¿Es seguro Chrome? Aunque los profesionales de TI pueden estar divididos al respecto, la mayoría de los profesionales de seguridad que conozco lo prefieren y recomiendan. Hay varias buenas razones para ello.
Yo llegué tarde a Chrome. Empecé a usar Firefox cuando se llamaba Phoenix o Firebird, y me quedé con él hasta 2014. Luego me pasé a Chrome para tener un navegador de 64 bits y otras funciones de seguridad modernas, y aunque echo de menos un par de cosas que tenía Firefox, no he vuelto a cambiarme. Mantengo Firefox como navegador de reserva, pero uso Chrome más que nada.
¿Qué hay del número de vulnerabilidades?
¿Hasta qué punto es seguro Chrome?
¿Cómo de seguro es Chrome? Cuando el cofundador de una empresa de seguridad me pide que lo utilice, eso al menos me dice algo.
La mayor crítica a Google Chrome es el número de vulnerabilidades que Google corrige en cada actualización. La respuesta sarcástica es que prefiero las vulnerabilidades conocidas a las desconocidas. Google se adhiere al concepto moderno de Devops de fallar rápido y arreglar rápido.
También he notado un aumento significativo en los últimos dos años en el número de vulnerabilidades que Microsoft corrige en sus actualizaciones mensuales. Creo que se trata de una tendencia del sector, y Google se ha adelantado más que otros proveedores.
Otra cosa que me impresiona de Chrome es que se actualiza automáticamente y de forma fiable. Oigo a profesionales de la seguridad afirmar todo el tiempo que sus ordenadores domésticos se actualizan sin problemas, así que ¿por qué no pueden hacerlo los de sus empresas? Yo escaneo mis ordenadores domésticos con herramientas de Qualys y Tenable con bastante regularidad, y mientras que algunos productos se auto-actualizan bastante mal, todavía estoy esperando a ver una actualización de Chrome fallar. Puede que tus productos de Adobe y Microsoft digan que están actualizados, pero es más probable que pasen por alto un archivo vulnerable que Chrome.
La combinación de encontrar vulnerabilidades rápidamente y corregirlas eficazmente de forma automática es letal para los atacantes. En 2017, la industria encontró y corrigió colectivamente casi 15.000 vulnerabilidades. Aunque en teoría un atacante puede desarrollar un código malicioso para una vulnerabilidad en una semana, en la práctica tarda varios meses en perfeccionarlo para que funcione de forma fiable. Así que de esas 15.000 vulnerabilidades, sólo unas 2.000 resisten el paso del tiempo. Al mantener corta la ventana de oportunidad de las vulnerabilidades de Chrome, Google hace que sea mucho más difícil crear contenido malicioso para páginas web que funcionen en el navegador Chrome que para otros navegadores, como Internet Explorer.
Funciones de seguridad olvidadas
Google no sólo hace las cosas grandes con Chrome. También hace las pequeñas cosas, como utilizar las opciones avanzadas de compilador disponibles para aplicar medidas de seguridad. En efecto, Chrome hace que las herramientas antiexploit como Microsoft EMET y Malwarebytes Anti-Exploit sean redundantes, al menos para Chrome, porque todo lo que hacen esas herramientas es hacer que Chrome haga cosas que haría por defecto de todos modos.
Usar Chrome con esas herramientas no perjudica a nada, pero si todos los proveedores de software hicieran lo mismo que Google, esas herramientas no serían necesarias.
Chrome comparte ciertos componentes de código abierto con otros navegadores, incluido Safari de Apple. No estoy totalmente convencido de que el software de código abierto sea intrínsecamente más seguro que el de código cerrado, pero en este caso, si Apple encuentra y corrige un error en un componente compartido, Google lo hereda. Desde luego, no hay nada malo en ello.
La función de navegación segura de Google ofrece páginas de advertencia en negrita si estás a punto de visitar un sitio que Google sabe que es malicioso. Esto sin duda fomenta un comportamiento online más seguro.
Uso como algo más que un navegador web
Chrome no es sólo mi navegador web principal. También lo utilizo como mi visor de PDF principal, exactamente por la misma razón. Google encuentra y corrige los fallos más rápido que Adobe, y el mecanismo de actualización automática de Google es mucho más sólido y fiable que el de Adobe.
Cualquier profesional de la seguridad competente te dirá que no existe la seguridad perfecta, sino un riesgo aceptable. Chrome presenta un riesgo mucho menor como visor de PDF que el visor nativo de Adobe. Durante un par de años, mis responsabilidades laborales incluían tratar con archivos PDF a diario. Incluso entonces, utilizaba Chrome, en lugar de Adobe Reader, para ver los PDF que me enviaban, rellenar los formularios y enviarlos a su destino.
Mejorar la concienciación sobre la seguridad
Una de las cosas que más me gustan de Chrome es cómo obligaba a los proveedores de contenidos web a cifrar las conexiones mediante un aviso en la barra de direcciones. Google utilizó su posición dominante en el mercado para fomentar el cifrado, lo que mejoró la seguridad para todos. Hoy en día, las conexiones cifradas son más habituales que las no cifradas, y Chrome ha tenido mucho que ver en ello.
Irónicamente, Microsoft proporciona una extensión de Chrome para mejorar su seguridad también. Microsoft afirma que Edge bloquea más contenido malicioso que Chrome por defecto, y lo promociona con su extensión Windows Defender Browser Protection para Chrome. Afirman que bloquea un 12% más de enlaces maliciosos que la propia Navegación Segura de Google. Es una mejora incremental, pero una mejora es una mejora. Si Microsoft quiere darme una segunda opinión, la aceptaré encantado.
Entre lo que Chrome hace por sí mismo y la protección adicional de la extensión de Chrome de Microsoft y Cleanbrowsing.org, nunca he visto una ventana emergente de un falso antivirus en ninguno de mis ordenadores. Mis hijos solían recibir una de vez en cuando, pero eso fue antes de conocer Cleanbrowsing.org y de que Microsoft lanzara su extensión.
En conclusión, ¿cómo de seguro es Chrome?
Una vez que entré en el sector privado en 2013, me di cuenta de que la mayoría de mis colegas de seguridad utilizaban Chrome en lugar de otros navegadores. Cuando pasé a empresas especializadas en seguridad, los usuarios de Chrome en esas empresas son aún más numerosos. El cofundador de la empresa para la que trabajo ahora, de hecho, nos pidió a todos que usáramos Chrome en una reunión de todos los equipos a principios de 2018.
Aunque un puñado de mis compañeros de trabajo prefiere otro navegador, normalmente Safari o Firefox, la mayoría usa Chrome. Cómo de seguro es Chrome? Ser el navegador preferido por los profesionales de la seguridad significa algo, al menos.
Siempre es una buena idea tener al menos dos navegadores web en tu dispositivo principal, en caso de que no puedas usar tu navegador de elección por cualquier motivo.
