ProtegeTuOrdenador.com

Un investigador ha puesto de manifiesto los serios errores encontrados en el servicio de acortamiento de url´s para Twitter Bit.ly. Los errores encontrados son, principalmente, defectos graves de cross-site scripting (XSS).

Bit.ly es uno de los servicios de acortamiento de url´s más populares. El servicio se integra con Firefox y otras aplicaciones de terceros para Twitter y permite que los usuarios registrados puedan seguir el rastro de sus links acortados.

Raff puso énfasis en los errores XSS en la URL y en las vulnerabilidades en el campo del usuario en la página de login de Bit.ly y en el campo "content-type" de la URL de la página de información. Los errores, descubiertos por Mike Bailey y Mario Heiderich, han tardado casi un mes en ser corregidos por los desarrolladores de Bit.ly. El último parche fue distribuido ayer.

Los servicios de acortamiento de links están siendo el centro de atención de los ataques en los últimos meses. El mes pasado, un fallo en el servicio cli.gs redireccionó 2,2 millones de url´s a una única página web. Aunque la página no contenía código malicioso, el ataque puso de manifiesto las carencias en alguno de estos servicios.

Al menos eso es lo que afirman los expertos en seguridad Jakob Nielsen y en usabilidad Bruce Schneier. Según estos expertos, el enmascaramiento de las contraseñas no supone ninguna mejora de seguridad y hace los sitios web más difíciles de usar.

La mayoría de los sitios web que requieren contraseña permiten al usuario ver su nombre mientras lo teclea pero ocultan la contraseña con puntos o asteriscos, por lo que la contraseña no puede ser vista por otra persona que esté mirando la pantalla en ese momento.

“Es hora de mostrar las contraseñas en claro cuando el usuario las teclea”, afirma Nielsen en un post de su web. “Proporcionar información y visualizar el estado del sistema siempre han sido uno de los más elementales principios de usabilidad."

Nielsen es el guru más famoso en temas de usabilidad, abogando por contenido y sitios web adaptados a los estándares para que sean accesibles para todos los usuarios, incluidos aquellos que presentan alguna discapacidad.

Schneier, un renombrado experto en seguridad TI, apoya la afirmación de Nielsen de que el enmascaramiento no mejora la seguridad.

Nielsen afirma que sus investigaciones han demostrado que el enmascaramiento causa problemas a los usuarios. “Se ha demostrado que el enmascaramiento es un problema particularmente desagradable en nuestros test sobre dispositivos móviles, donde teclear es más difícil y los errores se vuelven más comunes. Pero el problema también existe para los usuarios de escritorio.”