Tienda Wifi

Tienda Wifi
CiudadWireless es la tienda Wifi recomendada por elhacker.NET

Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET

Suscripción

¿Quieres recibir las últimas novedades del blog en tu correo?

¡Suscríbete al feed!

Entradas populares

PostHeaderIcon Navegadores Chrome y Edge envían a la nube lo que escribes (incluso contraseñas) con la función del corrector mejorado


 Los datos que escribes en un formulario de Chrome/Edge pueden ser subidos a un servidor ajeno debido la función de corrección gramatical y usas la opción "Mostrar contraseña"

 


 

La mayoría de las veces que utilizamos algún servicio de corrección o traducción de texto en el navegador, el funcionamiento del mismo requiere que el texto original que se nos muestra sea remitido a servidores en la nube que se encargarán de analizarlo y devolvérnoslo debidamente corregido o traducido. Esto, por supuesto, constituye un potencial problema de privacidad, pues concede al servidor en cuestión información sobre las webs que visitamos y sobre qué clase de textos escribimos.

 Pero en Google Chrome y Microsoft Edge no sólo no ofrecen dicha funcionalidad offline (traducción sin usar la nube), sino que sus herramientas de corrección de texto pueden terminar exponiendo nuestra privacidad de manera mucho más directa: remitiendo nuestras contraseñas a los servidores de Google y Microsoft.


Las contraseñas suelen estar ocultas bajo una mascara cuando se teclean, pero a veces, al mostrarlas para corregirlas, en Chrome se envían a los servidores de Google o Microsoft sin que el usuario lo sepa.

Los investigadores de ciberseguridad de Otto-JS, el corrector ortográfico de Chrome y Edge (a grandes rasgos el mismo, pues el código del segundo se basa en el del primero) está enviando a la nube los datos identificativos que introducimos en los campos de formulario de las webs: nombre de usuario, correo electrónico, fecha de nacimiento, DNI......y, en el caso de que hagamos clic en 'Mostrar contraseña', en el mismo momento en que los asteriscos se convierten en texto, nuestras contraseñas también terminan subidas a un servidor, lejos de la seguridad de nuestro PC. 


 

En su web explicaban que sus pruebas demostraron que esto ocurría al iniciar sesión en plataformas tan relevantes como Office 365, Alibaba Cloud, Google Cloud, AWS Secrets Manager o LastPass, capaces de exponer la infraestructura digital de una empresa; también se hacen eco de que estas dos últimas plataformas ya han corregido el problema (basta con añadir un atributo 'spellcheck="false"' al código HTML de la página).

 

Revisión ortográfica básica
  • Chrome o tu sistema operativo proporcionan el corrector ortográfico.
  • El texto que escribes en el navegador no se envía a Google.
Revisión ortográfica mejorada
  • Este corrector ortográfico se usa en la Búsqueda de Google.
  • El texto que escribes en el navegador se envía a Google para mejorar las sugerencias ortográficas.
  • En algunos sistemas operativos, puedes actualizar las palabras personalizadas del diccionario del corrector ortográfico.

 


Sin embargo, como bien dicen en Mixx.io, "no hay motivo para que se ejecuten sobre este tipo de campos, tengan o no el atributo HTML spellcheck negativo".

spellcheck=false

Otto-JS recoge también en su web declaraciones de Christofer Hoff, director de Tecnología Segura de LastPass:

"Resulta desconcertante que los usuarios puedan estar exponiendo, sin darse cuenta, datos confidenciales sólo por habilitar funciones inocuas del navegador... sin entender que cualquier cosa que escriban, incluidas las contraseñas, podría resultar en que esos datos se envíen a terceros".

 

Fuentes:

https://www.otto-js.com/news/article/chrome-and-edge-enhanced-spellcheck-features-expose-pii-even-your-passwords

https://www.bleepingcomputer.com/news/security/google-microsoft-can-get-your-passwords-via-web-browsers-spellcheck/

https://www.genbeta.com/seguridad/cuidado-mostrar-contrasena-corrector-texto-chrome-edge-envia-a-nube-datos-privados-que-escribes-web


0 comentarios :

Publicar un comentario

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.