Digi no solo bloquea Cloudflare, ahora empieza a interceptar las comunicaciones hacia el CDN

Hemos visto durante varias semanas cómo algunos operadores bloquean las conexiones a muchas páginas web y servicios en días de partidos. Muchos sitios web y servicios que dependen de Cloudflare, dejan de funcionar. Incluso durante todo el fin de semana. Sin embargo, parece que Digi ha ido un poco más allá y, además de bloquear, ha empezado a interceptar las comunicaciones que van hacia el CDN

[#8 anv]

Es, simplemente, una consecuencia de este certificado SSL/TLS que Digi ha puesto en medio de la conexión.

Humm... esto está mal explicado. Lo que han hecho es interceptar el tráfico y hacerlo pasar por un servidor propio. O sea, se hacen pasar por el servidor al que queremos conectarnos pero obviamente ellos no tienen el certificado de ese servidor. Han tenido que inventarse uno y los navegadores lo reconocen como falso.

[#12 eldet]

#8 porque es falso, estan haciendo un mitm

[#29 chochis]

#12 man in the middle

[#36 xavicx]

#8 un pelín ilegal eso de suplantar identidad, no?

[#39 MorrosDeNutria]

#36 Es lo primero que se me ha ocurrido la verdad

[#81 alfon_sico]

#39 tengo Digi y me gustaría saber si esto lo hacen desde el principio o es algo que viene a raíz del tema del fútbol y los bloqueos. ¿Estoy conectándome de forma insegura desde hace 2 años?

[#82 MorrosDeNutria]

#81 Pues es una buena pregunta.
Por curiosidad, quién es el firmante de los certificados SSL que recibe tu navegador? Coincide con los del artículo?

[#83 alfon_sico]

#82 voy pez con el tema SSL. ¿Donde lo encuentro? Uso safari

[#84 MorrosDeNutria]

#83 No es mi foro favorito, pero no ha cambiado mucho:

A la izquierda del dominio (en la barra superior) hay un candado, si apretas sobre el podrás mostrar el certificado.
www.applesfera.com/seguridad/como-ver-certificados-digitales-safari-pa

Por ejemplo, para meneame veo este certificado:

meneame.net
Issued by: WE1
Expires: Friday, 30 May 2025 at 14:18:53 Central European Summer Time

Tengo el ordenador en inglés así que hay cosas que seguramente te las ponga en castellano.

El emisor es WE1 (Google), que te pone a tí ?

[#90 alfon_sico]

#84 ahora no sale el candado y hay que verlo por otra vía (cosas del 15.4-18.4) pero también tengo el WE1

[#91 alfon_sico]

#90 Donde explican los candados de Safari es aquí, por curiosidad
support.apple.com/es-es/guide/iphone/iph1b914c6d4/ios

[#92 MorrosDeNutria]

#90 Tiene buena pinta (hasta donde yo sé)... quizás puedes hacer pruebas cuando haya partidos para ver si los certificados cambian?
Otra forma es ver los certificados que recibes para páginas de Cloudflare, no conozco ninguna de memoria pero son muchísimas.

Si quieres hacer pruebas de algún certificado manda PM o mensaje por aquí, vivo en el extranjero y hasta donde yo se los teleoperadores de aquí no están bloqueando nada (no veo el futbol).

[#40 Cidwel]

#37 A mí con VPN me funcionan las webs que no me van cuando hay partido, pero creo que no deberiamos apostar por esta solución. No es seguro usar una VPN porque pasas por un tunel intermedio. La solución es napalm, guillotinas, y toda esta clase de soluciones democráticas

[#45 MorrosDeNutria]

#40 Igual nos hacen descuento a grupo:

media.mas.to/media_attachments/files/112/167/144/291/849/959/original/

[#71 rbrn]

#40 ¿Qué webs no te van cuando hay partido? Yo no he notado nada todavía.

[#73 Cidwel]

#71 este mismo finde: la web libretro, muchos repos de codigo. No podía ni actualizar algunos paquetes. Pero vamos, Cloudflare gestiona millones de webs hoy en día, es faciil que te afecte si navegas todavía en internet y no solo en redes sociales.

cosas de frikis

[#74 rbrn]

#73 Lo digo porque en el curro usamos intensivamente cloudflare y no he notado nada, y no sé a qué se debe.

[#76 Cidwel]

#74 tengo un compañero que justo no pudo trabajar un día (los primeros dias del bloqueo), despues ya los centralizaron en solo los dias de futbol, y luego solo las horas de futbol

[#79 rbrn]

#76 Estaré al tanto para poner una queja formal.

La neutralidad de internet está totalmente jodida desde hace mucho, pero esto es ya terrible.

[#1 Cidwel]

Alguien sabe si pepephone ha caido tambien?
Aquí no hay empresas locales, así que se acaban las opciones.

Entiendo que igualmente todas cederán. Esto solo lo arregla el napalm. Lástima que estas cosas solo le importena 4 frikis en menéame. Habrá que ver si algún tribunal en europa está de acuerdo con esto

[#2 hal9008]

#1 no le debería importar a 4 frikis. Esto debería ser un escándalo e inundar informativos. Lo de no dejar entrar en cloudflare es no tener ni puta idea de cómo funciona internet, pero esto… esto es un delito con mayúsculas. Mi operadora aún no ha hecho nada con estos certificados, pero como lo haga me doy de baja de inmediato. Sin estos certificados NADA te garantiza que la comuniación es segura ni de que alguien te esté intentando hackear. No… no me vengáis con vpn’s, que eso es darle tu navegación a otro. Para cuándo una denuncia conjunta?

[#3 Cidwel]

#2 Es un escándalo, que solo le importa a 4 frikis. A mí me pareció una abominación cuando dejamos que esto se aprobara. Aquí los únicos que pueden hacer algo son las empresas afectadas, emitiendo una denuncia a europa directamente, y pidiendo apoyo popular si sirviera de algo. No vas a ver una manifestación por las calles ni nada de eso, somos muy mongoles. Aquí nos mola mas el olé ole, el furgol y pedro sanchez dimision

[#27 fliper]

#2 Creo que es mucho más probable que alguien haya tocado algo que no debía en un equipo que otra cosa. Un MitM solo funciona si en el equipo de la victima se instale el certificado, que además sería un tipo especial para lo que serían necesarios(supongo) privilegios de admin en Windows , o directamente configurarlos según que navegador y que te dejarían incomunicado en caso de no hacerlo. Demasiado burdo.

[#31 Pilfer]

#27 el propio nombre indica lo contrario, Man in the midle, no Man in the begining.

Un ataque MitM es precisamente suplantar un nodo/puesto intermedio para poder leer lo que pasa por él.

En la propia noticia te dice que se asemejaria a un MitM no que lo sea.

[#33 fliper]

#31 Disculpa pero no te sigo. ¿Qué es Man in the begining?
Efectivamente en la noticia dice que se asemejaría pero no explica por qué no lo es, como me ha chocado, cuando a lo largo de todo el artículo está insinuando que se trata de un ataque.

[#43 Pilfer]

#33 que parece un ataque.

Man in the begining es invent para ejemplificar lo que dices.

Lo que ha hecho digi, es meter un modo intermedio donde leen todo lo que pasa por él. Pero para que la cadena de certificados siga en marcha, han tenido que meter un certificado autofirmado , lo que ocurre es que los navegadores no lo reconocen y por eso sale el aviso de que el certificado no es válido.

Lo de Man in he begining, hombre en el principio, era analogía burda de lo que tú decías, que sería un ataque en tu máquina, en el principio.

[#54 Pilfer]

#33 bueno, pensándolo bien, ya no tengo claro si está para leer todo lo pasa por él, como digo en #43 o simplemente es que la web en la que indican el bloqueo tiene certificado erróneo.

Y seguramente aplicando la navaja de hanlon, "nunca atribuyas a la maldad lo que pueda ser explicado con la estupidez", creo que me inclinó más por esta explicación.

[#78 Hemin]

#2 vayamos por partes, como dijo Jack el destripador. Sin el certificado no hay comunicaciones seguras, y si los certificados son "falsos", te de un mensaje de comunicación no segura, que básicamente es la función del certificado, certificar que uno es el que dice ser, y en caso de que no lo sea te avisa.
Por otro lado, que un operador te intente hacer un "Man in the middle", delito seguro que es. Cuando un cliente nos pide activar la inspección ssl, por un lado hay que informar a los usuarios, y por el otro, no se puede aplicar a páginas sanitarias ni bancarias.

[#14 BM75]

#1 Pepephone formó a pasar parte del grupo MásMóvil, que a su vez ahora es MásOrange.
Así que no confiaría mucho...

[#37 MorrosDeNutria]

#1 Sería una VPN una opción?

[#44 Supercinexin]

#1 Bueno, igual ahora le empieza a importar a más y más gente, cuando vean que internet no funciona.

Los que hablábamos de la Neutralidad de la Red hace 20 años ya entendíamos los peligros a los que nos enfrentábamos los ciudadanos, con todos los putos lobbies de mierda y los millonarios intentando manipularlo todo. Entonces la gente se reía y nos llamaba "frikis de los ordenadores" y decían que "no se le pueden poner puertas al campo" acostumbrados a bajarse de todo por el eMule.

Ahora es cuando el resto de la ciudadanía aprende, a las malas, a qué nos referíamos los "frikis de los ordenadores" _{(que además, "friki" su puta madre en bolas)}.

[#55 eqas]

#44 date por votado positivo 10 veces si pudiera

[#61 Cidwel]

#44 soy mucho mas pesimista que tu supongo. Yo solo escucho los lloros en menéame por lo general. Los pocos que veo por whatsapp se lo toman a risa

[#4 MAJASTRABU]

Lo de salir y hacer una manifa veo que no se contempla, y eso que es un serio problema que se ha ido agravando primero por los "bloqueos ajenos a XXX" y ahora directamente el correcto funcionamiento de webs legales por culpa de la mafia del fútbol.

O lo llevais a Europa o vais a estar jodidos, lo próximo que piden igual es cortar directamente el acceso a Internet desde clientes que accedan a determinadas IPs, total, la (in)justicia en españa no parece estar de vuestro lado.

[#41 fliper]

#4 Yo probaría primero con el juzgado, teniendo en cuenta que estaríamos hablando que Digi puede ver en claro todos los datos que envías por internet, como contraseñas, llamadas de voz, etc.
Igual tienen algo que decir al respecto.

[#7 MacMagic]

Menos mal que gobierna el gobierno más progresista de la historia mundial... oh wait!

[#18 LunaTiko]

#7 Son las grandes empresas a las que les importa una mierda lo legal mientras saquen más beneficio (aquellas y su amigo Florentino, a quienes lamen el culo precisamente PP y VOX). Y algún que otro juez, que en este país casi hasta bloquean el whatsapp el año pasado. No olvidemos esa gran idea. Aquí el gobierno con la justicia comprada por las élites poco puede hacer. Te diría que miraras al juez Peinado, los bloqueos a la renovación del poder judicial, en fin....

Que se nos vendió que con la…   

[#25 troll_hdlgp]

#18 "Son las grandes empresas a las que les importa una mierda lo legal"

Eso es lo peor de este asunto, que han conseguido que su mierda sea 100% legal y con respaldo judicial.

[#21 ccguy]

#7 qué coño tiene que ver.

[#22 UNX]

#7 ¿Y quién gobierna al gobierno más progresista de la historia?

[#34 fingulod]

#7 ¿qué tiene que ver el gobierno con una decisión judicial?

[#50 j0seant]

#34 porque debería ser arbitro en abusos tan gigantescos como este caso y velar porque no pasen estas cosas tan graves, perjudicando a muchísimas empresas y usuarios solo por intentar proteger un "kiosko" privado. Es una terrible abominación que debería acabar con el juez que ha dictado esto en prisión, así como los denunciantes Telefónica y Tebas.

[#52 fingulod]

#50 Si pudiera pasarse por el arco del triunfo lo que dice un juez, lo hubiera hecho antes con el caso de Begoña Gómez o con cómo se han pasado por el arco del triunfo la Ley de Amnistía.

Y sí, debería acabar con todos en prisión.

[#49 j0seant]

#7 es que el PP roza tanto la extrema derecha, que es fácil que la gente se crea que el PSOE es de izquierdas

[#26 capitan__nemo]

¿Pero todo esto no funciona aunque lo bloqueen con las vpn?
Y cloudfare tiene una vpn gratuita que permite saltarse los bloqueos 1.1.1.1 WARP
one.one.one.one/es-ES/

[#48 eqas]

Yo estoy en O2, y pedí migrar la fibra (sólo) a Digi, porque es tan barata....
Creo que debo cancelar la migración.

[#53 eqas]

#51 pues eso mismo digo en #48
Estoy en su chat canceládola

[#56 j0seant]

#48 hombre, si me das a elegir entre Movistar y O2 (parte de Telefónica que son los que han creado todo este problema al poner la denuncia junto con Tebas y lógicamente el zumbado del juez que les ha dado la razón sin mirar todo el perjuicio tan gigantesco que está causando al resto), me quedo con Digi o cualquier otro que por lo menos solo intentan acatar la sentencia, que se equivoquen haciendo guarradas y que tendrán que recular es otro tema. Pero aquí los HDLGP son Telefónica y Tebas, el resto solo acata la sentencia como puede.

[#57 eqas]

#56 lo del certificado falso es más imperdonable (al menos para mi) que el que bloqueen IPs justas por pecadoras. Ya migraré a otro o a Digi más adelante cuando esto se aclare.

[#59 j0seant]

#57 yo creo que simplemente han intentando buscar una manera de ser más selectivos con el bloqueo y les ha salido mal, a falta de más datos prefiero no pensar mal por ahora ya que ni creo que a ellos les interese y les debe estar tocando bastante las narices la sentencia, menos a Telefónica que son los que la han pedido y van haciéndose los tontos como si solo fuera cosa del juez para ver si no se nota mucho..

[#58 Arke]

#48 Me uno al club de despistados (por usar una palabra suave)... junto con #51 y seguro que alguno más.
Esto es empezar la semana con mal pie.

[#11 Cehona]

Lo mejor es ver gente que se dio de baja en Movistar por el tema y se fueron a Digi.

[#16 BM75]

#11 Aquí durante mucho tiempo se alabó a Digi como si fuera la panacea. Y, al final, casi todas las grandes empresas son lo mismo...

[#24 Tailgunner]

#16 como pasó con Portugal, que era el Edén en la Tierra, hasta que allí ganó la derecha y ni si quiera llegó a portada en menéame... aquí en menéame sí que hay una desconexión y bloqueo total respecto con la vida real

[#32 lonnegan]

#24 Y esto, amiguitos, es mear fuera del tiesto

[#42 Supercinexin]

#24 Todavía recuerdo cuando hace unos años Portugal implantó nosequé ley antidroga que, mayormente, decía exactamente lo mismo que su ley homóloga en España desde los '80 lo menos.

Aquí en el Menéame se hablaba de "la legalización de las drogas en Portugal", "camino a seguir", "grande Portugal", "cuánto tenemos que aprender de nuestros hermanos portugueses", "eso sí que es un Gobierno de Izquierdas", blablabla.

Y la puta ley que acababan de…   

[#9 Peka]

Pues un amigo a visto el partido del Athletic ayer a las 21:00 perfectamente.

[#23 chocoleches]

#9 Otro amigo estuvo viendo ayer el Manchester City - Manchester United. No se lo que está bloqueando Digi, pero no sirve de mucho.

[#65 Peka]

#23 No pueden poner puertas al campo, es ridiculo.

Lo operadores tienen que bajar los precios, si son asequibles más gente lo usara.

[#5 wata]

¿Y no hay nadie con suficiente conocimiento que se dedique a denunciar estas prácticas?

[#6 TripleXXX]

#5 Para que luego lleguen a un juzgado donde creen que Internet funciona con latas de colacao conectadas con guitas como los teléfonos que hacíamos de pequeños en mi época

[#10 ronko]

#5 David Bravo está retirado ¿no?

[#13 Wintermutius]

#10 Creo que es un señor que cobra de sus clientes por levantar un dedo. Los tiempos de Don Quijote ya terminaron.

[#68 Astarion]

#13 me imagino que es porque se dedica a ello.

[#67 sillycon]

DIGI, tu antes molabas. Tu fibra propia daba una velocidad y estabilidad espectaculares al mejor precio, quitabas el CGNAT y dabas IP única (que no fija) por un eurillo adicional, y tu servicio técnico entendía las peticiones más frikis e incluso te llamaba para hacer seguimiento (se me cayeron las lágrimas). Además tenías la feature de que tus IPs a menudo se geolocalizaban donde Cristo perdió la boina, lo que daba un plus de anonimidad. ¿Qué ha sido de tí?

[#72 eqas]

#67 muerte por éxito se llama
o sucumbir al lado oscuro...
o venderse al mejor postor...

[#17 Tribuno]

¿Alguien puede explicarme cómo puede el susodicho certificado instalarse automágicamente sin que el usuario se entere y que el navegador lo use por defecto?

[#30 DraWatson]

#17 Cuando te conectas a rae.es lo que hacen es que te conectes a una web suya, con un certificado autofirmado.

Podrían ir un paso más allá, e instalar un certificado en tu PC (por ejemplo, con la instalación de algún driver, o kit de regalo). Si hiciesen eso, el navegador no se quejaría y no te darías cuenta que realmente no estás conectando a rae.es

Yo hice pruebas con certificate-pin para evitar eso, pero no conseguí nada 100% eficaz ante ataques de este tipo.

[#35 Tribuno]

#30 A lo primero que has comentado es lo que viene siendo un Man in the Middle de siempre.

[#47 DraWatson]

#35 Lo es. Lo único que nos salva es que no no tienen acceso a una Autoridad Certificadora que pueda hacer certificados para rae.es (por seguir el ejemplo)

[#75 NuTTyX]

#47 Si una CA "de verdad" firmase a Digi algo a nombre de RAE (o de "cafetería Pepe")... bueno, digamos que dejaría de ser una CA "de verdad" en cuestión de meses... No sé si recordáis a VeriSign, que era una de las "grandes" hace años... hasta que Google les pilló emitiendo con la CA de producción certificados de pruebas internas y... bueno, les sacaron de los repositorios de confianza de Chrome y otros tantos navegadores no-chromium en cuestión de…   

[#85 DraWatson]

#75 sí, es lo que nos salva. Hay más ejemplos como el de Camerfirma... o la CA que estuvo en todos los repositorios durante años y nadie conocía a sus responsables.

[#87 DraWatson]

#75 Por cierto, la FNMT tardó tantos años en poder certificarse como CA, porque no era ni mínimamente confiable. Cuando empezó a serlo, la añadieron en los repositorios.

Si una CA no dice que certificados están revocados, no genera ninguna confianza. Cuando empezaron a ofrecer gratuitamente esa lista, fue cuando los navegadores empezaron a confiar en ella. Ese fue el principal problema.

[#64 MADMax2]

#30 ¿Y si se hace OCSP pero sin Stapling, se puede paliar?

[#86 DraWatson]

#64 yo lo único que conozco que podía ayudar a paliar sería usar conjuntamente DNS CAA y DNSSEC.

[#88 MADMax2]

#86 Lo fácil que es DNS CAA y que lo usen tan poco .
En mi caso manejamos muchos certificados de empresas de los que a menudo los técnicos apenas saben apuntar un registro A a una IP ...

Y con respecto a DNSSec creo que es mejor DoT o DoH

[#89 DraWatson]

#88 Creo que se encargan de cosas diferentes. DNSSec se encarga de darle seguridad a las comunicaciones del servidor de DNS del dominio hasta el servidor de DNS del usuario. Y DoT o DoH lo hacen desde el servidor de DNS del usuario a la máquina del usuario.

Para hacerlo bien, habría que usar DNSSEC+DoT/DoH

[#38 fliper]

#17 Que yo sepa no se puede, a no ser mediante algún exploit del SO. Y algunos navegadores como firefox, utilizan sus propios repositorios de certificados, así que tampoco.

[#63 topecb]

#17 Es un certificado autofirmado, generado seguramente por un equipo Fortinet, en esta marca si quieres bloquear ciertos contenidos, puedes activar la inspección SSL, pero dará error porque no es una autoridad certificadora de confianza.

Imagino que habrán hecho una prueba, ya que Telefónica por ejemplo usa Fortinet para inspección profunda de paquetes (DPI)

En la oficina lo utilizamos y tenemos que instalar el certificado CA en todos los equipos, de lo contrario dará error

[#51 Feliberto]

No me toques los cojones, que acabo de pedir portabilidad a digi.

[#60 Gintoki]

#51 Pues recula, recula. Hasta que no tengan bajas en masa no van a cambiar de opinión.

[#62 xavicx]

Donde puedo comprobar esto para iniciar demanda?

[#69 Duernu]

Solución: Baja inmediata de DIGI.

[#46 j0seant]

Hay que ver todas las guarradas que hay que hacer para proteger el circo del futbol (da igual todos los perjuicios que se causen a un montón de empresas y usuarios que pagan), que la gracia es que Movistar se hacen los tontos como si el juez les estuviera obligando pero la denuncia la han puesto ellos juntos con Tebas, el resto solo se limitan a intentar cumplir como pueden la sentencia (y haciendo más guarradas como esta de DIGI para intentar que no se note el bloqueo). Al ritmo que vamos parece que esto tendrá que acabar escalando hasta la UE para que alguien haga algo, porque en este país cualquier empresa del IBEX es la que ordena a los jueces corruptos lo que deben hacer..

[#66 alfema]

Tengo ganas de ver cómo termina toda esta historia de los bloqueos porque no entiendo.

Un juez dicta un auto inicial que permite bloquear IP, en teoría, sin afectación a terceros, la empresas de telecomunicaciones se allanan y, aún a sabiendas de que si hay perjudican a terceros, bloquean IP como si no hubiera mañana, cosa que algunas consideran ilegal.

Se presenta un recurso, o como se llame, de nulidad, que se rechaza, todavía no entiendo la razón de ello.

Y ahora nos viene Digi con esto, creo que más que un intento de bloqueo es una cagada de Digi o un fallo técnico, no creo que Digi se quiera exponer a una reclamación o demanda por ello.

[#15 Elektr0]

Tengo O2 y durante la mañana muchas webs me van muy lentas. Va a ser que O2 se apunta al corte masivo de todo

[#20 Cehona]

#15 O2 pertenece a Movistar.
Pero entro en las webs dependientes de Cloudflare, de momento.

[#28 troll_hdlgp]

#20 O2 ES Movistar, al menos a nivel técnico, usa sus mismas ip, su misma red, etc. de hecho hasta en móviles si haces portabilidad de Movistar a O2 ni tienes que cambiar la SIM y en fibra si tienes un router de movistar al portar mantienes el router.

[#77 zeioth]

Llevo 7 meses esperando que me instalen la fibra. Creo que les van a dar por el culo.

[#93 amperex]

Señores el cometido de esta gente es que les dejen campar a sus anchas y para ello necesitan la connivencia del status quo, a la gente regalándole las cosas ya las tienen, ahora necesitan al poder. Los amigos de Putin son eficientes.

[#19 fliper]

"Lo que hace Digi, básicamente, es similar a un ataque Man in the Middle. Está interceptando el tráfico de destino, sin permiso por parte del usuario. Está metiendo un certificado SSL auto firmado. "

Joder, pues no sé que les falta para ser un MitM.
Estaría bien saber los detalles del certificado que utilizan aunque me tiene más pinta de ser un problema en la configuración de algún equipo que otra cosa.

[#70 honguero_verde]

Yo estoy en DIGI y algo raro he notado desde hace dias , seguire alerta

[#80 Fran_Ramos]

a mi digi me falla al entrar en la caixa y la web que usa mi hijo donde le dan las notas y el seguiemiento...

ya migre yu telecom total son 60 euros al año...