Llegamos a ustedes gracias a:



Noticias

CloudFlare puede proporcionar su servicio de caching sin sus llaves SSL

[23/09/2014] CloudFlare afirmó que ha diseñado una nueva forma de manejar las llaves de cifrado que permiten a las organizaciones, como las instituciones financieras, seguir usando su servicio de caching para defenderse de ciberataques.

CloudFlare afirma que ha diseñado una nueva forma de manejar las llaves de cifrado que permite a las organizaciones como las instituciones financieras mantener sus llaves SSL pero seguir usando sus servicios.

El avance, llamado Keyless SSL, es un nuevo método para manejar las llaves SSL (Secure Socket Layer), las cuales son usadas para cifrar contenido entre un cliente y un servicio, y son una defensa fundamental para evitar que los datos que han sido interceptados puedan ser leídos por un atacante.

Los populares servicios de la compañía protegen a los sitios web de los ataques de denegación de servicio y de otros ataques utilizando una red de centros de datos globales para detectar y filtrar tráfico de ataque y mantener en línea los sitios a través del caching.

Los sitios web que usan SSL pueden ser alojados por CloudFlare, pero los operadores tenían que entregar sus llaves de cifrado SSL. Eso es riesgoso, ya que la seguridad de los datos depende de cuán bien un proveedor tercero protege las llaves.

Por ejemplo, si se pierde la llave SSL de un banco, el incidente es tan grave que debe ser reportado a la Reserva Federal, escribió Matthew Prince, CEO de CloudFlare, en una entrada de blog el jueves.

Una llave SSL robada podría permitir que los atacantes descifren el tráfico que han interceptado o establecer un sitio web falso que aparezca como legítimo.

De acuerdo a un escrito técnico, el Keyless SSL funciona así: el navegador web de una persona se conecta con el servidor de CloudFlare más cercano y envía un bit de datos, llamado secreto, que ha sido cifrado con la llave SSL pública de un banco.

El servidor de CloudFlare se autentifica ante un servidor de llaves y envía su propio secreto cifrado, el cual es descifrado por el servidor de llaves y es devuelto a través de un túnel cifrado. El secreto compartido luego es utilizado para conectar el navegador web y el servicio en línea del banco mediante CloudFlare.

Uno de los nodos edge de la compañía, o servidor de sesiones, tiene que descifrar, inspeccionar y volver a cifrar el tráfico antes de que vuelva al sitio del banco, indicó CloudFlare.

Keyless SSL ha sido auditado por iSEC Partners y Matasano Security, de acuerdo a CloudFlare. La compañía ofrecerá Keyless SSL inicialmente a los clientes de su plan empresarial.
Jeremy Kirk, IDG News Service