Un fallo en la seguridad de todos los navegadores de internet hace que cualquier web con un script específico, pueda averiguar por que páginas hemos estado navegando, y lo peor de todo es que hasta ahora no se puede solucionar!
Informacion Adicional para la noticia:
Este fallo fue reportado por Jeremiah Grossman en Agosto del 2006 http://bit.ly/2vd12 , y hacía uso de JavaScript para interrogar al navegador sobre algunos sitios famosos.
Tiempo después, la gente de ha.ckers.org perfeccionó el ataque para hacerlo sin uso de javascripthttp://bit.ly/9LvC5 , haciendo que el navegador pida unas imagenes al servidor dependiendo de si ha visitado el sitio famoso por el que se le interroga o no, en cuyo caso, dichas peticiones quedan registradas mediante lenguaje que se ejecute en el servidor (php, jsp, asp..).
Resumiendo, no se puede preguntar al navegador... ¿En que sitios has estado?, pero si se puede preguntar ¿Has estado en Google?, ¿Y en Meneame?, ¿Y en Petaradas?
Algunas empresas de contratación lo utilizan para preguntar si ha navegado antes por InfoJobs, o webs de la competencia.
CONTRAMEDIDAS:
- Para evitar el ataque perfeccionado por la gente de ha.ckers.org hay que navegar sin imágenes o sin CSS, o sin las 2.
- Para evitar el ataque, hecho de la manera como se reportó inicialmente, solo hay que navegar sin JavaScript, o utilizar extensiones como NoScript.
#13 Noscript funciona pero solo es una solución parcial a no ser que siempre visites las mismas webs en cuyo caso de nada te sirve noscript.
Los scripts son perfectamente válidos y es un coñazo tener que permitir/no permitir esta u otra página cada vez que visites una página nueva. Y si bloqueas por defecto puedes estar bloqueando algún script funcional, p ej, con noscript activado en meneame no puedo dar positivos ni negativos.
La solución es que el navegador no sea vulnerable, no capar el navegador.
Porno,porno,porno,porno,porno,meneame,porno,porno,porno,porno,meneame,porno,porno,porno,porno,meneame,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,meneame y porno,porno,porno,porno,porno,porno,porno,porno.
Yo tengo el navegador configurado para que borre historial, cookies y caché al cerrarlo (pc del trabajo y mucho cotilla suelto) y así también se evita el exploit.
#2 going incognito doesn't affect the behavior of other people, servers, or software. Be wary of:
Websites that collect or share information about you
Internet service providers or employers that track the pages you visit
Malicious software that tracks your keystrokes in exchange for free smileys
Surveillance by secret agents
People standing behind you
De hecho startpanic.como ha sido creada con la única finalidad de llamar la atención sobre este fallo crítico y recolecta firmas (virtuales ;-)) para que este sea solucionado por los coders encargados de los navegadores. Quiza debieron haberle consultado a S0phisma para que les diga que todo es una mentira...
Comentarios
Informacion Adicional para la noticia:
Este fallo fue reportado por Jeremiah Grossman en Agosto del 2006 http://bit.ly/2vd12 , y hacía uso de JavaScript para interrogar al navegador sobre algunos sitios famosos.
Tiempo después, la gente de ha.ckers.org perfeccionó el ataque para hacerlo sin uso de javascript http://bit.ly/9LvC5 , haciendo que el navegador pida unas imagenes al servidor dependiendo de si ha visitado el sitio famoso por el que se le interroga o no, en cuyo caso, dichas peticiones quedan registradas mediante lenguaje que se ejecute en el servidor (php, jsp, asp..).
Resumiendo, no se puede preguntar al navegador... ¿En que sitios has estado?, pero si se puede preguntar ¿Has estado en Google?, ¿Y en Meneame?, ¿Y en Petaradas?
Algunas empresas de contratación lo utilizan para preguntar si ha navegado antes por InfoJobs, o webs de la competencia.
CONTRAMEDIDAS:
- Para evitar el ataque perfeccionado por la gente de ha.ckers.org hay que navegar sin imágenes o sin CSS, o sin las 2.
- Para evitar el ataque, hecho de la manera como se reportó inicialmente, solo hay que navegar sin JavaScript, o utilizar extensiones como NoScript.
NoScript y tan contentos
#13 Noscript funciona pero solo es una solución parcial a no ser que siempre visites las mismas webs en cuyo caso de nada te sirve noscript.
Los scripts son perfectamente válidos y es un coñazo tener que permitir/no permitir esta u otra página cada vez que visites una página nueva. Y si bloqueas por defecto puedes estar bloqueando algún script funcional, p ej, con noscript activado en meneame no puedo dar positivos ni negativos.
La solución es que el navegador no sea vulnerable, no capar el navegador.
No es cierto...ese script, lo para privoxy hace muuuchos años.
Porno,porno,porno,porno,porno,meneame,porno,porno,porno,porno,meneame,porno,porno,porno,porno,meneame,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,porno,meneame y porno,porno,porno,porno,porno,porno,porno,porno.
#17 Ya, pero se limita mucho la información que puede obtener. En mi caso no obtuvo más resultado que la propia web donde estaba haciendo el test.
Yo tengo el navegador configurado para que borre historial, cookies y caché al cerrarlo (pc del trabajo y mucho cotilla suelto) y así también se evita el exploit.
#16 no durante la sesion..
Firefox 3.5.2 con betterprivacy activao cae como un campeón. Por cierto, que hace todo este porno en mi historial?
Joder, qué de porno visito! Pues la verdad es que es un problema serio de seguridad.
Con google chrome 4 (beta) si que le ocurre en una de las dos páginas a la que enlaza. La otra de linuxbox no hace nada.
Será posible que pille el historial a estas alturas? anda que...
El script accede a el historial de navegación obteniendo informacion através del a.visited del css, verifiquen y verán que es cierto.
Lo he probado en Firefox 3.5.2 y a mi si me saca en historial completo, pero demora varios minutos.
pues firefox(3.5.2) no tiene el fallo, no aparece nada en la prueba.
aparte tiene una opcion para navegar anonimamente, "start Private browsing" que no revela "referers"(de donde vienes) cuando visitas una web.
#2 going incognito doesn't affect the behavior of other people, servers, or software. Be wary of:
Websites that collect or share information about you
Internet service providers or employers that track the pages you visit
Malicious software that tracks your keystrokes in exchange for free smileys
Surveillance by secret agents
People standing behind you
y para eso está refcontrol.
#2 Firefox 3.5.2, me ha sacado todo (bueno, lo cancelé cuando iba por la web Nº20)
#8 pues con ubuntu-studio como sistema operativo, a mi no me aparece nada
De hecho startpanic.como ha sido creada con la única finalidad de llamar la atención sobre este fallo crítico y recolecta firmas (virtuales ;-)) para que este sea solucionado por los coders encargados de los navegadores. Quiza debieron haberle consultado a S0phisma para que les diga que todo es una mentira...
#5 -> http://jeremiahgrossman.blogspot.com/2006/08/i-know-where-youve-been.html
... I'm using Firefox with TOR and Privoxy, and I appear to be immune from this