NuTTyX
Chrome rechazará los certificados de Camerfirma utilizados por la Agencia Tributaria

#22 Es un foro común para todos los interesados (el CA/Browser forum): Chrome, Mozilla y otros como los que deben asegurar con su software a los usuarios finales que todo funciona como debe y las CA que generan los certificados demostrando que hacen las cosas de una forma segura para que puedan confiar en ellos. Los criterios son comunes para los proveedores de software así que se ayudan mutuamente para verificar, validar, etc. Luego cada uno puede tomar su decisión particular, pero lo normal es que apliquen una decisión más o menos común.

V 2
K 15
NuTTyX
Chrome rechazará los certificados de Camerfirma utilizados por la Agencia Tributaria

#28 Para que una CA aparezca en como "confiable" en los almacenes de los navegadores debe cumplir una serie de requisitos bastante estrictos, pasar auditorías, etc. la FNMT tardó años en cumplir dichos requisitos y por eso Firefox no la incorporó hasta entonces. Es decir, por mucho que sea un organismo público, la CA debe cumplir los requisitos al igual que las "privadas" y pueden tener los mismos problemas (o no) que los que ha tenido Camerfirma. Y serían revocados con exactamente el mismo criterio por mucho que dejaran tiradas todas las web de la administración pública de España o de EE.UU.: han dado un plazo de varios meses hasta que se haga efectivo, hasta entonces tienen tiempo de pedir los nuevos certificados a una CA que cumpla los requisitos. ¿Te fiarías de una CA que después de que les reportasen incidentes por validar "a ojo" los nombres de los certificados, tras 3 años dandoles caña, sigan en 2021 haciendo exactamente lo mismo y justificando que van a entrenar mejor a los curritos? Yo no, independientemente de que sea una empresa privada o sea un ejército de funcionarios del gobierno del país X.

V 1
K 12
I

#50 Me parece perfecto que los requisitos sean los mismos para cualquier CA. Sobre todo me parece perfecto que esos requisitos sean públicos, conocidos y verificados, no sólo por los desarrolladores de navegadores. Me imagino que la administración debería tener medios suficientes para cumplir esos requisitos y mantenerlos y por eso no veo la necesidad de delegar en terceros el certificar que una página pertenece a la administración. Tampoco es que me guste que poder entrar o no sin problemas en una página de la administración de mi país dependa de un tercero, por muy ong, fundación, independiente o bien intencionado o lo que sea que diga que es.

V 0
K 9
NuTTyX
editado
BBVA abre la veda del impopular cobro por los depósitos a las familias

#9 lo peor de todo es que solo trasladen al cliente esta "consecuencia de los tipos negativos", pero las hipotecas o los préstamos sigan teniendo un interés como el que tienen (como las tarjetas revolving con sus intereses por encima del 10%). ¿No les conviene que me gaste el dinero? Pues que reduzcan esos intereses que van directos a SU liquidez, ¿no?
Los bancos llevan años "prejubilando" (que es un eufemismo de despedir a los mayores de 60 y que pague el paro el estado) y cerrando decenas de oficinas, reduciendo plantillas y gastos directos. Buscan un crecimiento igual o superior al de los años anteriores (si pudimos crecer un 5% el año pasado, seguro que optimizando conseguiremos crecer un 6 este año) y sinceramente no sé cómo pretende seguir creciendo eternamente... La población no crece a ese ritmo, envejece y los salarios de los jóvenes (los que no estén en paro, claro) son cada vez menores comparándolos en el mismo puesto que sus mayores (sobre todo en banca, pasan de "prejubilar" a un técnico que cobra +100k y las nuevas contrataciones empiezan en 15 o 18k y es difícil que esos lleguen a cobrar 50k cuando cumplan los 60). Pero a pesar de todo, siguen creciendo! Más préstamos, más tarjetas revolving, más deuda de sus clientes para que unos pocos sigan ganando cada vez "un poquito más". Pero esto es "por los tipos negativos", ¿eh?

V 1
K 16
NuTTyX
¿Tiene sentido que Mercadona pueda utilizar datos biométricos en el acceso a los supermercados?

#52 Exactamente lo que yo estaba pensando: el primer punto ilegal es retener CUALQUIER imagen de una persona más allá de un mes salvo REQUERIMIENTO JUDICIAL. Además que existe el "derecho al olvido" y cualquiera puede solicitar al delegado de protección de datos de Mercadona que revise si su imagen está recogida en las cámaras de seguridad (o cualquier otra base de datos que tengan) y pedir su supresión (que deberá realizarse salvo que exista un requerimiento judicial para conservar la imagen, como pudiera ser la grabación de un robo o similar). En mi comunidad hubo un robo y las cámaras grabaron a esas personas de forma perfectamente identificable, se consultó si era legal distribuir un aviso entre los vecinos con esa imagen para evitar futuros incidentes y nos informaron que era completamente ilegal que cualquier viera siquiera esas imágenes salvo el delegado de protección de datos para que identificase al ladrón y proporcionase los datos para la denucia. Como extra, extraído de #32: "Asimismo, cuando los datos biométricos se usan como medio de identificación, el RGPD establece en su artículo 9 que se trata de categorías especiales de datos y prohíbe expresamente su tratamiento dirigido a identificar de manera unívoca a una persona física." por lo que usar las imágenes de las cámaras de seguridad para "identificar a sujetos con una orden de alejamiento" choca justamente contra este punto.

V 1
K 15
e
editado

#60 El derecho al olvido aplicará cuando la orden de alejamiento prescriba, pero como es lógico, no antes.

V 0
K 9
l

#24 Yo diria que me entreguen los datos que tiene. Molesta más por laborioso y por mostrar qué graban de uno.


#22 Puede que en los centros nuevos tengan mejor calidad que en los veteranos? Se podria comprobar si los productos tienen el mismo sello fiscal en todas las zonas.
En guipuzcoa, la leche de mercadona estaba bastante buena y estaba envasada en el mismo sitio que Kaiku. Supongo que esa leche no la mandan a Andalucia.
#14 #13 #12 Nos caracterizamos de musulmana. No esta prohibido travestirse y yo creo que no les prohiben llevar burkas y derivados fuera de Francia.
#65 Algunos si dejamos usarlo. El problema es que otros lo usan y el que no le usa le puede afectar a la vida social porque me parece que a la gente le da pereza otros medios convencionales como correo o tlfno y menos aun instalarse mensajeria libre.
Además, la gente puede mandar fotos tuyas a esos medios y la gente no le parece grave.
#55 #71 Creo que guarda ciertos puntos como los que 3 lineas se juntan formando un Y. Si X o mas coinciden es positivo.
No se puede recontruir una imagen, pero se podria inventar una imagen con esas caracteristicas y que de positivo.
#16 O los propios clientes pueden denunciar al AEPD y las multas son gordas.

No se en todos, pero en uno vasco, te reconoce la matricula al entrar y te deja salir sin mostrar el tiquet solo con la matricula.
Por lo menos en ese rato se la guarda, no se si la guardará mas tiempo. Es dificil descartarlo.
#60 Interesante.

V 1
K 17
m

#79 En lo que atañe a la pregunta que me haces a mí, no; hablo de comprobar cómo la calidad en los mismos centros de hace bastantes años a ido a peor paulatinamente; por mi experiencia yendo a diferentes centros de la misma cadena, es algo generalizado, aunque sí que es cierto que por los motivos que sea, en productos no "universales" como puedan ser conservas o no perecederos, sí que hay alguno que destaca (para bien) sobre otros, pero como desconozco el motivo y hasta cuándo será así, y ya he caído muchas veces en el "joer, esto ya no es como era", prefiero comprar esos productos directamente en otros sitios.

En cuanto al resto de apreciaciones que haces, 100% de acuerdo empezando por la primera.

V 0
K 8
NuTTyX
WebBundle, tecnología de Google que convierte webs en cajas negras donde no se podría bloquear publicidad, según Brave

#18 Pero es que sí que hay un problema existente, aunque no para los usuarios: cada vez hay más bloqueadores de anuncios y Google pierde dinero si no los ves. ¿Qué mejor forma de forzarte a la publicidad que implementar un protocolo que te obliga a tener todo el contenido (incluyendo anuncios y demás contenido adicional -mientras sigas viendo publicidad, el malware no es un problema para ellos-) en un único bundle para navegar? Además, con la cuota de mercado que tienen (tanto de navegador como de productos como el buscador, youtube o el correo), pueden anunciar que la tasa de adopción es inmensa y que es todo un éxito. Firefox ha denunciado varias veces que Google hacía cambios para que youtube se viese mal en otros navegadores para forzar la conversión a chrome. Al final conseguirán que otros tengan que implementar su protocolo so pena de que no puedas usar los servicios a los que te han acostumbrado y finalmente tendremos publicidad obligatoria casi como en aquel episodio de Black Mirror.

V 4
K 14
l

#44 El problema no es tanto la publicidad sino el rastreo. El puto rastreo continuo en Internet.

V 1
K 17
lecheygalletas

#77 El rastreo sin publicidad no sirve de nada. De hecho, el rastreo no es un fin en si mismo, sino un medio para que la publicidad sea exactamente lo que haga a tu cerebro comprar. Y eso es lo que pagan los anunciantes en internet, no ya el clásico targeting sino modelar al posible comprador para que acabe pasando por la compra.

V 0
K 9
l

#100 Mi comentario iba más por el hecho de que a muchas personas no nos importa la publicidad, sino el rastreo.

V 0
K 8
NuTTyX
España no debe estar en la UE: la carta que puede dinamitar la relación con Bélgica

#139 https://es.wikipedia.org/wiki/Limburgo_(B%C3%A9lgica)

V 0
K 6
NuTTyX
Con este dispositivo para la bici se llena la botella de agua cada hora

#57 Hace 2 años publicaron ya un artículo sobre esa misma botella y los comentarios sobre lo magufos que han sido esta otra vez cuando se ha demostrado que era una estafa inviable les habrán hecho borrar el artículo por vergüenza.

V 0
K 6
NuTTyX
MoviStar censura un enlace cuando sube a la portada de Meneame

#38 El título de la noticia y la descripción hablan de la censura del post en los foros de Movistar, mientras que la noticia enlazada es el post para reclamar en la CNC en Banda Ancha, pero ni siquiera en los comentarios de BA dicen nada de que se hubiese borrado la noticia en los foros de Movistar. De ahí que a mi sí me parezca más microblogging que duplicada.
He visto muchas noticias antes que se han editado para poner links después de caídas o incluso borrados (la censura no es nueva).
Sinceramente me esperaba encontrar aunque fuese un post en blogspot de diez líneas comentando la cantidad de veces que se ha borrado el post en los foros de Movistar (ya lo decían en la propia noticia), pero no los foros de Banda Ancha con la misma noticia que ya había leído esta tarde.

V 5
K 55
C

#40 Lo he leído todo pero #41 me lo ha aclarado de lujo. Gracias.

cc: #14

V 2
K 31
D

#42 Es lo que le estamos indicando a #0, y en #29, como indica #41, es redacción de una noticia, imagínate que se permita a todos redactar noticias... Ahora alguien envía la misma noticia adecuadamente y la matan a negativos por "duplicada" por culpa de uno que hace de Menéame una web de blogs.

V 0
K 12
BAILEN

#41 ya he modificado el contenido y las veces que me han censurado en movistar.

V 0
K 6
NuTTyX
Monje momificado dentro de una escultura de 1.000 años de antigüedad de Buddha

#19 Justo lo mismo que he pensado al ver la foto.

V 0
K 6
NuTTyX
Chrome envía por defecto todas tus contraseñas a los servidores de Google

#4 Ningún navegador almacena las contraseñas si no se lo indicas. Por tanto, que se sincronice una contraseña con Google depende de una acción manual siempre.

V 1
K 14
NuTTyX
BBVA Wallet: La seguridad no es su fuerte

#64 Como ya dije en #47, "utilizando su propio almacén de CAs de confianza mejoraría bastante la seguridad", ya que el control de las CA pasaría del usuario del dispositivo al desarrollador.

No obstante la situación actual de la aplicación no es ni mucho menos como para dedicarle un post alarmista en el que no se explica claramente los requisitos previos (instalar una CA autofirmada en iOS, lo cual es un acto que pide confirmación y saltan advertencias de seguridad, y si es un móvil de empresa NO deja instalarla) y se tergiversa la realidad (texto plano es cuando NO hay SSL y en las capturas se aprecian siempre URL con https, y en ningún momento se indica que sin el requisito previo la aplicación NO envía ni un sólo dato)

V 1
K 13
ann_pe

#66 Bueno no sé si alarmista es el post o los lectores (yo me incluyo), el post no aclara como hace todo el proceso y eso nos a confundido un poco, pero el post sigue siendo interesante.

V 1
K 28
NuTTyX
BBVA Wallet: La seguridad no es su fuerte

#59 He decidido hacer una prueba de concepto para ver si verdaderamente es como dice el autor del artículo.
Con un proxy interceptando SSL y una CA autofirmada, da error al iniciar la conexión SSL y no deja continuar.
Levantando un servidor suplantando el del BVVA y realizando DNS spoofing, el mismo comportamiento.

Conclusión: si no añades CA al móvil, la aplicación no te deja continuar ni envía un sólo dato.

Para mi gusto, igual de segura que cualquier navegador de cualquier dispositivo.

V 3
K 26
ann_pe
editado

#60 Si lo has probado entonces tendrás razón. O quizá han arreglado la aplicación al ver el post en menéame lol

V 3
K 54
n

#60 y #47 si es como decis, entonces al app no es vulnerable y el post es directamente falso e incorrecto.
En el post no da a entender que hay que cambiarse la CA.
Coincido en que cifrar otra vez es un absurdo con con que este https bien implementado es suficiente.

V 2
K -4
misato

#62 Claro que sí hombre, implementar más seguridad en una aplicación de PAGOS es tontería lol

V 2
K 37
ann_pe
editado

#63 Según entiendo con mis conocimientos básicos del tema, si como dice #60 hace falta tener una CA ¿o un certificado? corrupto previamente instalado en el teléfono la aplicación tendría la misma seguridad que cualquier navegador ¿no? pero está claro que la aplicación puede tener más seguridad llevando el certificado embebido o comprobando que la CA es tal y no es otra, una seguridad extra que no les cuesta nada de implementar y que puede evitar muchos problemas.

V 0
K 11
NuTTyX

#64 Como ya dije en #47, "utilizando su propio almacén de CAs de confianza mejoraría bastante la seguridad", ya que el control de las CA pasaría del usuario del dispositivo al desarrollador.

No obstante la situación actual de la aplicación no es ni mucho menos como para dedicarle un post alarmista en el que no se explica claramente los requisitos previos (instalar una CA autofirmada en iOS, lo cual es un acto que pide confirmación y saltan advertencias de seguridad, y si es un móvil de empresa NO deja instalarla) y se tergiversa la realidad (texto plano es cuando NO hay SSL y en las capturas se aprecian siempre URL con https, y en ningún momento se indica que sin el requisito previo la aplicación NO envía ni un sólo dato)

V 1
K 13
ann_pe

#66 Bueno no sé si alarmista es el post o los lectores (yo me incluyo), el post no aclara como hace todo el proceso y eso nos a confundido un poco, pero el post sigue siendo interesante.

V 1
K 28
n

#63 Todo lo que se añada suma, pero si ya estas cifrando con un método, mas vale que cifrar bien con ese método, y no cifrar con dos y los dos mal.

V 0
K 6
kobecaf

#60 Hola, yo también he probado con varios proxies ssl y nada, sin instalar el certificado fake en el móvil esto no rula... El post da a entender que directamente interceptando el tráfico ssl con un certificado falso se ve todo y no es cierto. Es alarmista y confuso en mi opinión.

V 0
K 7
NuTTyX
BBVA Wallet: La seguridad no es su fuerte

#48 Según todas las capturas del artículo, todo el "texto plano" va cifrado bajo la conexión SSL.

V 1
K 12
NuTTyX
BBVA Wallet: La seguridad no es su fuerte

#50 Según el texto del artículo "ya que el usuario ha podido instalar en su teléfono móvil el certificado del atacante así que todas las comunicaciones quedarían expuestas".
Sobre #21, no dice que no haya añadido estos certificados autofirmados manualmente a través de los ajustes de iOS, sólo "que se están fiando de un CA que no es el suyo".

V 2
K 18
ann_pe

#56 Lo dice en #16 #17 y #18 , tienes razón en que en artículo no se entiende muy bien.

V 0
K 11
NuTTyX

#59 He decidido hacer una prueba de concepto para ver si verdaderamente es como dice el autor del artículo.
Con un proxy interceptando SSL y una CA autofirmada, da error al iniciar la conexión SSL y no deja continuar.
Levantando un servidor suplantando el del BVVA y realizando DNS spoofing, el mismo comportamiento.

Conclusión: si no añades CA al móvil, la aplicación no te deja continuar ni envía un sólo dato.

Para mi gusto, igual de segura que cualquier navegador de cualquier dispositivo.

V 3
K 26
ann_pe
editado

#60 Si lo has probado entonces tendrás razón. O quizá han arreglado la aplicación al ver el post en menéame lol

V 3
K 54
n

#60 y #47 si es como decis, entonces al app no es vulnerable y el post es directamente falso e incorrecto.
En el post no da a entender que hay que cambiarse la CA.
Coincido en que cifrar otra vez es un absurdo con con que este https bien implementado es suficiente.

V 2
K -4
misato

#62 Claro que sí hombre, implementar más seguridad en una aplicación de PAGOS es tontería lol

V 2
K 37
ann_pe
editado

#63 Según entiendo con mis conocimientos básicos del tema, si como dice #60 hace falta tener una CA ¿o un certificado? corrupto previamente instalado en el teléfono la aplicación tendría la misma seguridad que cualquier navegador ¿no? pero está claro que la aplicación puede tener más seguridad llevando el certificado embebido o comprobando que la CA es tal y no es otra, una seguridad extra que no les cuesta nada de implementar y que puede evitar muchos problemas.

V 0
K 11
NuTTyX

#64 Como ya dije en #47, "utilizando su propio almacén de CAs de confianza mejoraría bastante la seguridad", ya que el control de las CA pasaría del usuario del dispositivo al desarrollador.

No obstante la situación actual de la aplicación no es ni mucho menos como para dedicarle un post alarmista en el que no se explica claramente los requisitos previos (instalar una CA autofirmada en iOS, lo cual es un acto que pide confirmación y saltan advertencias de seguridad, y si es un móvil de empresa NO deja instalarla) y se tergiversa la realidad (texto plano es cuando NO hay SSL y en las capturas se aprecian siempre URL con https, y en ningún momento se indica que sin el requisito previo la aplicación NO envía ni un sólo dato)

V 1
K 13
ann_pe

#66 Bueno no sé si alarmista es el post o los lectores (yo me incluyo), el post no aclara como hace todo el proceso y eso nos a confundido un poco, pero el post sigue siendo interesante.

V 1
K 28
n

#63 Todo lo que se añada suma, pero si ya estas cifrando con un método, mas vale que cifrar bien con ese método, y no cifrar con dos y los dos mal.

V 0
K 6
kobecaf

#60 Hola, yo también he probado con varios proxies ssl y nada, sin instalar el certificado fake en el móvil esto no rula... El post da a entender que directamente interceptando el tráfico ssl con un certificado falso se ve todo y no es cierto. Es alarmista y confuso en mi opinión.

V 0
K 7
NuTTyX
BBVA Wallet: La seguridad no es su fuerte

#40 Para que eso funcionase, también necesitaría añadir una CA propia a tu teléfono, y no sólo "compremetería" la aplicación del BBVA, sino todo el tráfico de tu navegador, el correo y muchas otras aplicaciones (facebook, twitter, etc)... Que no es una vulnerabilidad "exclusiva" de la aplicación, si no de todo el dispositivo.
No voy a negar que utilizando su propio almacén de CAs de confianza mejoraría bastante la seguridad (el SSL Pinning es una exageración con muy poca visión de futuro), pero confiar en el almacén de CA del teléfono no es una vulnerabilidad en sí ni mala seguridad, como mucho un exceso de confianza.
A ver, no seamos alarmistas. Si en el navegador de tu PC te meten una CA de un "hacker" estás igual de jodido o peor.

Y sobre lo de cifrar con AES los datos... ya van cifrados así! El SSL usa AES desde hace años como principal algoritmo. Cifrar de nuevo los datos sólo traslada el problema a cómo almacenas esa segunda contraseña para el AES adicional y cómo se gestiona en caso de reinstalar la aplicación.

Y en cuanto a meterse con los programadores (#10 : Malos programadores detrás de la plataforma) me parece absurdo y de mal gusto: el programador debe ajustarse a las especificaciones que le piden. Muy posiblemente hubiese dos (o más) equipos, uno para la App móvil y otro para el servidor y se decidiese comunicar ambos de una manera concreta (xml + https o cualquier otra variante).
No echemos las culpas del diseño a un programador...

V 7
K 30
ann_pe
editado

#49 #47 #31 Según dice el autor del post ( #21 ) no es necesario añadir ninguna CA ni modificar nada en el teléfono, ya que la aplicación acepta certificados autofirmados sin mostrar siquiera un mensaje de warning.

V 4
K 37
D
editado

#50 No, para nada. Los certificados los maneja el sistema operativo y algunas aplicaciones (en escritorio) como Firefox, que tienen su propio contenedor de certificados. Dudo mucho que BBVA haya implementado su propio contenedor en una pequeña aplicación o implementado su propia librería SSL. ¿Alguna prueba que sostenga lo que dice Oscar o tu?

V 2
K 18
ann_pe

#51 Yo te digo lo que dice la noticia, no lo he probado por que no tengo cuenta en BBVA ni tengo interés. Muchas aplicaciones se pueden configurar para ignorar los errores de certificados, por ejemplo wget si le pasas el parámetro --no-check-certificate se comerá cualquier certificado.

V 1
K 28
misato
editado

#51 perdón? Cualquier app de Android puede detectar certificados SSL no válidos y por ejemplo no seguir ejecutando nada, mostrar un warning o lo que sea.
De hecho puedes como en la propia web de development de Android hablan de ello: http://developer.android.com/training/articles/security-ssl.html
También puedes no aceptarlos por defecto cambiando parámetros en el manifest, como dicen en esta respuesta de StackOverflow: http://stackoverflow.com/questions/2012497/accepting-a-certificate-for-https-on-android
De hecho como he dicho antes, yo hago una app para un banco grande y es lo primero que se hace en la app, comprobar que el certificado es válido.

Si a ti te la pela la seguridad que te pueda dar una app de un banco, bien. A mi no me gustaría que NADIE pudiera ver mis contraseñas para poder hacer una transferencia o lo que sea por internet.
Creo que toda seguridad es poca en algo tan sensible como datos bancarios. Nosotros ofuscamos el código, encriptamos la base de datos temporal(que guarda mientras la app está activa la lista de movimientos y cuentas, cuando no usas la app durante 5min, te desloga y se borra. También ocurre si cierras la app, obviamente), se verifican los certificados, además nunca se mandan los datos sensibles en texto plano y no recuerdo qué mas cosas se le metieron a la app. Sólo por si acaso pasa algo.

V 4
K 53
NuTTyX

#50 Según el texto del artículo "ya que el usuario ha podido instalar en su teléfono móvil el certificado del atacante así que todas las comunicaciones quedarían expuestas".
Sobre #21, no dice que no haya añadido estos certificados autofirmados manualmente a través de los ajustes de iOS, sólo "que se están fiando de un CA que no es el suyo".

V 2
K 18
ann_pe

#56 Lo dice en #16 #17 y #18 , tienes razón en que en artículo no se entiende muy bien.

V 0
K 11
NuTTyX

#59 He decidido hacer una prueba de concepto para ver si verdaderamente es como dice el autor del artículo.
Con un proxy interceptando SSL y una CA autofirmada, da error al iniciar la conexión SSL y no deja continuar.
Levantando un servidor suplantando el del BVVA y realizando DNS spoofing, el mismo comportamiento.

Conclusión: si no añades CA al móvil, la aplicación no te deja continuar ni envía un sólo dato.

Para mi gusto, igual de segura que cualquier navegador de cualquier dispositivo.

V 3
K 26
ann_pe
editado

#60 Si lo has probado entonces tendrás razón. O quizá han arreglado la aplicación al ver el post en menéame lol

V 3
K 54
n

#60 y #47 si es como decis, entonces al app no es vulnerable y el post es directamente falso e incorrecto.
En el post no da a entender que hay que cambiarse la CA.
Coincido en que cifrar otra vez es un absurdo con con que este https bien implementado es suficiente.

V 2
K -4
misato

#62 Claro que sí hombre, implementar más seguridad en una aplicación de PAGOS es tontería lol

V 2
K 37
ann_pe
editado

#63 Según entiendo con mis conocimientos básicos del tema, si como dice #60 hace falta tener una CA ¿o un certificado? corrupto previamente instalado en el teléfono la aplicación tendría la misma seguridad que cualquier navegador ¿no? pero está claro que la aplicación puede tener más seguridad llevando el certificado embebido o comprobando que la CA es tal y no es otra, una seguridad extra que no les cuesta nada de implementar y que puede evitar muchos problemas.

V 0
K 11
NuTTyX

#64 Como ya dije en #47, "utilizando su propio almacén de CAs de confianza mejoraría bastante la seguridad", ya que el control de las CA pasaría del usuario del dispositivo al desarrollador.

No obstante la situación actual de la aplicación no es ni mucho menos como para dedicarle un post alarmista en el que no se explica claramente los requisitos previos (instalar una CA autofirmada en iOS, lo cual es un acto que pide confirmación y saltan advertencias de seguridad, y si es un móvil de empresa NO deja instalarla) y se tergiversa la realidad (texto plano es cuando NO hay SSL y en las capturas se aprecian siempre URL con https, y en ningún momento se indica que sin el requisito previo la aplicación NO envía ni un sólo dato)

V 1
K 13
ann_pe

#66 Bueno no sé si alarmista es el post o los lectores (yo me incluyo), el post no aclara como hace todo el proceso y eso nos a confundido un poco, pero el post sigue siendo interesante.

V 1
K 28
n

#63 Todo lo que se añada suma, pero si ya estas cifrando con un método, mas vale que cifrar bien con ese método, y no cifrar con dos y los dos mal.

V 0
K 6
kobecaf

#60 Hola, yo también he probado con varios proxies ssl y nada, sin instalar el certificado fake en el móvil esto no rula... El post da a entender que directamente interceptando el tráfico ssl con un certificado falso se ve todo y no es cierto. Es alarmista y confuso en mi opinión.

V 0
K 7
bringer

#47 Bravo a tu comentario en lo concerniente a los programadores. Cualquiera que se dedique (o se haya dedicado) al tema de la consultoría informática en España, sabrá que el programador, que con suerte anda cobrando 24K, es el último mono. A veces incluso, le habrán reportado ese problema al Jefe de Proyecto de turno, pero al final, el equipo de trabajo suele ser una barco en la tormenta creada por el comercial de turno.

Es más, me jugaría el cuello a que han echado mas horas que la puerta para poder cumplir con "los compromisos" adquiridos por el comercial/gerente/[inserte aquí al tocapelotas de turno]

V 1
K 15
anterior siguiente