HANDSHAKE TLS Y ATAQUE MITM

"El candado del navegador solo promete una cosa: que nadie lee el cable mientras viaja. No promete que quien está al otro extremo del cable sea quien tú crees."

Elige un escenario:

🧑‍💻Tú (cliente)

🔓

🕵️Atacante (en medio)

🖥️Servidor

Emitido para (CN):

Emitido por:

Válido:

Elige un escenario y pulsa "Conectar".

⚠️ Tu conexión no es privada

Los atacantes podrían estar intentando robar tu información (contraseñas, mensajes o tarjetas de crédito). NET::ERR_CERT_AUTHORITY_INVALID

📖 CHULETA RÁPIDA

El candado solo dice "cifrado"

Un certificado de validación de dominio (DV) se emite en segundos, gratis, para cualquier dominio que controles — incluido uno que acabas de registrar para suplantar a un banco. El candado no evalúa si el sitio es de fiar, solo que el tráfico va cifrado.

Cadena de confianza

Tu sistema operativo y navegador traen preinstalada una lista de autoridades certificadoras (CA) "raíz" de confianza. Un certificado se valida comprobando que una cadena de firmas lo conecta con una de esas raíces — si el emisor no está en esa lista (autofirmado, por ejemplo), la validación falla.

MITM con certificado inválido → sí avisa

Si un atacante intercepta tu conexión y presenta su propio certificado, la validación falla (emisor no confiable) y el navegador muestra una advertencia grande. El ataque solo funciona si el usuario pulsa "continuar de todos modos".

Typosquatting → no avisa NUNCA

Si en vez de interceptar tu tráfico el atacante simplemente te lleva a mibanco-online-seguro.com (con su propio certificado, perfectamente válido, para ESE dominio), no hay nada que el navegador pueda avisar — técnicamente todo es correcto. La única defensa es fijarse en la URL exacta.

Un aliado inesperado: el gestor de contraseñas

Un gestor de contraseñas solo autorrellena en el dominio exacto donde guardó la credencial. Si en mibanco-online-seguro.com no te ofrece autorrellenar la contraseña de "mibanco.com", esa ausencia es una señal de alerta — aunque tú, a simple vista, no notes la diferencia en la URL.

Defensas adicionales

HSTS obliga al navegador a recordar que un dominio SIEMPRE debe servirse por HTTPS, dificultando ataques de downgrade. Certificate pinning hace que una app confíe solo en certificados concretos, no en cualquier CA válida — así ni un certificado legítimo pero no esperado cuela.