¿Bloqueará PayPal a los navegadores ‘inseguros’?
Sergio de los Santos, consultor de Seguridad y director de Formación de Hispasec, analiza la medida anunciada por el servicio de pago, Paypal.
Se ha escrito mucho sobre esta medida decidida por PayPal, sin duda, un peso pesado en Internet y cuyos movimientos se siguen con lupa. Como suele ocurrir en estos casos, la noticia ha sido en parte confundida y al parecer la mayoría de los medios no han sabido transmitir realmente la idea de PayPal. Como de costumbre, los medios generalistas han terminado aprovechando para señalar con el dedo a los de siempre, con el mensaje de siempre, y olvidando realmente cuál es el objetivo de la compañía.
PayPal es el sistema de pago líder en Internet. Permite ingresar o recibir dinero en cuentas particulares o ajenas con sólo conocer la dirección de correo de un usuario de PayPal. PayPal es la compañía, junto con eBay, que más ataques phishing sufre cada día. Las contraseñas robadas de usuarios se cuentan por decenas cada hora. Como medida para paliar este problema, la compañía ha anunciado que bloqueará a los ‘navegadores inseguros’ y aquí parece que comienza la confusión. Es importante destacar que la medida de PayPal está destinada a paliar el phishing, y sus ‘navegadores inseguros’ se mueven exclusivamente en este contexto del fraude online, y no en ningún otro donde tengan que ver los problemas de seguridad o las vulnerabilidades.
¿Qué es entonces un navegador inseguro para PayPal? La respuesta no tiene nada que ver con vulnerabilidades, problemas de seguridad o nada parecido, aunque muchos han querido llevar la noticia a este campo. Por un lado, PayPal considera inseguros a los navegadores antiguos que han dejado de tener soporte y que no incorporan tecnología antiphishing (desarrollada en los últimos años). Como simple ejemplo, menciona que todavía es visitada por usuarios que utilizan Internet Explorer 4, y que a estos no les permitirá el acceso. Navegar con Internet Explorer 4 o cualquier otro navegador que no recibe soporte ni actualizaciones de seguridad desde hace años es un completo suicido tecnológico para el sistema que lo utilice. Probablemente, que un usuario de IE 4 pique en un phishing de PayPal o no, es el menor de sus problemas.
PayPal utiliza una analogía para explicar lo que pretende: “Dejar que los usuarios de estos navegadores visiten la página de PayPal es como permitir a una factoría de coches que los fabrique sin cinturón de seguridad”. Al parecer PayPal avisará durante un tiempo a sus visitantes si detectan estos navegadores, y luego los bloqueará.
¿Qué otro parámetro utiliza PayPal para calificar de inseguro a navegador? Pues que no utilice la tecnología Extended Validation SSL. PayPal ha invertido en estos nuevos certificados SSL (que no son baratos) y obviamente quiere sacarles provecho. Extended Validation SSL es una buena idea. Explicado de forma sencilla, los certificados que cumplan el Extended Validation SSL autentican al servidor (como los certificados tradicionales), pero a efectos prácticos permiten que el navegador que visita la página que tiene estos certificados, muestre de forma mucho más clara que la página es efectivamente la que se quiere visitar. Sería como si el navegador hiciera por nosotros la operación de pulsar sobre el candado cuando nos conectamos por SSL a una página, y verificara la ruta de certificación, el domino válido… todo de forma automática y visual. Si el servidor es seguro, se muestra en la barra de direcciones un color verde. Un usuario puede así de un solo vistazo dar por seguro que el servidor al que se está conectando es el correcto, y que no se está usando un certificado válido, pero falso.
Por ahora, sólo Internet Explorer 7 soporta de serie la correcta interpretación de certificados EV SSL. Firefox 2 necesita un plugin y Opera ha dicho que lo implementará. Safari no se ha pronunciado. Quizás, con el tiempo, PayPal obligue a los usuarios a utilizar un navegador que soporte EV SSL, pero para entonces (dentro de años) probablemente sea algo que todos los programas implementen de serie.
La noticia por tanto, no es tan catastrófica, aunque sí marcará tendencias. Lo que todavía no se sabe realmente, es si esta medida ayudará a paliar el phishing que sufre PayPal. A tenor del éxito del que todavía goza el phishing tradicional, los usuarios han demostrado que no se fijan realmente en los dominios, ni en la autenticación SSL a la hora de introducir sus credenciales en cualquier página que se lo solicite.