HTTPS para el login

También necesitas HTTPS para la búsqueda avanzada?

hilo_conexion-cifrada-en-cv-o-en-eol_1417151

Hay hay un lio entre los MPs y el SSL, asi que por mucho que hubiese buscado por titulo poco habria salido, y si busco en mensajes salen direcciones web del Market de Android

Sobre lo que dice melado que hay que pagar, no es cierto: hace poco recibi un correo de la INTECO donde hablaban del tema, y habian dos paginas donde emitian certificados gratuitos totalmente funcionales y firmados

Si melado dice que lo puede hacer buscaria el correo en cuestion donde salia

Estás obsesionado con la seguridad.

socram8888 escribió:hace poco recibi un correo de la INTECO donde hablaban del tema, y habian dos paginas donde emitian certificados gratuitos totalmente funcionales y firmados

Yo la unica que me suena de gratis es esta:

http://cert.startcom.org/?lang=es&app=100

Y nunca la he probado...

firewire escribió:Estás obsesionado con la seguridad.

Din del hilo

¿Quién tendría el mínimo interes en robarte tu socramcuenta?

Él mismo para probar agujeros de seguridad probablemente

firewire escribió:Estás obsesionado con la seguridad.

No es que me roben la cuenta, es que la contraseña la gasto para bastantes más cosas. Y además no veo qué tiene de malo buscar la mayor seguridad posible. ¿Tiene algo malo?

Y sobre robar la cuenta, mira la de manologod2. ¿Quién la querría? Pues no lo sé, pero consiguió tocar las narices

textp

No he dicho que gaste la misma contraseña para todo, pero de las ocho (que gasto según la confianza y la importancia del sitio) que tengo tienen que repetirse sí o sí en algún sitio u otro, y si cae la de EOL caerían unos 5 sitios más donde estoy

EDIT: Y claro, a ver luego cómo demuestras que una IP como la que tú estabas conectado ha iniciado sesión con normalidad en tu cuenta y ha empezado a trolear

socram8888 escribió:

firewire escribió:Estás obsesionado con la seguridad.

No es que me roben la cuenta, es que la contraseña la gasto para bastantes más cosas. Y además no veo qué tiene de malo buscar la mayor seguridad posible. ¿Tiene algo malo?

Y sobre robar la cuenta, mira la de manologod2. ¿Quién la querría? Pues no lo sé, pero consiguió tocar las narices

No he dicho lo contrario, me parece bien la máxima seguridad posible en sitios como este, pero eso no quita que no estés obsesionado con la seguridad.

firewire escribió:

socram8888 escribió:

firewire escribió:Estás obsesionado con la seguridad.

No es que me roben la cuenta, es que la contraseña la gasto para bastantes más cosas. Y además no veo qué tiene de malo buscar la mayor seguridad posible. ¿Tiene algo malo?

Y sobre robar la cuenta, mira la de manologod2. ¿Quién la querría? Pues no lo sé, pero consiguió tocar las narices

No he dicho lo contrario, me parece bien la máxima seguridad posible en sitios como este, pero eso no quita que no estés obsesionado con la seguridad.

Si lo dices en uno hilo que trata sobre poner HTTPS das a entender que piensas que quiero gastar HTTPS porque soy un obseso de la seguridad

socram8888 escribió:No es que me roben la cuenta, es que la contraseña la gasto para bastantes más cosas

Ah, entonces hemos encontrado la raíz del problema. Usa una contraseña única y listo.

Y además no veo qué tiene de malo buscar la mayor seguridad posible. ¿Tiene algo malo?

No. Estaría bien, para poder usar EOL en redes públicas sin miedo. La cosa es que como digo en el hilo que citan, no tengo mucha idea del tema, y no está en mis manos hacerlo, así que queda ahí como sugerencia.

De todas formas, ponerlo sólo para el login sería inútil. La cookie se transmitiría luego en texto plano siendo igual de vulnerable. Así que, o se pone para todo, o no se pone para nada.

Y sobre robar la cuenta, mira la de manologod2. ¿Quién la querría? Pues no lo sé, pero consiguió tocar las narices

¿Y crees que usar SSL le hubiese servido de algo?

melado escribió:Ah, entonces hemos encontrado la raíz del problema. Usa una contraseña única y listo.

No puedo ir gastando una clave única para los más de treinta sitios que frecuento, y otros tantos que tengo cuenta aunque no gaste

melado escribió:No. Estaría bien, para poder usar EOL en redes públicas sin miedo. La cosa es que como digo en el hilo que citan, no tengo mucha idea del tema, y no está en mis manos hacerlo, así que queda ahí como sugerencia.

De todas formas, ponerlo sólo para el login sería inútil. La cookie se transmitiría luego en texto plano siendo igual de vulnerable. Así que, o se pone para todo, o no se pone para nada.

Cierto, pero entonces sería tan fácil como darle a "Cerrar sesión" cuando te desconectes y listo. De la otra forma pueden volver a iniciar sesión donde y cuando les de la gana.

Google, eBay, Yahoo, FurAffinity, etc... gastan este método, y por lo que sé es bastante más seguro

melado escribió:¿Y crees que usar SSL le hubiese servido de algo?

Hombre, gastando SSL hubiese imposibilitado el uso de sniffers y MitM, con lo cual si ese fue el motivo, no habrían podido hacer nada

socram8888 escribió:No puedo ir gastando una clave única para los más de treinta sitios que frecuento, y otros tantos que tengo cuenta aunque no gaste

Las contraseñas deben ser únicas, aleatorias, y con suficiente entropía. Tener un puñado de contraseñas e ir repitiéndolas en varios sitios es un error del que te arrepentirás tarde o temprano. Hay utilidades para manejar el tema, Lastpass, 1password, keepass...

melado escribió:sería tan fácil como darle a "Cerrar sesión" cuando te desconectes y listo

Tan fácil como poner una contraseña única

melado escribió:Hombre, gastando SSL hubiese imposibilitado el uso de sniffers y MitM, con lo cual si ese fue el motivo, no habrían podido hacer nada

Usar sniffers y hacer un MitM está muy bien en teoría, pero si tu contraseña es "password" en 50 sitios, nadie se va a molestar en montar semejante tinglado para robarte tu cuenta. Lo que quiero decir es que la seguridad es como una cadena en la que 99% de las veces se rompe por culpa del eslabón más débil: el usuario. Si tú utilizas la misma contraseña en 50 sitios, no tiene ningún sentido que sugieras utilizar HTTPS para mejorar la seguridad.

Con esto no quiero decir que sea una mala idea, ojo.

Por supuesto que hay aplicaciones, pero a ver dónde encuentras una aplicación compatible con Android, Windows, Linux, DSi, Wii, PSP, etc... y en general todos los dispositivos donde pueda conectarme a Internet, que es el problema que tienen estas aplicaciones

En sitios importantes como Gmail, eBay o Paypal gasto contraseñas únicas, pero no puedo ir memorizándome más de 50 contraseñas distintas para cada sitio en el que me conecte

Da igual si gastas dos mil contraseñas una por sitio, si alguien se aburre y se dedica a hacer sniffing en tu red, te puede sacar la contraseña en cuestión de segundos, y más si es un hotspot donde hay aplicaciones como Firesheep que cualquiera puede gastar

socram8888 escribió:Por supuesto que hay aplicaciones, pero a ver dónde encuentras una aplicación compatible con Android, Windows, Linux, DSi, Wii, PSP, etc... y en general todos los dispositivos donde pueda conectarme a Internet, que es el problema que tienen estas aplicaciones

Keepass tiene versiones para Android, Windows, Linux, iOS, J2ME, Blackberry y PalmOS. LastPass para unos cuantos dispositivos más, aunque ninguno es la Wii o la PSP: no creo que permitan ejecutar una aplicación a la vez que el navegador. SuperGenPass está basado en web y sí sería compatible con cualquier dispositivo con acceso a la web.

Da igual si gastas dos mil contraseñas una por sitio, si alguien se aburre y se dedica a hacer sniffing en tu red, te puede sacar la contraseña en cuestión de segundos

Claro que da igual, pero prefiero que me roben una cuenta a que me roben todas. De todas formas, si estoy en una red pública, yo no me conecto a nada que valore mínimamente.

melado escribió:La cosa es que como digo en el hilo que citan, no tengo mucha idea del tema, y no está en mis manos hacerlo, así que queda ahí como sugerencia.

Ale socram, a jugar a la pelota.