Por qué “apagón de internet” es el término incorrecto para explicar lo que pasa este jueves

Primero, la buena noticia: este jueves 30 de septiembre no sucederá un “apagón de internet”, una frase que evoca a los cortes eléctricos y que hace imaginar -erróneamente- que cierta parte de ese territorio digital llamado internet estarán fuera de servicio.

Ahora, la mala: lo que sí sucederá es que a partir de hoy un grupo de dispositivos, como celulares o computadoras relativamente antiguas (la mayoría, con diez años de vida o más) se quedará sin acceso a algunas páginas web. Para ellos sí se apagará (parcialmente) la red de redes. Pero seguirán funcionando: simplemente algunos sitios les vedarán la entrada. Y para la enorme, enorme mayoría de los usuarios no sucederá nada.

¿Qué es lo que pasa entonces? Como explicamos hace unos días, lo que sucede hoy es que se vence un certificado raíz, una suerte de validación digital que permite entablar una conexión segura entre un dispositivo cliente (como una computadora o un celular) y un servidor (un sitio, un servicio digital). Como no se puede entablar es vínculo a prueba de miradas ajenas, muchos servicios -pero no todos- se negarán a funcionar en ese dispositivo antiguo. Ese celular viejito o esa computadora anticuada ya no tendrán permitido acceder a ese servicio en particular que esté usando ese certificado que se vence (pero hay muchos certificados, provistos por múltiples entidades certificantes; el que se vence hoy es uno de tantos).

E incluso en ese caso, si el celular antiguo usa una versión moderna de Firefox, que tiene su propia lista de certificados, el impacto será nulo.

Cada vez que un usuario se conecta a un sitio o servicio seguro (vía HTTPS) verifica la seguridad de la conexión (y que el sitio sea el que dice ser) con un aval digital publicado por una organización especial; es un certificado que está integrado al sistema operativo. Los certificados tienen una validez, y se suelen actualizar con frecuencia.

Hoy expira el certificado raíz que Let’s Encrypt utiliza actualmente, el IdentTrust DST Root CA X3, necesario para comprobar la seguridad de conexión a la web. Una vez que ese certificado expire, no será renovado, y un grupo de dispositivos no tomará a sus sucesores como válidos. En circunstancias normales esto no sería problema: los sistemas operativos y software cliente se actualizan, suman nuevos certificados y listo.

Pero si el dispositivo es suficientemente antiguo, es decir, si hace tiempo que no recibe una actualización, no tendrá los certificados nuevos (que no se pueden agregar con un clic; deben estar validados por el desarrollador de ese sistema operativo o software cliente justamente para evitar certificados falsos); y sin los certificados nuevos no se vinculará con esos servicios digitales; con otros, en cambio, seguirá funcionando normalmente.

Scott Helme, un investigador especializado en seguridad informática, detalló en su página web algunos de los dispositivos que serán afectados por el vencimiento del certificado; son aquellos que cuentan con los siguientes sistemas operativos o componentes de navegación en la red:

• Windows anteriores a XP SP3 (es decir, Windows 8 y Windows 10 no tienen problemas)
• MacOS anteriores a 10.12.1
• Ubuntu anterior a 16.04
• iOS anteriores a la versión 10 del sistema operativo (con el iPhone 5 como modelo más antiguo que puede actualizarse hasta el iOS 10).
• Android anteriores a 7.1.1 (aunque los ejemplares inferiores a 2.3.6 continuarán en funcionamiento con el certificado ISRG Root X1 con señal cruzada).
• Mozilla Firefox anterior a la versión 50.
• Java por debajo de versión 8.
• Java anterior a 7.

También se verán afectadas, aunque no está claro exactamente cómo, algunas plataformas como las siguientes:

• Cyanogen (una variante de Android) menor a v10
• Jolla Sailfish OS anterior a v1.1.2.16
• Kindle anterior a v3.4.1
• BlackBerry OS anterior a 10.3.3
• PlayStation 4 con un firmware anterior al 5.00

La manera de evitar problemas es, en lo posible, actualizar el sistema operativo a una versión más moderna, que incluirá nuevos certificados raíz y evitará problemas.

Conforme a los criterios de

Conocé más

Propuesta sin precedentes. La Justicia de EE.UU. quiere que Google se deshaga del navegador Chrome

Precios y planes. Cuánto hay que pagar por mes para usar Starlink, el servicio de Internet satelital de Elon Musk

Conectividad portátil. Dónde está disponible Starlink Mini y cuál es la diferencia con el servicio estándar