Si hablamos de redes sociales populares, un de las más usadas actualmente es Instagram. El hecho de tener tantos usuarios activos, hace que los piratas informáticos tengan como objetivo robar contraseñas y comprometer la seguridad por medio de estrategias muy variadas. Ahora, Instagram está tomándose muy en serio la protección y está rotando sus certificados TLS diariamente, con una duración de apenas una semana.
Se trata de certificados digitales que permite a los servidores de las páginas web establecer conexiones seguras y cifradas cuando los usuarios acceden desde su navegador. Permite que los datos intercambiados estén perfectamente protegidos frente a posibles intrusos. Es un archivo digital que va a contener información del sitio web, la clave pública del servidor y la firma digital de la entidad de certificación. Es una manera de identificación y verificación.
Instagram rota continuamente los certificados TLS
Los certificados TLS pueden durar incluso más de un año. En muchos casos duran 30, 60 o 90 días. Por ello, lo que hace Instagram es bastante llamativo. Desde Hereket, dedicados a la investigación en ciberseguridad, descubrieron que no importa cuándo revises los certificados TLS, ya que siempre va a poner que le quedan unos ocho días.
Esto no solo significa que Instagram utiliza certificados TLS de corta duración, más si lo comparamos con esos 60, 90 días o incluso más de un año que mencionamos, sino que va rotando diariamente. Cada día rota, lo que hace que sea algo inusual, algo que ayuda a mejorar la seguridad.
Para verificar que esto es así, desde Hereket configuraron un script dedicado para descargar y analizar los certificados de Instagram cada cinco minutos. Cada uno de esos certificados se han almacenado y procesado, para poder hacer un seguimiento preciso de los cambios y de los periodos de validez con el paso del tiempo.
Durante un periodo de un mes, el sistema de monitorización recopiló datos de 20 certificados por dominio. Los hallazgos demostraron que hay rotación diaria. Incluso vieron que, de forma puntual, cambian sus certificados TLS dos veces al día. Cada certificado nuevo tiene una validez de poco más de ocho días y se reemplaza cuando quedan poco más de siete días para su vencimiento.
Por qué mejora la seguridad
Pero, ¿por qué es esto realmente interesante de cara a la seguridad? Esto permite minimizar el riesgo de claves comprometidas. Reduce el riesgo de ataques Man in the Middle, que consiste en interceptar los datos. Al limitar el tiempo de uso de esos certificados, reduce el riesgo de que puedan quedar comprometidos.
Si un atacante logra robar ese certificado TLS, lo podría utilizar durante un periodo de tiempo más corto. Cuanto más margen tenga para usarlo, más facilidad tendrá para suplantar la identidad de la víctima. Por tanto, limita enormemente el daño potencial para la seguridad.
Hay que tener en cuenta que la tendencia es de reducir el tiempo de los certificados TLS. Hace unos años, hasta 2020, el límite era de 825 días. Posteriormente, pasó a ser de 397. Sin embargo, hace unos meses, CA/B Forum, grupo de entidades certificadoras, anunció que el límite máximo de la validez de los certificados TLS a partir del 15 de marzo de 2029 será de 47 días.
Por tanto, hemos pasado de certificados TLS que tenían un límite máximo de más de dos años a, en los próximos años, poco más de mes y medio. No obstante, Instagram se ha adelantado a todo y está rotando esos certificados diariamente, por lo que la seguridad mejora.