viernes, abril 26, 2013

Bing y la no existencia de búsquedas privadas bajo HTTPs

Las búsquedas que una persona realiza en un lugar como Google o Bing pueden afectar seriamente a su privacidad, por lo que desde hace ya tiempo se reclamó que estas pudieran hacerse bajo una conexión cifrada para evitar inspecciones de red por terceros, que ya es suficiente con que los buscadores tengan bien catalogada la huella digital de nuestra conexión. Google lo puso y es posible buscar bajo una conexión cifrada con HTTP-s con un certificado de validación extendida. Bien.

Figura 1: Certificado de www.google.es

En el caso de Bing me ha sorprendido ver que a día de hoy aún no está así. Haciendo alguna prueba de hacking con buscadores usando un poco Bing Hacking quise probar bajo una conexión segura, y lo primero que salió fue un certificado de Akamai y la alerta de que el certificado no pertenece a ese nombre de dominio.

Figura 2: Alerta al solicitar una conexión https://www.bing.com

El problema es que Bing tiene un frontal en Akamai y el certificado digital que hay en esa dirección IP no está creado para el nombre de dominio de Bing, con lo que los navegadores generan la alerta de seguridad. Aún aceptando usar ese certificado digital como "confiable", lo cierto es que el servicio Bing no se ofrece por HTTPs, así que vuelve a una página con conexión HTTP y deja desprotegidas las búsquedas que se realicen en el servicio. Mal.

Saludos Malignos!

3 comentarios:

masticover dijo...

Bien Chema, bien. Para que luego venga algún "iluminado" y te tache de imparcial. Zassss, en toda la boca!

silverhack dijo...

Chema como bien dices en el artículo, el sitio www.bing.com tiene un frontal en Akamai, el cual proveerá contenidos a través de su infraestructura CDN, pero BING soporta búsquedas HTTPS desde el navegador y a través de la API desde hace ya algún tiempo.
Si se accede al sitio https://bing.com (Nótese la falta de www) y se observa con detalle el certificado, éste tiene configurada la extensión subjectAltName, y que a través de la cual comprobarás que éste tiene valores asociados al propio certificado. Entre los diferentes nombres encontrados se pueden ver los siguientes:

DNS Name=ieonline.microsoft.com
DNS Name=*.bing.com
DNS Name=*.windowssearch.com

Por lo que si hacéis una búsqueda a través de la siguiente URL:

https://www.windowssearch.com

TODAS vuestras búsquedas se realizarán de manera cifrada.
Salu2!

Chema Alonso dijo...

@Silverhack, gran aporte friend }:))

Entrada destacada

10 maneras de sacarle el jugo a tu cuenta de @MyPublicInbox si eres un Perfil Público

Cuando doy una charla a algún amigo, conocido, o a un grupo de personas que quieren conocer MyPublicInbox , siempre se acaban sorprendiendo ...

Entradas populares