Para un proyecto en la universidad, he investigado todo tipo de problemas de seguridad, especialmente los relacionados con la privacidad, que han surgido en sistemas operativos y aplicaciones móviles en los últimos años.
Una de las infracciones más infames que he leído parece ser la vulnerabilidad de la política del mismo origen (SOP) que se descubrió en el navegador de stock de Android (AOSP) el año pasado. Sin embargo, cuanto más leo sobre este ataque, más me parece que los medios de comunicación simplemente han exagerado enormemente la gravedad de este problema, ya que el verdadero vector de ataque me parece bastante pequeño, al menos desde el punto de vista de la privacidad. Para resumir lo que he descubierto:
-
Hay un campo de encabezado HTTP llamado 'Cross-Frame-Options' que evita exactamente este tipo de ataque porque ni siquiera se puede abrir la página en cuestión dentro de un iframe. A juzgar por algunas investigaciones de Internet y pruebas prácticas, la mayoría de los marcos web establecen este encabezado al menos en "el mismo origen" por defecto, por no hablar de las grandes páginas críticas para la privacidad, como las redes sociales, los servicios bancarios en línea, etc.
-
Si MITM 'hizo la conexión y pudo eliminar el encabezado XFO, eso implicaría que la comunicación entre la víctima y el servidor no estaba encriptada y que simplemente podría robar las cookies de la sesión o documentar los datos directamente de todos modos.
-
También tuve la idea de eliminar una página insegura del encabezado de XFO, luego abrirla dentro de un iframe (por ejemplo, enlace ), luego pase el valor del campo document.cookie de JS al exterior, ya que, en teoría, también podría contener cookies seguras. Resulta que existe la propiedad 'httpOnly' para las cookies, que evita exactamente este tipo de abuso ...
Ahora sé que probablemente hay cientos de miles de sitios más pequeños que no implementan todas las medidas de seguridad anteriores o lo hacen incorrectamente, pero artículos como el que yo vinculé (y docenas de otros) declaran claramente que uno podría lea correos electrónicos de GMail o secuestre sesiones de Facebook con esta vulnerabilidad presente. ¿Estoy en lo cierto al suponer que los periodistas que escribieron estos artículos simplemente no lo pensaron todo, o me estoy perdiendo algo de información crítica?