Sigue El lado del mal en Telegram
Chema Alonso en Threads
Chema Alonso en Mastodon
Chema Alonso en BSKY
Chema Alonso en Linkedin
DragonJAR
8.8 Chile
Ekoparty
e-Hack MX 
AREA 51 
Comunidad Dojo Panamá 
ARPAHE SOLUTIONS 
Bing y la no existencia de búsquedas privadas bajo HTTPs
Las búsquedas que una persona realiza en un lugar como Google o Bing pueden afectar seriamente a su privacidad, por lo que desde hace ya tiempo se reclamó que estas pudieran hacerse bajo una conexión cifrada para evitar inspecciones de red por terceros, que ya es suficiente con que los buscadores tengan bien catalogada la huella digital de nuestra conexión. Google lo puso y es posible buscar bajo una conexión cifrada con HTTP-s con un certificado de validación extendida. Bien.
 |
| Figura 1: Certificado de www.google.es |
En el caso de Bing me ha sorprendido ver que a día de hoy aún no está así. Haciendo alguna prueba de hacking con buscadores usando un poco Bing Hacking quise probar bajo una conexión segura, y lo primero que salió fue un certificado de Akamai y la alerta de que el certificado no pertenece a ese nombre de dominio.
 |
| Figura 2: Alerta al solicitar una conexión https://www.bing.com |
El problema es que Bing tiene un frontal en Akamai y el certificado digital que hay en esa dirección IP no está creado para el nombre de dominio de Bing, con lo que los navegadores generan la alerta de seguridad. Aún aceptando usar ese certificado digital como "confiable", lo cierto es que el servicio Bing no se ofrece por HTTPs, así que vuelve a una página con conexión HTTP y deja desprotegidas las búsquedas que se realicen en el servicio. Mal.
Saludos Malignos!
3 comentarios:
Bien Chema, bien. Para que luego venga algún "iluminado" y te tache de imparcial. Zassss, en toda la boca!
Chema como bien dices en el artículo, el sitio www.bing.com tiene un frontal en Akamai, el cual proveerá contenidos a través de su infraestructura CDN, pero BING soporta búsquedas HTTPS desde el navegador y a través de la API desde hace ya algún tiempo.
Si se accede al sitio https://bing.com (Nótese la falta de www) y se observa con detalle el certificado, éste tiene configurada la extensión subjectAltName, y que a través de la cual comprobarás que éste tiene valores asociados al propio certificado. Entre los diferentes nombres encontrados se pueden ver los siguientes:
DNS Name=ieonline.microsoft.com
DNS Name=*.bing.com
DNS Name=*.windowssearch.com
Por lo que si hacéis una búsqueda a través de la siguiente URL:
https://www.windowssearch.com
TODAS vuestras búsquedas se realizarán de manera cifrada.
Salu2!
@Silverhack, gran aporte friend }:))
Publicar un comentario