Firefox fuerza las conexiones seguras con dominios seleccionados

Mozilla ha optado por precargar una lista de dominios en Firefox de forma que el usuario sólo podrá conectarse a ellos de forma segura, ayudándole a proteger su privacidad y seguridad. Para forzar las conexiones seguras entre el navegador y el servidor Mozilla utiliza HSTS (HTTP Strict Transport Security), un mecanismo utilizado por los servidores para indicar al navegador que debe utilizar una conexión segura. Así lo explica David Keeler, de Mozilla, en un post.

Cuando un navegador se conecta con un servidor HSTS por primera vez, no sabe si debería utilizar una conexión segura porque nunca ha recibido la orden de conexión segura, y por lo tanto un ataque contra la red impediría que el navegador conectara de forma segura.

Buscando evitar ese problema, Mozilla ha precargado en su navegador una lista de dominios a los que Firefox sólo debería acceder de manera segura por defecto.

Así, cuando un usuario se conecte con uno de estos host por primera vez, “el navegador sabrá que debe utilizar una conexión segura”, dice Keeler, añadiendo que si un ataque impidiera que se estableciera una conexión segura con el servidor, entonces el navegador no intentaría conectarse a través de un protocolo inseguro, lo que mejora la seguridad del usuario.

La lista de Firefox es similar a la de Chrome, que además de forzar conexiones seguras a todos los subdominios de google.com, también fuerza conexiones HTTPS a aquellos sites que lo solicitan, como paypal.com, cloudsecurityalliance.org  o twitter.com.

“HSTS en combinación con una lista precargada de sitios pueden ser una gran herramienta para aumentar la seguridad de los usuarios”, asegura Keeler. La característica sólo está presente en Firefox Beta.

Mozilla ha estado trabajando duro en la seguridad de Firefox. Además de la conexión segura por defecto, la compañía decidió que la modalidad Click to Play se impusiera por defecto a partir de Firefox 14 para proteger a los usuarios de los complementos desactualizados o la descarga de complementos falsos. En Firefox 17 Mozilla dio un paso más y determinó que los plugins antiguos serán bloqueados en el navegador hasta que el usuario “haga click” en un mensaje donde se le explica el problema y se le invita a actualizarlo.