiones 2.0-beta9 hasta la 2.25.2, creando un vector de ataque de tipo "hombre en el medio" para actores maliciosos. El Socket Appender en las versiones afectadas de Log4j no verifica el TLS

Hace poco se dio a conocer el lanzamiento oficial de la primera versión experimental del servidor y cliente para el protocolo SSH3 y que utiliza QUIC (basado en UDP), TLS 1.3 que y aprovecha los mecanismos HTTP para la autenticación de usuarios, as'i como tambi'en para establecer un canal de comunicación seguro

El Foro de Autoridades de Certificación/Navegadores ha votado a favor de reducir significativamente la vida útil de los certificados SSL/TLS durante los próximos 4 años, con una duración final de tan solo 47 días a partir de 2029.

Google Chrome bloqueará los certificados TLS emitidos por Entrust y AffirmTrust (esta última propiedad de Entrust desde 2016). La compañía de Mountain View dice que busca proteger a sus usuarios y que este movimiento se debe a que Entrust se ha visto envuelto en una serie de incidentes que "han erosionado la confianza en su competencia, fiabilidad e integridad como propietario de CA de confianza pública".

Reforzar la seguridad de tu correo electrónico es un proceso que lleva varios pasos, desde hace un tiempo hemos estado hablando sobre diversos temas relacionados a la seguridad de los mensajes de correo salientes, para lo cual es necesario aplicar políticas DMARC; sin embargo, muchos propietarios de dominios todavía se preocupan por la seguridad del flujo de correo entrante.

Aprende a activar el nuevo protocolo ECH recién implementado en Chrome, que permite acceder a webs que lo soporten sin que el sistema de bloqueo de las operadoras pueda actuar, al impedirle leer los nombres de los dominios a los que accedes.

 SSL no se ha actualizado desde el SSL 3.0 en 1996 y, hoy en día, se considera que está obsoleto. TLS reemplaza el protocolo de capa de conectores seguros (SSL) que ya no se utiliza. La capa de conexión segura (TLS) garantiza las comunicaciones cifradas entre un cliente y un servidor web a través de HTTPS. 

Rusia ha decidido crear su propia Autoridad de Certificación para evitar todo tipo de bloqueos internacionales. En definitiva, para evitar bloqueos de sitios web y que no estén disponibles al caducar el certificado TLS, Rusia ha decidido crear su propia Autoridad de Certificación. No obstante, como has podido ver de momento muy pocos navegadores lo reconocen e incluso puede ser un problema de seguridad.

Encrypted Cliente Hello (ECH) sigue su camino para convertirse en un estándar que dejará a los proveedores de internet sin posibilidad de inspeccionar las cabeceras HTTPS de las webs a las que acceden sus clientes con el fin de ejecutar el bloqueo de webs. Encrypted Client Hello (ECH), una nueva extensión para el protocolo TLS que mejora significativamente la privacidad de este importante protocolo de Internet.

Un grupo de investigadores de varias universidades de Alemania, los cuales ha desarrollado un nuevo método de ataque MITM contra HTTPS, que permite extraer cookies con ID de sesión y otros datos sensibles, así como ejecutar código JavaScript arbitrario en el contexto de otro sitio. El ataque se llama ALPACA y se puede aplicar a servidores TLS que implementan diferentes protocolos de capa de aplicación (HTTPS, SFTP, SMTP, IMAP, POP3), pero usan certificados TLS comunes. El ataque permitiría redirigir el tráfico del navegador a un servicio diferente con el fin de acceder o exfiltrar información sensible.

Nuestro proveedor de Internet, empresas de seguridad y gobiernos que censuran contenido tienen varias formas para conocer y registrar las páginas web a las que nos conectamos. Muchos de vosotros pensaréis que usando páginas https y DNS over HTTPS (DoH) nadie podrá saber las web que visitamos, pero esto no es así. Aunque usemos DoH nuestro proveedor de Internet, empresas de seguridad y otros actores pueden ver las URL que visitamos porque tienen la posibilidad de consultar el Server Name Indication (SNI). Frente a esta problemática en el siguiente artículo veremos como activar ESNI y DoH para dificultar que un tercero observe o trafique con nuestro historial de navegación.