Cómo instalar un certificado SSL gratis
"Let's-Encrypt" está ofreciendo certificados HTTPS gratis a todo el mundo.
"Let's-Encrypt" está abierto al público, permitiendo que cualquiera pueda obtener un certificado SSL/TLS libremente (Secure Socket Layer/Transport Layer Security) para sus servidores web y configurar sitios web HTTPS en unos pocos pasos simples.
"Let's-Encrypt" Es una iniciativa dirigida por el Grupo de Investigación de Seguridad de Internet (ISRG). Es un nuevo y libre "Open" Certificación Autoritativa (CA) reconocido por los principales navegadores, incluyendo Google Chrome, Mozilla Firefox y Microsoft Internet Explorer.
La autoridad de certificación SSL gratuito está ahora en "beta pública" tras un testeo riguroso de un grupo selecto de voluntarios.¿Por qué dejar de cifrar?
"Let's-Encrypt" se comprometió a ofrecer una certificación autoritativa (CA) que es:
- Gratis; sin cargo para los CERT HTTPS.
- Automático; la instalación, configuración, así como la renovación de los certificados no requieren ninguna acción de administrador.
- Open; la emisión automática, así como los procedimientos de renovación, será publicado como estándar abierto.
- Transparente; los registros de todos los certificados de emisión o revocación estarán disponibles al público.
- Seguro; el equipo está comprometido a ser un modelo de buenas prácticas en sus propias operaciones.
- Cooperativo; "Let's-Encrypt" es administrado por una organización de múltiples partes interesadas y existe para beneficio de la comunidad
¿Cómo instalar un certificado SSL "Let's-Encrypt"?
En primer lugar, digamos que quieres conseguir un certificado para "midominio.com". Para ejecutar la instalación, debes tener permisos de root a su servidor web "midominio.com". Para generar e instalar un certificado SSL "Let's-Encrypt", primero debes descargar y ejecutar la aplicación cliente "Let's-Encrypt".Para instalar el certificado SSL gratuito "Let's-Encrypt" vamos a seguir estos pasos:
Paso 1: Ingresa a tu servidor 'midominio.com' web usando SSH con acceso root.
Paso 2: Para instalar el sistema de control de versiones Git, escriba el siguiente comando:
#apt-get install git
Paso 3: A continuación, descarga e instala la última versión de la aplicación de cliente "Let's-Encrypt", escribe los siguientes comandos:
#git clone https://github.com/letsencrypt/letsencrypt #cd letsencrypt #./letsencrypt-auto
Paso 4: Una vez que se inicia la instalación, pulse "Enter" para aceptar el contrato.
Paso 5: A continuación, pulsa "Intro" para especificar el nombre del servidor manualmente en el cuadro de texto (por ejemplo, www.dominio.com ) y, a continuación, pulse "Enter".
Paso 6: A continuación, introduce tu dirección de correo electrónico, donde se puede recibir mensajes de "Let's-Encrypt" y recuperar claves perdidas, y luego presiona "Enter".
Paso 7: Revisa los "Términos de Servicio", y luego presione "Enter" para generar e instalar el certificado SSL.
Una vez finalizada la instalación, recibirás un mensaje de "Congratulation'.Cómo configurar Nginx / Apache para certificado SSL "Let's-Encrypt"
De forma predeterminada, Nginx o servidores web Apache no están configurados para el uso de los nuevos certificados. Por ejemplo, en el caso de Nginx: Para utilizar el certificado SSL instalado, se tiene que editar el archivo de configuración Nginx. Escribe el siguiente comando para abrir el archivo de configuración de Nginx:$ Sudo vim /etc/nginx/sites-available/www.midominio.com
http {
server {
...
listen 443 ssl;
server_name www.midominio.com;
ssl_certificate /etc/letsencrypt/live/www.midominio.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/www.midominio.com/privkey.pem;
…
}
}
sudo nginx -s reload
Felicitaciones por haber instalado correctamente el certificado SSL para su dominio "midominio.com".
Cómo renovar un certificado SSL gratuito "Let's-Encrypt": Es importante tener en cuenta que la versión beta de "Let's-Encrypt" emite certificados que expiran después de 90 días. Por lo tanto, para renovar tu certificado SSL, es necesario ejecutar el script letsencrypt-auto después de la expiración.
¡Ahora todos podrán tener Certificados HTTPS gratis!
Por lo tanto, ahora es el momento para que Internet tome un paso importante en términos de seguridad y privacidad. El equipo de "Let's-Encrypt" quiere que el HTTPS se convierta en un estandar por defecto para todo el mundo de una manera fácil de obtener y manejar.
"Hay una recompensa para cualquiera que pueda encontrar un agujero de seguridad en el servicio", el equipo de "Let's-Encrypt" escribió una entrada en el blog. "Tenemos mucho trabajo por hacer antes de que estemos cómodos, sobre todo en la experiencia del cliente."
"La automatización es una piedra angular de nuestra estrategia, y hay que asegurarse de que en el cliente funcione sin problemas y de forma fiable en una amplia gama de plataformas. Daremos seguimiento de los comentarios de los usuarios, y hacer mejoras tan pronto como sea posible."
Como una nota importante, cabe decir que "Let's-Encrypt" había firmado su primer certificado HTTPS en septiembre, y su software de cliente surgió a principios de noviembre. Desde entonces el equipo ha sido capaz de encontrar fallas en sus sistemas antes de hacerlo público.
La semana pasada tratamos un tema muy interesante sobre una ponencia que me llamó mucho la atención en el SECZONE titulada "Smartphones Como Vector De Ataque Emergente En Ingeniería Social" esta noche es el mismo Jeffrey (autor de la ponencia) quien nos acompaña para hablarnos al respecto y realizar una demo en vivo. Con lujo de detalles nos mostrará parte de su estudio en calidad de primicia ya que el lanzamiento de su aplicativo aún no se realiza.
La primera semana de Diciembre tuve la oportunidad de asistir a una edición más de Security Zone versión 2012 llevada a cabo en la ciudad de Cali - Colombia. Pues bien el evento me sirvió para conocer a mucha personas interesantes, así como también volver a conocer "en persona" a amigos que ya conocía vía Twitter.
Para nuestra grata sopresa no nos pudo ir mejor, tuvimos un gran invitado, él nos habló de cómo podemos asegurar nuestros activos de información en ambientes e infraestructura Microsoft.
Hace poco me invitaron a un Webinar donde tratamos el tema de:
Renombrar las cuentas con privilegios a algo menos obvio que“administrador” es considerado una pérdida de tiempo,“seguridad a través de la obscuridad”. Sin embargo, esta simple estrategia de seguridad funciona. Si el atacante aún no ha penetrado su red o host , hay pocas razones para creer que podrán discernir los nuevos nombres de sus cuentas con privilegios. Si no saben los nombres, no pueden montar una campaña de ‘adivinación’ de contraseñas exitosa contra ellos.
Otra recomendación es deshacerse de todas las cuentas masivas con privilegios: administrator , domain admin , enterprise admin , y todas las demás cuentas y grupos que tengan incorporados permisos privilegiados y amplios por defecto.
Los honeypots de las computadoras modernas nos han acompañado desde los días del 
Otra defensa de ‘seguridad por obscuridad’ es instalar las aplicaciones en los directorios nondefault .
Mi primera experiencia con un producto tarpit fue 
Los salvapantallas protegidos con contraseña son una técnica muy simple para minimizar el riesgo a la seguridad. Si el dispositivo se encuentra inactivo por mucho tiempo, es bueno tener un salvapantallas con contraseña. Criticado por parte de los usuarios que los consideran una molestia para su trabajo legítimo, ahora son un producto principal de todos los dispositivos de computación, desde laptops hasta teléfonos móviles.
...y, para poder medir un proceso se debe contar con algún tipo de indicadores.
En el campo de la seguridad de la información, las restricciones de acceso forman parte de póliticas asumidas por las organizaciones. Poniendo un ejemplo rápido: Una página web que ofrece servicios DELIVERY de comida en Lima, ¿necesitará publicar estos servicios para Irán o la India? esa es una desición de la organización. Pues bien la "GEOLOCALIZACIÓN" es una medida de seguridad a la hora de implementar servicios en Internet, y consiste en filtrar conexiones IP basadas en su procedencia geográfica.
He querido compartir con ustedes estas lecturas, con lo respecta a mi; me gustaron mucho. Creo que esa debe ser la manera elemental, digerible y sencilla que nos hace ver la terminología tan rígida con la que hoy en día se muestra a la seguridad de la información.
Ha llegado el momento para renovar nuestro arsenal de herramientas de seguridad - BackTrack 5 R3 ha sido puesto en libertad. R3 se centra en la correcciones de errores, así como la adición de más de 60 nuevas herramientas - varios de los cuales fueron puestos en libertad en el BlackHat y la Defcon 2012. Toda una categoría nueva de herramientas fue poblada - "La explotación física", que ahora incluye herramientas tales como el IDE de Arduino y bibliotecas, así como la recolección de Kautilya carga Teensy.
Con el siguiente video pretendo mostrar la manera de virtualizar Backtrack5, ojo que no es LiveCD, ya que lo quiero rescatar es la interacción que debe tener con otros sistemas virtualizados en nuestra propio host y así sacar el mejor provecho sin necesidad de tener que instalarlo nativamente.
