Barrapunto

Podemos leer en diarioti.com lo siguiente:

"Internet Explorer 7 comunicará a Microsoft las URL visitadas por el usuario

(02/09/2005 12:43 EST): La próxima versión de Internet Explorer enviará todas las direcciones de Internet digitadas por los usuarios a Microsoft con el fin de “controlar si se trata de sitios de phishing”.

DIARIO TI: Internet Explorer 7 enviará a Microsoft información sobre cada sitio visitado por los usuarios del navegador. Según Microsoft, esta función permitirá detectar sitios dedicados al fraude en línea conocido como phishing.

La información ha sido proporcionada por Rob Franco, director de la división seguridad de Internet Explorer. (Osea, que la cosa es seria).

Al contrario que otros productos anti-spyware, donde sus distribuidores periódicamente elaboran listas de sitios malignos y con base en esa lista actualizan su software, el proyectado filtro anti-phishing de Microsoft realizará un control en tiempo real. De esa forma, la dirección digitada por el usuario será enviada a Microsoft, que comparará esa dirección con su base de datos de phishing en el momento mismo en que termina de ser digitada en el navegador.

Según el blog de Rob Franco, ya no es suficiente enviar al PC del usuario una lista actualizada de sitios dedicados al phishing, debido a que los estafadores en línea crean nuevos sitios prácticamente cada hora. Por tal razón, la lista anti-phishing queda obsoleta en unas pocas horas. De igual modo, para Microsoft supondría un gran desafío infraestructural si todos los usuarios de Internet Explorer se conectaran simultáneamente para descargar una lista de sitios malignos.

La sola idea de que todas las direcciones digitadas por los usuarios de IE sean enviadas a Microsoft motivará sin duda alguna reticencias en muchos usuarios. Por tal razón, Microsoft se apresura a asegurar que “siempre será posible desactivar la función anti-phishing”. De igual modo, recalca que la información será enviada por conducto de una conexión SSL cifrada y que la información sensitiva será filtrada.

Finalmente, se indica que Internet Explorer 7 incorporará una lista “known-safe”, o reconocidamente segura. Los sitios que aparezcan en la lista no serán controlados por la función anti-phishing."

Este Windows Vista empieza a dar asquito. Me pregunto...¿merece la pena instalarse este Windows, meterle tropecientos parches y cracks (eso sin contar los parches y actualizaciones de seguridad oficiales de M$) para hacer lo mismo que hacías con el XP?

Si fuera poseedor de PC, preferiría volver a Ms-DOS antes que instalar un "Vista" de esos...

Al leer esto pensé que estaba delante de un hoax... pero un poquito de google me llevó hasta aquí [msdn.com].

MS es consciente de que ese sistema pueda levantar suspicacias (qué listos que son!). Por ello dicen que no recogeran las URL completas, sino sólo la parte de dirección, sin los query parameters. De esa forma dicen que no podrán capturar datos personales de los usuarios. Pos fale.

Me pregunto por qué no usan simplemente un hash. Si envían un hash no invertible y lo usan para comparar con su lista de URLs malvadas no tendrán forma de seguir la navegación de un usuario. Si lo hicieran así y publicaran de forma abierta el protocolo de comunicacione correspondiente, sería posible para los analistas de seguridad "certificar" que efectivamente el sistema antiphishing no captura la información de navegación. Todo el mundo estaría más tranquilo. MS ganaría (o recuperaría) un poco de confianza de sus usuarios.

Espera... dije "abierta"? Hablando de MS? Hmmmm... en qué estaría yo pensando ;)