Configuración de seguridad y extensiones del navegador

El navegador web es la aplicación más utilizada y una de las más atacadas. Los navegadores ejecutan código de fuentes no confiables (sitios web), gestionan datos sensibles y tienen acceso directo a las credenciales y sesiones de los usuarios.

Los proveedores de navegadores publican parches de seguridad con frecuencia. Un navegador desactualizado puede ser vulnerable a exploits conocidos, incluidas las descargas drive-by y los escapes del sandbox. Active las actualizaciones automáticas: nunca retrase las actualizaciones del navegador.

Los navegadores modernos admiten el modo de solo HTTPS (o las actualizaciones a HTTPS). Cuando está activado, el navegador rechaza conectarse a sitios HTTP y muestra una solicitud antes de cargarlos. Esto evita la transmisión accidental de datos sensibles a través de conexiones de texto plano.

Nunca ignore las advertencias de certificados del navegador. Un certificado no válido o que no coincide puede indicar:

• Certificado caducado o revocado
• Certificado autofirmado (posible MitM)
• Dominio no coincidente (se está visitando un sitio incorrecto o de phishing)

Omita la advertencia solo al probar sistemas internos que sepa que son seguros.

Configuración principal que debe ajustar en el navegador:

• Active la protección contra phishing y malware
• Bloquee las cookies de terceros
• Active Safe Browsing (Chrome) / Enhanced Tracking Protection (Firefox)
• Desactive el almacenamiento de contraseñas en el navegador (utilice un administrador específico)
• Desactive los permisos innecesarios para los sitios web (cámara, micrófono, ubicación)

Extensiones de navegador recomendadas:

• uBlock Origin: bloquea anuncios y dominios maliciosos
• Privacy Badger: bloquea rastreadores invisibles
• HTTPS Everywhere (ahora integrado en la mayoría de los navegadores)
• Bitwarden: administrador de contraseñas

Menos extensiones equivalen a una superficie de ataque menor. Instale únicamente extensiones confiables y bien valoradas.

Las extensiones del navegador tienen un amplio acceso a las páginas web y pueden:

• Leer todo el tráfico y los datos enviados mediante formularios
• Robar las contraseñas mientras las escribe
• Inyectar código malicioso en las páginas

Las extensiones maliciosas suelen parecer legítimas. Revise los permisos detenidamente y revoque los de las extensiones que no utilice.

Los navegadores modernos aíslan cada pestaña y extensión en procesos independientes, lo que limita los daños causados por contenido web comprometido. Un error en un proceso de renderizado no debería afectar a todo el navegador ni escapar al sistema operativo, aunque los escapes del sandbox sí ocurren en exploits avanzados.

El aislamiento de sitios (Chrome, Firefox) ejecuta cada origen en un proceso independiente. Esto evita que JavaScript malicioso de un sitio acceda a la memoria del proceso de otro, lo que mitiga las vulnerabilidades de CPU de tipo Spectre y el robo de datos entre sitios.

JavaScript permite la mayoría de las funciones web modernas, pero también la mayoría de los ataques web (XSS, descargas drive-by). Los plugins como Flash (obsoleto) eran vectores de ataque importantes. Las herramientas del tipo NoScript bloquean JavaScript de forma predeterminada: es una medida extrema, pero potente para entornos de alta seguridad.

Utilizar perfiles o navegadores separados para distintas actividades añade aislamiento:

• Perfil de trabajo: sitios corporativos, banca
• Perfil personal: redes sociales
• Perfil de investigación: visita de sitios desconocidos o sospechosos

Un compromiso en un perfil no afecta a los demás.

¿Qué extensión del navegador se recomienda ampliamente para bloquear dominios maliciosos y anuncios sin requerir configuración?

Los navegadores son una superficie de ataque principal. Manténgalos actualizados, active el modo de solo HTTPS y configure los ajustes de privacidad. Utilice extensiones confiables como uBlock Origin. Tenga presente que las extensiones tienen amplio acceso a las páginas. El sandboxing del navegador y el aislamiento de sitios limitan los daños de los exploits basados en la web.