Aunque mucha gente no lo sabe, para los administradores de redes con “malas intenciones”, es muy sencillo realizar ataques del tipo MITM y la única forma confiable de evitarlos es contar con un certificado SSL debidamente firmado por una autoridad certificadora reconocida.

¿Qué es un ataque MITM?

Un ataque MITM (Man In The Middle, o mejor dicho en español “Hombre en Medio”) es un tipo de ataque que realmente no vulnera la seguridad ni del equipo del cliente, ni del servidor… todo lo contrario, vulnera el tráfico de información entre los dos.

En un ataque MITM, el tráfico del cliente al servidor es dirigido a un equipo intermediario o “gateway”, que escuchará todas las conexiones realizadas por el equipo del cliente hacia el servidor. Al no contar con un certificado SSL, dichas conexiones se encuentran en modo texto, lo que quiere decir que es fácil leerlas, entenderlas y a partir de ahí decidir la acción a tomar.

¿Cuál es el riesgo de un ataque MITM?

Un ataque MITM conlleva dos tipos de riesgo. El primero consiste en el robo de información. Para este caso supongamos que Alicia (una usuaria incauta e inocente de Internet) se conecta al servidor de su escuela para revisar las calificaciones y asignaturas. El servidor de la escuela no cuenta con un certificado SSL, por lo que el equipo de Alicia no tiene como validar si realmente se está conectado al servidor de su escuela o si realmente es otro servidor. La conexión de Alicia ha sido interceptada y se ha puesto un software que graba o almacena todo el tráfico. Alicia introduce su correo y su contraseña en el servidor de la escuela, pero estos datos quedan almacenados también en el equipo “espía”. Alicia es descuidada y usa la misma contraseña para su escuela que la que usa para su correo y el atacante ya tiene la información del correo de Alicia para hacer con ella lo que más le convenga.

En el segundo tipo de riesgo, es el de la modificación de información. Para este caso vamos a suponer que Pedro es un usuario que se accede al sitio inseguro (sin SSL) de noticias locales. Ingresa y ve en una de las noticias que lo están buscando a él pues se ganó una gran cantidad de dinero en un sorteo y que debe contactar a un ejectuvo a cierto número teléfonico para reclamar el premio. Al Pedro estarlo leyendo en el sitio de noticias locales, no duda de la veracidad y llama al número, en donde un experto en Ingeniería Social logra obtener todos los datos bancarios de Pedro para así poder robarle todo su dinero. Lo que Pedro nunca imaginó, es que aunque el puso la dirección del sitio web de noticias locales, realmente su conexión fue redireccionada a otro servidor con un sitio idéntico y noticias reales, pero que incluía la noticia falsa de su premio.

¿Cómo es que un certificado SSL previene los ataques MITM?

Si en cualquiera de los dos casos ficticios expuestos anteriormente, los servidores hubieran contado con un certificado SSL debidamente firmado y reconocido, los equipos de Pedro y de Alicia hubieran detectado que la conexión no era segura o que el certificado del equipo al que se conectaban (el equipo intermediario) no correspondía con el dominio o la dirección de los sitios a consultar (noticias locales y escuela respectivamente). Esto hubiera alertado a Alicia y a Pedro para no introducir ninguna información personal en el sitio o para no creer en lo que veían en sus pantallas… o incluso mejor, el no acceder al sitio.

Cuando se instala un certificado SSL en un servidor, la autoridad certificadora que “firma” o “emite” el certificado debe validar que quien lo solicita realmente tenga conexión con el dominio o subdominio a proteger. De igual forma, el certificado tiene una llave privada que solo el administrador del certificado posee y que imposibilita que un tercero pueda instalar dicho certificado en otro servidor.

En ninguno de los casos ficticios (pero que lamentablemente han sucedido a algunas personas) se puede culpar a los usuarios o a los administradores de los servidores por la ausencia de un mecanismo de protección, pero al mismo tiempo ambos son culpables de la falla, los usuarios por desconocer las bases de la seguridad en Internet y los administradores de los servidores por no preocuparse por la seguridad de los datos de sus visitantes. Aún así los ataques no fueron iniciados ni por los usuarios, ni por los administradores de los servidores, sino que fue un atacante intermediario el que llevó a cabo las actividades ilícitas.

Si tu sitio web no cuenta con un certificado SSL, estás exponiendo a tus usuarios y visitantes a ser parte de las estadísiticas de casos como el de Alicia o el de Pedro y la tranquilidad de que no enfrentarás casos como estos vale mas que los US$18.80 por año que cuesta un certificado de LatSSL. Demuestra a tus usuarios que te preocupas por su seguridad agregando un certificado de LatSSL hoy mismo a tu sitio web.