¡Alerta en internet! Mozilla y Microsoft bloquean certificados raíz de TrustCor

En un movimiento que pone en jaque la confianza en la seguridad de la web, Mozilla y Microsoft han decidido bloquear los certificados raíz de TrustCor, dejando fuera de juego a esta entidad certificadora. Esta medida, tomada a finales de 2022, responde a sospechas sobre sus vínculos con una empresa que distribuía software espía en Android, lo que desata un nuevo debate sobre quiénes controlan la seguridad en internet.

¿Qué ha pasado con TrustCor?

Para entender por qué dos gigantes de la tecnología han actuado contra TrustCor, primero hay que explicar qué papel juega esta empresa. TrustCor es (o, mejor dicho, era) una autoridad certificadora (CA, por sus siglas en inglés). Su labor consiste en validar la autenticidad de páginas web a través de certificados digitales. Dicho de otro modo, cuando accedemos a una web con conexión segura (HTTPS), es gracias a estos certificados que el navegador puede verificar que el sitio es legítimo.

Pero, ¿qué ocurre cuando una autoridad certificadora no es totalmente confiable? Ahí es donde entra la polémica. Desde hace tiempo, se sospechaba que TrustCor tenía conexiones con Measurement Systems, una empresa acusada de distribuir un SDK con spyware en dispositivos Android. Este hecho hizo saltar las alarmas de la comunidad de ciberseguridad.

La conexión con Measurement Systems

Las sospechas contra TrustCor no surgieron de la nada. Investigadores, como Joel Reardon, profesor de la Universidad de Calgary, encontraron varias coincidencias preocupantes:

• TrustCor y Measurement Systems compartían directivos corporativos.
• Ambas compañías registraron sus dominios a través de la misma empresa, Vostrom Holdings.
• El producto de correo cifrado de TrustCor, MsgSafe, contenía en su versión beta una versión no ofuscada del SDK espía de Measurement Systems.

Esto significa que, al menos hasta 2021, TrustCor tenía acceso a herramientas que podían minar la privacidad de los usuarios. Aunque no se halló evidencia concreta de un uso fraudulento de certificados, la mera posibilidad fue suficiente para que Mozilla y Microsoft pusieran la lupa sobre la compañía.

Microsoft y Mozilla toman cartas en el asunto

La respuesta de los navegadores no se hizo esperar. Mozilla fijó la fecha de desconfianza para el 30 de noviembre de 2022, mientras que Microsoft lo adelantó al 1 de noviembre de 2022. Esto significa que todos los certificados raíz de TrustCor quedaban invalidados a partir de ese momento, bloqueando cualquier comunicación cifrada que dependiera de estos.

Aunque ni Google Chrome ni Apple Safari se han pronunciado de manera oficial, es muy probable que hayan seguido los mismos pasos, ya que las autoridades certificadoras deben cumplir con estrictos estándares de seguridad en todos los navegadores de internet.

¿Qué significa esto para los usuarios?

Si bien muchos internautas pueden no notar el cambio de inmediato, cualquier sitio web que aún dependa de certificados TrustCor dejará de ser accesible sin generar una advertencia de seguridad. Esto, en término prácticos, significa que los administradores de webs que confiaban en estos certificados deberán migrar a otra entidad certificadora de confianza.

Para los usuarios preocupados por su seguridad, existe la opción de eliminar manualmente los certificados TrustCor de su navegador. Si usas Mozilla Firefox, puedes seguir estos pasos:

1. Escribe about:preferences#privacy en la barra de direcciones y pulsa Enter.
2. Desplázate hasta la sección de Certificados.
3. Haz clic en Ver certificados.
4. En la lista, busca TrustCor (está ordenada alfabéticamente).
5. Selecciona los certificados de TrustCor y haz clic en Eliminar o No confiar.
6. Confirma la eliminación y cierra la ventana.

IMPORTANTE: Si eliminas un certificado de confianza equivocado, algunas páginas web pueden volverse inaccesibles. Lo recomendable es exportar el certificado antes de eliminarlo, en caso de necesitar restaurarlo después.

TrustCor y la crisis de confianza en internet

Este caso no es el primero ni será el último en el que se cuestione la fiabilidad de una autoridad certificadora. Ya hemos visto en el pasado cómo otras CAs, como Symantec, WoSign o StartCom, perdieron la confianza de los navegadores por malas prácticas o por estar involucradas en incidentes de seguridad.

Aquí hay algo claro: internet depende de la confianza en estos certificados para garantizar la seguridad de los usuarios. Si se compromete una autoridad certificadora, se corrompe la cadena de confianza de la web, y cualquier ciberdelincuente podría suplantar sitios legítimos sin ser detectado fácilmente.

¿Cómo evitar problemas con los certificados digitales?

Si gestionas una web o simplemente quieres asegurarte de navegar con seguridad, aquí van algunas recomendaciones:

1. Evita certificados de CAs de dudosa reputación: Opta por entidades reconocidas como Let’s Encrypt, DigiCert o GlobalSign.
2. Mantén tu navegador actualizado: Las actualizaciones incluyen listas de certificados confiables y aquellos que han sido revocados.
3. Verifica manualmente los certificados: En navegadores como Microsoft Edge, puedes inspeccionar los detalles del certificado de cada web haciendo clic en el candado de seguridad.
4. Activar «HTTPS Everywhere»: Esta extensión te ayuda a forzar el uso de HTTPS en sitios web compatibles.

Si te interesa más información sobre seguridad en los navegadores y cómo elegir el más confiable, te recomiendo echar un vistazo a nuestra guía sobre Microsoft Edge, donde explicamos por qué este navegador de internet ha fortalecido su enfoque en la privacidad y el rendimiento.

La confianza digital, un reto en constante evolución

Con cada nuevo escándalo de seguridad, se nos recuerda la importancia de la transparencia y el cumplimiento de estándares en la web. El veto a los certificados de TrustCor es una señal clara de que, cuando se trata de proteger a los usuarios, las grandes compañías no dudan en tomar decisiones drásticas.

La pregunta que queda en el aire es: ¿qué otras entidades certificadoras podrían estar en la mira? Como siempre, en Ciberyseguridad.com estaremos atentos a cualquier novedad en este ámbito.