Cuando el fallo de seguridad es que la ministra publique una foto en la que se ve la clave de acceso y el PIN en la URL

¿Sabe que está entrando en una conferencia secreta?", le dijo Josep Borrell, responsable de política exterior de la Unión Europea a Daniël Verlaan, periodista holandés de RTL Nieuws. "¿Sabes que es una ofensa criminal? Mejor desconéctate rápido antes que llegue la policía". La amenaza vino por la inesperada aparición del periodista en una videollamada entre los ministros de defensa de la Unión Europea.

[#2 Sobitt]

Lo verdaderamente preocupante es que en la URL aparezcan usuario y contraseña, no que se publique una foto de una videoconferencia en twitter, pero eso no parece preocuparle a nadie...

[#4 Desactivado]

Esto no es un fallo de seguridad, es un fallo de diseño. Ya dije en el otro meneo donde salió esta noticia que como mínimo si quieres distribuir esto lo haces con un toquen aunque sea en el móvil, no un número fijo que se pueda copiar, y preferiblemente con una llave de seguridad física como una YubiKey, el sistema ese lo debió diseñar el cuñado de alguno de los ministros porque sino no se entiende que a ese nivel pasen estas cosas cuando hasta para entrar en tu correo personal tienes más seguridad.

[#6 ochoceros]

También es muy gracioso cuando la gente te manda una parte de una captura de pantalla en un Word, justo con lo que ellos han recortado.

Y coges el documento, expandes los bordes de la imagen y... ¡Tachán! Ahí está la pantalla completa: el Emule, el navegador con una pestaña en Pornhub, el mensajito del Windows sin activar, etc...

[#35 Herrerii]

#15 en informática se dice token, en 15 años no he escuchado decirle testigo al token a absolutamente a nadie

[#25 Desactivado]

#15 De hecho, no es una mala traducción en según qué casos: "token ring" era una red de "paso de testigo" porque el concepto se basaba en las carreras de relevos, donde se lleva un "testigo" que se pasa de uno a otro.

[#1 squanchy]

En mi empresa tenemos algo parecido para entrar con el perfil de un usuario concreto, pero sin tener que hacer login. Lo usamos cuando estamos haciendo pruebas, para no tener que hacer login constantemente. Tuvimos que advertirle a uno de los comerciales que estaba haciendo una presentación en powerpoint con capturas donde iban las claves de acceso de un usuario.

[#18 N30designs]

Es un error al implementar los formularios de la aplicación, básicamente han utilizado un método GET por el que las variables se envían como un parámetro de la url (los reconoceréis porque se visualizan de este modo midominio.com?parametro1=valor¶metro2=valor etc.), en lugar de usar el método POST que lo manda en el cuerpo de la petición, de modo que es "invisible" para el usuario.

Aunque más grave es aún que se vea como texto plano, ya que podría haber sido convertida mediante algoritmo.

[#10 chavi]

#2 Exactamente.

menuda chapuza.

[#56 daphoene]

#51 Tiene una cierta lógica en sistemas un poco críticos, para evitar espionaje o abuso prolongado en el tiempo. Te han podido cazar puntualmente por un despiste, y cambiar la contraseña corrige y evita algunos problemas. Pero yo sólo lo pediría para cosas como la app del banco o similares.

Lo que no tiene sentido alguno es no dejar a la gente usar las contraseñas que quiera, especialmente para servicios y páginas comunes, y obligar a todo el mundo a cambiarla para poner símbolos, números, mayúsculas, etc. De hecho, si quieres más seguridad, es mejor que escribas una frase normal que puedas recordar que una contraseña de ocho caracteres por muy raros que sean, como bien explica mi amigo Randall:

https://xkcd.com/936/

[#69 armadilloamarillo]

#43 Hay que poner el link, esto es historia de la intenné! el IRC, qué tiempos!

http://bash.org/?244321

hey, if you type in your pw, it will show as stars
******* see!
hunter2
doesnt look like stars to me
*****
thats what I see
oh, really?
Absolutely
you can go hunter2 my hunter2-ing hunter2
haha, does that look funny to you?
lol, yes. See, when YOU type hunter2, it shows to us as *****
thats neat, I didnt know IRC did that
yep, no matter how many times you type hunter2, it will show to us as *****
awesome!
wait, how do you know my pw?
er, I just copy pasted YOUR ****'s and it appears to YOU as hunter2 cause its your pw
oh, ok.

[#15 Jakeukalane]

#12 en informática de toda la vida se traduce como testigo. Que sea una mala traducción lo que quieras pero es la que se usa.

[#17 Desactivado]

#11, en este caso la ministra no tiene culpa alguna, no tiene por qué ni imaginarse que esos datos van a aparecer en la url. Para mi 100% culpa de los programadores.

[#51 lestat]

#48 Que te obliguen a cambiar la contraseña cada dos por tres es uno de los mayores riesgos de seguridad que existen actualmente, se mire por donde se mire.

Así, terminan las contraseñas apuntadas en papeles encima de las mesas, en words o ficheros txt, y demás.
No me extraña, es absurdo que te hagan cambiar la contraseña por una simple cuestión de caducidad temporal.
Absurdo.

[#3 Desactivado]

Borrell sabe bien sobre ofensas criminales

https://elpais.com/politica/2018/11/27/actualidad/1543307276_424238.html

https://www.vozpopuli.com/politica/Borrell-Abengoa-Bruselas-eurocamara-explicaciones_0_1285071577.html

[#60 Desactivado]

#5 token es token. Es una palabra técnica de la informática cuyo significado en la literatura informática tiene muchísimos matices. Traducir las cosas tiene sus limites. Tampoco un americano tiene palabras para todos los tipos de Jamón Ibérico, o para todos los artilugios y procesos de producir queso.

Llevamos llamando "tokens" a una serie de conceptos desde los 70. ¿Como es en español? No hay traducción. Y si tu dices cualquiera de las cosas que están diciendo por aquí debajo en el resto de comentarios, como "testigo" o "ficha", no te va a entender absolutamente nadie y vas a parecer imbécil y pedante.

[#39 Autarca]

#4 Para mi gusto lo verdaderamente preocupante es que una gente que nos representa y que se supone que trabajan para nosotros lo hagan todo a puerta cerrada sin contarnos mas que lo que les apetece.

¡¡Les pagamos el maldito sueldo demonios!! ¿Por que somos nosotros quienes les sirven a ellos?

Se que no es el motivo del envío, pero es que me cabrea sobremanera esta mierda de sistema que ensucia el nombre de la democracia.

[#53 Desactivado]

#3 Tome usted

[#31 dav]

#22 hay múltiples maneras, no seas tan listo

[#40 Jakeukalane]

#35 vale, si se traduce, se dice testigo.

[#5 ED209]

#4 toquen es de la familia de cederrón y bluyíns?

[#24 Desactivado]

#12 no. En su uso más habiual, que es el de sustantivo y el que vemos aquí, token se traduce como ficha, prueba, recuerdo y en informática como testigo.

Solo cuando se utiliza como adjetivo se puede traducir como simbólico, pero es un uso mucho menos habitual, seguramente por culpa de la informática

[#36 ED209]

#30 no era un chiste, era una constatación. De todos modos ¿cómo puede el usuario del negativo llevar aquí desde el 2006 sin un solo comentario? Más misterioso que las palabras adoptadas de la RAE

[#86 apetor]

#25 Tolkien, Tolkieng ring. Redes en anillo.

[#12 obmultimedia]

#8 mas bien es "simbolico/a" la traduccion exacta o testimonial, no testigo.

[#16 Ohtar]

Vaya truño de software usan para las reuniones de defensa, madre mía. Suerte que no tenemos armas nucleares

[#21 N30designs]

#4 Teniendo en cuenta que el/los desarollador/es implementó las contraseñas como texto plano, no se puede esperar mucho de él/ellos.

[#62 xyzzy]

#2 Alguien sólo fue a clase el dia del GET e hizo pellas el del POST

[#66 Hemin]

#4 en zoom hay una opción que es "sala de espera" donde el paso lo da una persona. Con sólo eso ya se evitan la mayoría de estos problemas

[#29 Desactivado]

europeistán... ahora Africa empieza en el norte de europa. A estos se los comen los americanos, los chinos, los indios... y a saber cuantos más.

[#43 Paltus]

#2 o como en Menéame que si pones tú contraseña en un comentario el sistema la detecta y la cambia por asteriscos:

**********



Yo caí.

[#50 Nyarlathotep]

¿Os imagináis que hubiera que aprobar unas oposiciones para ser político? Con un temario que incluyera un par de idiomas comunitarios, algo de economía, historia, gestión, nuevas tecnologías... Y una vez aprobadas, ya puedes optar a un cargo. Si eres de los 1000 mejores de España claro, porque sería como una oposición.

Me pregunto de que iban a trabajar todos estos políticos profesionales que ahora viven chupando de la teta desde que entraron en las juventudes de sus respectivos partidos y que son expertos en tejemanejes, favores y chanchulleos varios.

[#76 eldarel]

#15 Yo lo hubiera traducido como pase para que se entendiera mejor o como autorización - por aquello de que no hay papel físico-.

[#79 Jakeukalane]

#76 bien, pero es como se enseña, no es que yo prefiera una traducción frente a otra.

[#19 Desactivado]

#6 solo una pestaña de Pornhub? Qlgo turbio hay ahi

[#41 daaetur]

#4 Coñe, que Google y Steam te pide el token de la app o que confirmes desde el móvil que eres tú, a estas alturas son medidas de seguridad de andar por casa, no es algo sacado del cyberpunk. ¡Hasta un político podría usarlo!

[#27 AsVHEn]

La amenaza de Borrell da bastante vergüenza ajena.

[#55 redjhawk]

#39 Hombre, no sé, llámame paranóico pero un consejo de defensa donde se vayan a indicar las pautas a seguir contra, pongamos, el terrorismo, quizás no sea buena idea hacerse público.

[#26 ochoceros]

#19 O eyaculación precoz

[#73 Drazul]

#63 se puede, pero cuando abres una nueva web en el navegador la petición es siempre get. Por eso lo normal es que te redirijan a un formulario de login y ahí sí que se pasan los parámetros con post

[#30 juande]

#5 tiene más pinta de ser de la familia del corrector ortográfico del móvil.

Y tu chiste es malo, pero no tanto como para que te pongan negativos.

[#38 Rembrandt]

#3 Y también ha demostrado que de seguridad no sabe demasiado :

https://www.elconfidencial.com/espana/2016-11-14/borrell-denuncia-que-le-han-estafado-150-000-con-una-oficina-de-trading-falsa_1288995/

[#48 daphoene]

#32 Yo sigo sin entender dónde está el problema con las contraseñas, incluso con las 'inseguras', al menos en accesos remotos. Cuando fallas 3-4 veces el sistema tendría que bloquear los siguientes intentos sin acompañarlo de otro tipo de autenticación extra ( código por e-mail o lo que sea ).

El tema de que las contraseñas sean únicas y buenas sólo debería ser crítico para después de sufrir un acceso a datos, para evitar que te roben una contraseña más o menos común.

Pero vamos, que en el tema del envío hay varias cagadas king size.

[#47 puntomatic]

#2 Así está el nivel. Debe ser que en la NSA están en horas bajas y hay que ayudarles a seguir haciendo el trabajo.

[#70 ochoceros]

#68 Haz la prueba. El último caso que he visto era de una profesora de infantil que esta pandemia lloraba amargamente por lo mal que le iba el ordenador, el internet, y lo que le fallaban las videoconferencias de Zoom, y que por eso no le quedaba más remedio que pasar la "tarea" (ver 4 videos de Youtube y colorear 4 PDFs a la semana) por un chat interminable de Tokapp*, único y compartido para todo el colegio por cada familia, independientemente del número de hijos y número de profesores. Un infierno.

Le ofrecí de todo, desde subirle yo las tareas a un Google Classroom para mejorar la organización y presentación hasta ayudarle en remoto (TeamViewer) con los problemas de su Windows (he sufrido ser Helpdesk de usuarios MUY cazurros). Pues ella que no, erre que erre, hasta que le pillé con el emule puesto junto a otras aplicaciones que no tenían nada que ver con la diferencia y también se comían la conexión.

*Tokapp es una aplicación de mensajería, DE PAGO para el colegio, con muchísimas menos funcionalidades que el MSN de los 90. Increíble que en un colegio público se pague dinero por eso habiendo cosas como Telegram. Si veis este engendro en el colegio de vuestros hijos, seguro que hay sobres de por medio.

[#87 Desactivado]

#86 Eso es lo que quería IBM, sí: un anillo para controlarlas a todas (las redes)

[#9 chavi]

Menuda cagada de la aplicación poner eso en la URL.....

Becario despedido !!!!

[#33 Cuchifrito]

#24 En procesadores de lenguajes un token es un símbolo de toda la vida.

[#42 Desactivado]

#35 Eso iba a decir, bastante tiene el pobre diablo que tiene que meter oauth en una app, por ejemplo, como para preocuparse de las traducciones precisas de cada término.

[#49 Ashark]

#18 Sí, eso lo aprendí yo en 1997 al hacer mi primer form. El HTML 1.0 estaba fresco todavía. Con lo que ha llovido o dejado de llover, uno piensa que deberían estar un pelín más avanzados...

[#8 Joice]

#5 Mmmm no. Token no es spanglish. En castellano se traduce como testigo.

[#32 lestat]

#4 También habría ido bien un supusitorio rugoso hecho con una aleación de piel de cactus con pinchos retráctiles y que si fallas la contraseña 3 veces salen los pinchos en el recto.

Les han puesto esto asi porque es para tontos, son políticos...

Por cierto, el día que empezó a hacerse cargo de la seguridad en internet el pavo al que le habían robado 3 veces en 1 año su casa, se fue todo a la mierda definitivamente.

He cambiado más veces mi contraseña en el últmo año que hackers en activo hay en el planeta. Por dios, dejar vivir a la gente cabrones!

[#37 Desactivado]

La porrada de millones que habrá costado ese sistema...

[#58 Desactivado]

#4 Con no poner el PIN en claro en la URL ya hubieran evitado al juanker.

[#20 Desactivado]

Ostia, es que es ridículo la seguridad que tiene. Mínimo tendria que ser con un token rsa.

[#67 osids]

#43 Pues la mía si la publica:

Trollmalvado

[#13 Aurum.Turbo]

Putos consultores siempre la lían Seguro que la seguridad no estaba incluida en el contrato del desarrollo

[#84 slop]

Aparte de lo básico (GET vs POST, encriptacion de la clave, etc) .... a saber lo que han pagado para tener esa chapuza. Probablemente a precio de software de la NSA.

[#78 soyTanchus]

#27 En esa frase te ha sobrado el "la amenaza de".

[#92 Rorschach_]

Dupe Un periodista holandés accedió a una reunión secreta de Ministros de Defensa de la UE por un fallo de una ministra [NL]

Un periodista holandés accedió a una reunión secre...

Aquí trataron lo mismo, el acceso del periodista fue por ese fallo que también describen.

[#11 chavi]

#4 Las dos cosas.
Burros los programadores y burra la ministra (bueno, no tiene por qué ser una experta, la verdad)

[#75 DogSide]

#36 Em, no:
borre

_{Se ve que la ministra de desfensa holandesa no es la única que no se defiende bien con la informática}

[#81 DogSide]

Cuando se entra en Menéame sin logearse puedes ver lo que hacen los usuarios que te han ignorado, pero eso tú también lo sabías, ¿verdad?

[#89 Xenófanes]

#83 Acabo de recordar que entraba a un canal de IRC donde se jugaba a una especie de Trivial con un bot.

[#91 Xenófanes]

#90 Hace como unos 12 años que no lo uso.

[#22 Abeel]

#1 si, se llama token.

[#28 Desactivado]

#4 un token te pasa lo mismo lo suyo es un otp y si es físico mejor.

[#45 mcfgdbbn3]

#3: Y de infraestructuras (en concreto de cargárselas):
https://www.google.com/maps/@41.3579599,-5.7336948,3a,75y,184.03h,82.75t/data=!3m7!1e1!3m5!1sMcOFgFGuLoI04FAGCCNx0Q!2e0!6s%2F%2Fgeo3.ggpht.com%2Fcbk%3Fpanoid%3DMcOFgFGuLoI04FAGCCNx0Q%26output%3Dthumbnail%26cb_client%3Dmaps_sv.tactile.gps%26thumb%3D2%26w%3D203%26h%3D100%26yaw%3D328.1361%26pitch%3D0%26thumbfov%3D100!7i13312!8i6656
Junto con Enrique Barón y otros políticos es el responsable de dejar a numerosos pueblos sin ferrocarril.
Por su culpa y la de otros, ahora no se puede ir a muchos pueblos en tren, eso sí, las autovías que no falten.
No me extraña que haya luego cambio climático con semejantes políticos que hemos tenido en España. CC #38.

[#61 gilipipas]

#56 Qué bueno que es el tío, y pasan los años y sigue manteniendo el nivel.

[#72 lectorcritico]

#46 Era un concepto que se usaba antiguamente en ferrocarriles, llamado baston piloto.
http://comofuncionanlostrenes.blogspot.com/2012/11/bloqueos-primitivos.html
Hoy en caso de emergencias en vez de un palo se usaria un boletin/papel con datos que se pasa al llegar.

[#80 ED209]

#75 cuando se ignora un usuario el contenido de esa pestaña desaparece, pero eso tú ya lo sabías, ¿verdad?

[#7 Sr.No]

Típico de Holandistán.

[#52 Radix2]

#17 bueno, la ministra ha caído por postureo

[#57 Autarca]

#55 Pues que jueguen al poker descubierto

En cualquier caso usted y yo sabemos que las reuniones de nuestros dirigentes (las de verdad, no los espectaculos de circo del congreso) siempre son a puerta cerrada, aunque traten del sexo de los angeles.

[#63 Cyberbob]

#18 ¿No se puede utilizar POST con parámetros en una URL? No entiendo... yo hubiera dicho que sí

[#77 Autarca]

#65 Que jueguen al poker descubierto.

De todos modos daría igual si la reunión fuese sobre otra cosa, las reuniones de los tratados de comercio por ejemplo son todas secretas.

PP, PSOE, UPyD y CiU unidos a favor de un tratado negociado en secreto entre la UE y EE.UU

PP, PSOE, UPyD y CiU unidos a favor de un tratado ...

[#88 apetor]

#87 y enanillos, muchos enanillos, como Bulsara

[#64 N30designs]

#63 Hasta donde se esa es precisamente la diferencia entre ambos métodos

[#65 noises]

#39 Pero la reunión es secreta porque están hablando de la política de seguridad de la Unión Europea. ¿Crees que es buena idea que también lo oiga el "enemigo"?

[#82 Desactivado]

Mortadelo y FIlemón no es una sátira, es un documental recreado.

[#83 Desactivado]

#69 Sigo usando IRC

[#90 Desactivado]

#89 Ahora el Hispano va como el culo, se salvan Freenode, EFnet y alguna más.

[#14 chavi]

#7 No es Zoom lo que usan ?

[#23 MPR]

#9 Becario despedido !!!!

Y no quedó ni el apuntador (salvo los directivos)

[#54 Desactivado]

#33 símbolo no es simbólico como tontería no es tonto (sin segundas de ningún tipo, que conste).

Y un uso especíalizado del lenguaje no quiere decir que su uso más habitual sea eso ni que se pueda traducir así de forma general; es como traducir "he was sentenced to death penalty" por "fue condenado a lanzamiento desde el punto de penal de muerte".

Pero eso sí, tienes toda la razón, símbolo es una de sus posibles traducciones.

[#59 Lekuar]

#4 Si realmente es una reunión de máximo nivel de seguridad yo casi diría que esto hay que hacerlo en una red punto a punto ¿no?

[#68 osids]

#6 ostias eso no lo he visto nunca pero me hubiera partido el culo, hace una captura y meterla en un word pero más grave es que la cierren pensando que recortan

[#74 osids]

#70 de momento le quedan unos años para ir al cole a la niña pero miedo me da por lo que me cuentan los compis entre grupos de WhatsApp de padres cazurro e historias de profesores analfabetos digitales

[#34 guillefunk]

#7 sorry por el negativo.. dedazo

[#44 Faldo]

#14 No. Si sale Borrell es una del consejo de Europa y es una app local de ellos.

[#46 sanbernardo]

#35 También existe el mismo concepto y traducción en ingeniería civil. En las obras de carretera de doble sentido y un único carril, el objeto físico que se utilizaba para regular el tráfico en los dos sentidos se llama testigo y se traduce también por token. Cuando era pequeño en los 70 y 80 era muy común utilizar trozos de madera como testigos para iniciar la marcha y pasárselo al vehículo que esperaba en sentido contrario (el mismo concepto que en informática). Creo que se prohibió su uso como medio de señalización en las obras a finales de lo 80 por su peligrosidad.

[#71 daphoene]

#61 Es un crack. Tengo una lista de favoritos que no sirve para nada, de lo extensa que es. Debería haber guardado los que me gustan menos, y habría ahorrado mucho tiempo.

[#85 bangkok35]

Se supone que es una reunión de Ministros de Defensa, donde no hay ningún tipo de seguridad.
¿Deberiamos confiar entonces en nuestro mandatarios? Una cosa tan básica como es la seguridad y confidencialidad en las redes