| Kriptópolis alojado en |
| Zilos-Veloxia Network |
| Tu mejor defensa: |
| Bufet Almeida |
Tu historial de navegación, dominio público
Enviado por admin el 1. Marzo 2007 - 20:42.
Jeremiah Grossman demostró hace meses que es posible que un sitio web sepa por qué otros sitios ha pasado un usuario mediante el uso de JavaScript.
Pero ya ni siquiera JavaScript es necesario, porque RSnake se las ha ingeniado para lograr implementar cierta lógica condicional en CSS.
Y lo más preocupante es que tanto Explorer 7, como Firefox 2 (Windows y Linux) y Opera 9.10 (Windows y Linux) caen en la trampa y revelan dónde ha estado el usuario antes...
2-MAR (16:40) // Los medios internacionales empiezan a hacerse eco:21:45 // Konqueror, en Linux, y Safari (Mac OS X) también vulnerables.
23:15 // SafeHistory es una extensión para Firefox que evita que la demo funcione.
La demostración es bastante elocuente, aunque la compresión exacta del mecanismo no tanto.
RSnake ha utilizado en su demo los cinco sitios web más visitados de Estados Unidos (según Alexa), pero el hack puede modificarse para incluir cualquier sitio web sobre el que quiera comprobarse si el usuario lo ha visitado.
De hecho, ya está disponible incluso un escáner configurable on-line.
y si no tienes "historial"?
Buenas, tengo una duda. Yo por ejemplo tengo cero dias para guardas el historial, con lo cual no tengo, al menos no puedo acceder a él en mi ordenador porque no dejo archivos temporales de ningun tipo. Entonces mi duda es si pueden acceder igualmente a mi historial, al no tener nada guardado en mi ordenador (ni archivos temporales). Saludos y gracias ^^
La información quiere ser libre
Visita la demo...
... y verás que también funciona si has visitado en esa misma sesión alguno de los sitios de la prueba.
firefox 2.00.2 bajo windows,
firefox 2.00.2 bajo windows, aunque con la configuracion compartida de linux, el historial desactivado no con 0 dias, hay ya si que no las pilla.
En los comentarios se puede
En los comentarios se puede apreciar que el mismo rsnake hace referencia a un documento anterior que básicamente hace lo mismo.
https://www.indiana.edu/~phishing/browser-recon/
Pues a mi no me lo encuentra
Hace tiempo que tengo en las preferencias de firefox (con linux) que el historial sean 0 días, y en la demo, aunque visite los enlaces, luego no los recupera, ni siquiera en la misma sesión.
Pensaba que era paranoia lo de no tener historial, pero veo que no pasa nada por proteger lo que aún no sabemos cómo puede ser atacado ...
Pillado....en el ciberpais!
Aunque veo que ya lo han comentado.... pero me he llevado una sorpresa agradablel leer la entrevisa en el ciberpais sobre kriptopolis y su fundador ;)
Espero que entre todos podamos colaborar a que el sitio se mantenga otros 10 años.
Por cierto, eres bastante fotogénico ;)
Un Saludo y ánimo.
http://www.elpais.com/articulo/red/web/1996/pagina/PGP/elpeputeccib/20070301elpcibenr_2/Tes
Todos somos ignorantes. La diferencia es que no todos ignoramos las mismas cosas. Albert Einstein.
SafeHistory
¿Alguien utiliza esta extensión para Firefox? En la página de la demo dicen que mitiga el problema...
http://www.safehistory.com
Acabo de instalarla y al menos en Firefox 2.0.0.2 bajo Linux la demo ya no funciona.
Iceweasel, impasible
Pues eso. La versión Debian de Firefox ni se inmuta: aparece la leyenda "The following sites were visited:" pero está en blanco.
Versión: 2.0+dfsg-1
SKS, criptografía de curva elíptica de bolsillo
http://sks.merseine.nu
Otro Iceweasel
Pues al ver tu comentario he probado con mi Iceweasel 1.5.0.7-g2 y también cae como un bendito.
Extensiones protectoras
¿Podría ser que ciertas extensiones actuaran como un paraguas, aunque no estén pensadas para ello?
No sé si, por ejemplo, tener "Fasterfox" activado puede actuar como vacuna...
SKS, criptografía de curva elíptica de bolsillo
http://sks.merseine.nu
Opinar