comparte el articulo 

Que son los certificados SSL y como se instalan

Actualizado el 04/02/2011 < > 0 Comentarios

Resumen: Para poder vender productos en la web con tarjeta de crédito, es absolutamente necesario contar con un certificado SSL.

Es posible que en algún momento de la evolución como trabajadores del diseño web, tengamos que comenzar a trabajar en la venta de productos en la web, es decir, en el desarrollo de tiendas virtuales. Pero el tema es bastante más complejo que la simple instalación de OsCommerce, Magento, Zen Cart o cualquier otro carrito de compras, ya que en el proceso de compras intervienen personas que tienen que confiar en el sistema de pago.

Cuando se produce una transacción, los usuarios de las páginas web necesitan aportar datos personales sensibles, como por ejemplo cuentas bancarias o tarjetas de crédito. Por supuesto que en la web existe una serie de personas que actúan como criminales y se dedican a robar esta información y utilizarla en beneficio propio.

Resulta evidente que si no se cuenta con algún sistema de seguridad reconocido, difícilmente los usuarios confíen en la forma en que se hace la transacción y hagan la compra aportando los datos necesarios para que se realice el pago.

Sin embargo vemos que se ha producido un importante incremento de las personas que realizan todo tipo de transacciones comerciales por internet. Y la razón para ello es que se ha desarrollado un sistema por el cual es extremadamente difícil que se puedan interceptar estas informaciones sensibles, comúnmente llamado por sus siglas SSL (Secure Sockets Layer). Se trata de comunicaciones entre servidores y navegadores que emplean un sistema de encriptado basado en algoritmos matemáticos y claves. Estas últimas solo son conocidas por el servidor y el usuario, lo que hace que la comunicación entre ellos sea imposible de descifrar.

Funcionamiento del sistema

El funcionamiento se basa en la creación de un canal de comunicaciones seguras entre el servidor y el navegador del usuario, que se basa en un cifrado de los datos aportados por el usuario y el descifrado de los mismos en el servidor. El protocolo se basa en dos tipos de clave: una clave pública, que es la que permite que los navegadores cifren los datos antes de su envío, y una clave privada, que se encuentra alojada en el servidor y es la que permite que los datos sean descifrados.

La clave de la seguridad de este sistema está en que para poder descifrar el código generado en el servidor es necesario contar con la clave privada, a la que es imposible acceder. Esto quiere decir que aún cuando el mensaje sea interceptado, el mismo no podrá ser leído por nadie.

Existen distintos niveles de seguridad de los certificados, que se miden en bits y que van desde 40 bits hasta 256 bits. Obviamente un cifrado de mayor cantidad de bits implica una mayor posibilidad de combinaciones, y con ello aumenta la seguridad. Está comprobado que cualquier persona que intente descifrar uno de estos mensajes en 128 bits utilizando la fuerza bruta, necesitaría hacer que su máquina funcione al menos durante un millón de años.

Hasta hace unos años, un certificado de 40 bits era suficiente, pero con el aumento de las capacidades de los ordenadores, fue necesario aumentar los niveles de seguridad, por lo que se considera hoy en día que se debe contar con certificados con un mínimo de 128 bits de cifrado. Sin embargo, aún hoy se siguen ofreciendo certificados con cifrados de 40 bits, ya que son mucho más económicos y para pequeños emprendimientos suele ser suficiente.

Compra e instalación de certificados SSL

Existen dos tipos de certificados SSL. Por un lado están los certificados autofirmados y por otro los certificados emitidos por autoridades reconocidas. Desde el punto de vista de la seguridad, pueden ser tan seguros unos como otros. Sin embargo la diferencia mayor radica en que cuando al navegador se le solicita una comunicación segura, el mismo no reconocerá el certificado autofirmado y emitirá al usuario una alarma con la posibilidad de que haga una excepción, e inclusive que reconozca esta excepción en forma definitiva, haciendo que cuando se inicie una nueva comunicación empleando este certificado, no se active la señal de alarma. A continuación veremos los mensajes típicos emitidos por Internet Explorer y Firefox:

Alarma de certificado

Es evidente que este tipo de mensajes pueden espantar a varios de los posibles compradores, lo que hace que la aplicación de este tipo de certificados SSL sea poco recomendable, aún cuando desde el punto de vista de la seguridad pueda ser igual que cualquier otro. Este tipo de mensajes aparecen cuando el certificado con el que se solicita la conexión segura no pertenece a una autoridad que el navegador reconozca.

Hay muchas compañías que emiten certificados reconocidos por cualquier navegador. La más conocida es VerySign, aunque también es la más costosa. En la web encontrarán que hay todo tipo de certificados, de diferentes precios y distintos niveles de seguridad. Las compañías incluyen en muchos casos, un seguro por si el sistema falla. El monto del seguro también es variable, inclusive dentro de la misma compañía, dando seguros más altos por aquellos planes más seguros.

Pero no basta con contar con un certificado. Es necesario:

  • Contar con un servidor que soporte esta tecnología. Por lo general, la mayoría de los servidores cuentan con este soporte, y la información se encuentra en los propios paneles de control. En caso de no ser así, es necesario que se haga la consulta técnica.
  • Se debe contar con servidor virtual (VPS) o dedicado, ya que es necesario contar con IP fija. En algunas empresas de alojamiento web se ofrecen IP fijas en servidores compartidos, lo que no es aconsejable, pero para poder contar con un certificado funcional es suficiente. De todas formas, hay servicios VPS a precios razonables.
  • Contar con una Solicitud de Firma de Certificado (CSR), que debe ser expedida por el servidor. Esto es gratuito y se hace en forma automática en muchos de los servicios de hosting desde el panel de control. Puede ofrecerse en forma de texto o mediante un archivo descargable (que también es un archivo de texto que puedes abrir en tu ordenador).

Una vez que cuentas con todo esto, puedes hacer la compra del certificado, que lleva varios días en los que se harán comunicaciones vía email y por teléfono, a fin de verificar que los datos aportados sean correctos.

Luego la compañía envía el certificado. La instalación del certificado varía según el software que tenga el servidor. Hay servidores que ofrecen la posibilidad de instalar el certificado desde el propio panel de control y se trata simplemente de copiar en un formulario el texto que aparece en el certificado , mientras que hay casos en los que es necesario solicitar que el servicio técnico lo haga.

Publicado el 04/02/2011, última actualización 04/02/2011.

Licencia: Contenido exclusivo de LaWebera.es. Prohibida su copia.

Autor: Andrés Fernández

URL: LaWebera.es :: Diseño Web

(Subir al texto)

Añadir Comentario

* Campos obligatorios

Meneame Bitacoras