Microsoft decidió recientemente eliminar los certificados de seguridad de dos empresas chinas debido a las deficientes normas de seguridad. Como resultado, Internet Explorer y Edge ya no aceptan certificados de seguridad de WoSign y StartCom.
Como recordatorio rápido, los navegadores utilizan certificados de seguridad para autenticar conexiones seguras a sitios web. La decisión de Microsoft se produce después de que los informes revelaran que las dos empresas utilizaron prácticas de seguridad inaceptables. Más concretamente, ambas empresas ofrecieron certificados gratuitos y recurrieron a prácticas deshonestas para aumentar su base de usuarios.
Aquí está la declaración oficial de Microsoft sobre el asunto:
Microsoft ha concluido que las autoridades de certificación chinas WoSign y StartCom no han logrado mantener los estándares requeridos por nuestro programa raíz de confianza. Las prácticas de seguridad inaceptables observadas incluyen certificados SHA-1 con fecha de caducidad, emisión errónea de certificados, revocación accidental de certificados, duplicación de números de serie de certificados e infracciones múltiples de los requisitos de referencia del foro CAB (BR, por sus siglas en inglés).
Microsoft valora la comunidad global de autoridades de certificación y sólo toma estas decisiones después de considerar cuidadosamente qué es lo mejor para la seguridad de nuestros usuarios.
Microsoft no es la única empresa que tomó esta decisión. Otros gigantes de la tecnología, incluyendo Google y Apple ya han revocado la confianza en los certificados de WoSign y StartCom. Lo más probable es que otras compañías lo sigan pronto.
Microsoft comienza a eliminar los certificados en septiembre
La empresa comenzará la depreciación natural de estos certificados el próximo mes. En otras palabras, todos los certificados existentes seguirán funcionando hasta que expiren por sí solos. Después de septiembre de 2017, Windows 10 no confiará en ningún certificado nuevo emitido por las dos empresas.
Si usted tiene un certificado WoSign y StartCom en producción, la mejor solución es simplemente reemplazarlo con otro certificado emitido por una Autoridad de Certificación confiable y confiable.