Des de fa un temps, en obrir l’OWA des del navegador Chrome, potser us ha aparegut un avís d’identitat no verificada.

Un certificat digital és un document digital mitjançant el qual un tercer confiable (una autoritat de certificació) garanteix la vinculació entre la identitat d’un subjecte o entitat i la seva clau pública. En el cas de servidors web, els certificats s’utilitzen per encriptar la comunicació entre el servidor i el client web i garantir la identitat del lloc.

A la UB, l’autoritat emissora és Terena, que des d’octubre de 2014 ha canviat la seva cadena de certificats per fer-la més segura. Els certificats anteriors a aquesta data, que són els que tenim actualment, es consideren insegurs en navegadors més restrictius com Chrome (altres navegadors també actuaran de la mateixa manera en un futur).

A l’Àrea de Tecnologies  ja hem iniciat el procés de sol·licitud dels nous certificats que s’aniran implementat de manera progressiva i procurant que l’impacte en el servei sigui el mínim per l’usuari. En el cas concret del correu cal instal·lar el nou certificat  a cadascuna de les màquines que formen part de la infraestructura del servei de correu electrònic.

Informar-vos que, tot i l’avís, podeu accedir a l’OWA o a altres serveis amb seguretat, es tracta d’un avís informatiu, en cap cas restrictiu.

Per saber-ne més:

• http://www.rediris.es/scs/capath.html
• https://support.servertastic.com/deprecation-of-sha1-and-moving-to-sha2/
• https://www.incibe.es/blogs/post/Seguridad/BlogSeguridad/Articulo_y_comentarios/Reemplazar_SHA1

Recentment ha sigut notícia la filtració als mitjans d’un document confidencial del Ministerio de Economia y Hacienda sense depuració prèvia de les metadades. Però… què són aquestes metadades? I per què cal depurar-les?

Les metadades no són més que informació addicional no directament visible continguda als documents ofimàtics i a les imatges. Aquesta informació pot ser de molt diversa índole: nom de l’usuari que ha fet el document, la seva adreça de correu, programa i versió emprats, a quines impressores s’ha enviat el document, per quins usuaris ha passat, configuració dels seus ordinadors, etc. I, quan es tracta d’una foto, podem trobar les coordenades geogràfiques d’on s’ha fet i quan.

És comprensible, doncs, que els hackers estiguin molt interessats en capturar aquestes metadades. Perquè per exemple, analitzant un nombre suficient de documents ofimàtics d’una organització no gaire curosa amb les metadades, és possible construir un mapa de les instal.lacions informàtiques (un “fingerprint”) i planificar un atac d’intrusió. O encara pitjor: amb les metadades de les fotos d’una persona (que, com fa tothom, les ha penjat a Internet), es pot arribar a comprometre la seva privacitat si es demostra que “tal dia, a tal hora”, no hi era a on havia de ser.

Donat el caràcter confidencial d’aquestes metadades no és d’estranyar que l’Esquema Nacional de Seguridad recomani prendre mesures per no fer-les públiques (o “comprometre-les”, en argot informàtic). És a dir, hem de netejar de metadades potencialment perilloses els documents ofimàtics i imatges abans de publicar-los a Internet o desar-los en llocs vulnerables.

Per tot Internet es poden trobar consells sobre com eliminar les metadades; pròximament us detallarem més els diferents procediments. Però primer de tot anem pam a pam, cal esbrinar si hi són, i quines són. Potser no són tan compromeses com ens havíem imaginat. La manera més fàcil i immediata és utilitzar el servei en línia Metashield Analyzer de la companyia Eleven Paths, que trobareu al final de la seva pàgina web.

Només cal pujar el nostre document ofimàtic o imatge amb el botó “Select file“, pitjar el botó “Analyze“, i ens ensenyarà les metadades que conté. Aquesta URL és de confiança; no patiu per la confidencialitat.

Per saber-ne més.