Nos vamos de compras

Como se acerca el periodo menos consumista del año (Navidad), es probable que mucha gente vaya a utilizar Internet para muchas de sus compras ya se deba a la comodidad, el mejor precio o el mayor catálogo que ofrece la Red. Pues bien, he pensado que podría resultar útil una entrada sobre cómo conocer, con cierto detalle, si la tienda en la que compramos es segura o no. Estoy hablando de la seguridad de las transferencias en Internet, es decir, el protocolo de seguridad SSL. Decir que como conejillo de indias he seleccionado a la tienda virtual de GAME.

SSL (Secure Sockets Layer) es un protocolo criptográfico que fue diseñado y pro­puesto por la compañía estadounidense Netscape. El objetivo básico del protocolo es proteger la información intercambiada entre los programas que utilizan los usuarios para acceder a los servicios de Internet (denominados clientes) y los programas que proporcionan esos servicios (denominados ser­vidores). Es decir, el SSL podría utilizarse para proteger las conexiones entre clientes y servidores de transferencias de ficheros (FTP), entre clientes y servidores de correo electrónico (SMTP), etcétera. Pero el caso más conocido y donde se utiliza más habitualmente el protocolo SSL es en las conexiones entre navegadores (clientes HTTP) y servidores de páginas web (servidores web). O lo que es lo mismo, comercio electrónico (en un altísimo porcentaje).

Y si bien el protocolo SSL no es el mejor, sí resulta el más extendido, y con gran diferencia, debido a su facilidad de implementación y decente nivel de seguridad. Digo decente porque aunque garantiza: 1) que el servidor web (GAME en nuestro caso) es quién dice ser; 2) que los datos (de la compra) no serán capturados por extraños durante el momento de la transferencia; 3) y que los datos no serán modificados durante el momento de la transferencia; no deja constancia fiable de cuándo se ha realizado una operación (es decir, una compra), cuál ha sido y quiénes han intervenido en ella. Por lo tanto, no es el mejor, pero es el menos malo.

Acabada la teoría, veamos cómo comprobar la correcta implementación del protocolo en el caso de GAME (la mayoría de lo que se dirá aquí resulta aplicable a cualquier otra tienda virtual).

Pues bien, desde el instante en el que seleccionamos un producto para colocarlo en nuestra cesta de la compra podemos comprobar dicha implementación. Y es que cuando eso ocurre se nos muestra a modo de recopilación el producto/s seleccionado/s, información relativa al producto en sí (precio, descuento, total, sistema, etc.) y, en la parte inferior-izquierda de esta página de recapitulación (mirar flecha roja), podemos ver un icono (THAWTE) relativo a la seguridad del sitio web. Si hacemos clic en dicho icono una nueva ventana aparecerá, pudiendo visualizar en ella una serie de datos básicos del certificado, incluida su validez (algo muy importante).

Veamos con más detalle la información que esta nueva ventana proporciona.

Según la nueva ventana (ver imagen inferior) THAWTE (una autoridad de certificación que, entre otros, emite certificados SSL como el que analizamos) ha comprobado y verificado los documentos de registro de la compañía y el nombre de dominio del sitio registrado. Además, se dice que dichos datos están incluidos en el certificado SSL que THAWTE ha expedido. Pues bien, los primeros datos ofrecidos por esta nueva ventana nos dicen que la empresa/organización solicitante es GAME MULTIMEDIA, con residencia en España y dominio web http://www.game.es/. Añade que el actual estatus del certificado es la validez y que dicho estatus se mantendrá durante casi el próximo año y medio (concretamente, desde el 01/03/2007 al 31/03/2009).

OK, si una vez dentro del proceso de compra uno hace doble clic en el candado que aparecerá en la barra inferior del navegador (la posición del candado puede variar en función del navegador usado), aparecerá una nueva ventana informando de que el emisor del certificado (THAWTE) ha sido identificado correctamente.

En la ficha General se nos dice que este certificado está destinado a asegurar la identidad de un equipo remoto, que está emitido para http://www.game.es/w.game.es/, por THAWTE Premium Server CA y que es válido del 01/03/2007 al 01/04/2009 (es decir, un día más que según lo dicho por la ventana emergente anterior). Por otro lado, en la etiqueta Detalles podemos ver más información y mucho más precisa. Por ejemplo, el número de serie, el algoritmo utilizado (SHA 1RSA), la clave pública (RSA 512 bits), el algoritmo de identificación (SHA1) o la huella digital.

Finalmente, y como es obvio, cuando se abre una conexión segura (porque llega el momento de dar datos de carácter personal), el protocolo HTTPS así como el correspondiente candado aparecen en pantalla.

Por si quedaran dudas en relación a si el certificado es o no SSL, la propia web de GAME (parte inferior de cualquier web, enlace llamado Información legal) dice, en la sección de Recomendaciones y precauciones, que la comunicación segura o la presencia en una zona segura ocurre bajo certificado SSL.

En conclusión, y como ya se ha comentado, THAWTE es la Autoridad de certificación que ha expedido el certificado SSL para GAME, certificado que se encuentra implementado correctamente y en plena vigencia.

A modo de resumen, cuando veáis el candado en vuestros navegadores, doble clic en él y así podréis ver si el certificado SSL de la tienda de turno está o no caducado, algo muy importante en aquellas tiendas que no os ofrecen excesiva confianza. Si el candado ni aparece, ¡corred insensatos!


La desconfianza es madre de la seguridad.

Aristófanes (Dramaturgo griego)