Esta semana se ha descubierto que la aplicación de Contraseñas de Apple presentaba una seria vulnerabilidad desde el lanzamiento del sistema operativo iOS 18. Lo más llamativo de todo, es que los investigadores de seguridad de Mysk reportaron este problema. Problema que no fue parcheado hasta 3 meses después con el lanzamiento de la actualización iOS 18.2.

Imagina que tienes una tienda online y deseas proponer un descuento especial a cualquier usuario que abra tu email durante las primeras 24 horas. La primera opción es la manual, es decir, comprobar las estadísticas de los emails regularmente y enviar el código de descuento a quienes hayan abierto tu mensaje. No suena muy rápido, ¿verdad? La segunda opción es automatizarlo con webhooks, que enviarán el descuento a cualquiera que abra tu email.

La limitación de velocidad es una estrategia para limitar el tráfico de red. Pone un tope a la frecuencia con la que alguien puede repetir una acción en un determinado marco de tiempo, por ejemplo, intentar iniciar sesión en una cuenta. La limitación de velocidad puede ayudar a detener ciertos tipos de actividades de bots maliciosos. También puede reducir la presión sobre los servidores web. Sin embargo, la limitación de velocidad no es una solución completa para gestionar la actividad de los bots.

Google Chrome bloqueará los certificados TLS emitidos por Entrust y AffirmTrust (esta última propiedad de Entrust desde 2016). La compañía de Mountain View dice que busca proteger a sus usuarios y que este movimiento se debe a que Entrust se ha visto envuelto en una serie de incidentes que "han erosionado la confianza en su competencia, fiabilidad e integridad como propietario de CA de confianza pública".

 Mantener la seguridad y privacidad cuando navegamos por Internet podemos decir que es algo fundamental. Utilizar protocolos como HTTPS, que llegó para hacer más seguro el anterior HTTP

 SSL no se ha actualizado desde el SSL 3.0 en 1996 y, hoy en día, se considera que está obsoleto. TLS reemplaza el protocolo de capa de conectores seguros (SSL) que ya no se utiliza. La capa de conexión segura (TLS) garantiza las comunicaciones cifradas entre un cliente y un servidor web a través de HTTPS. 

Se ha publicado una vulnerabilidad en Apache 2.4.49 que se está reproduciendo de forma activa por actores maliciosos. Es una nueva vulnerabilidad crítica de Path Traversal afecta sólo en esa versión de Apache. La misma es identificada como CVE-2021-41773.

Hoy, jueves 30 de septiembre de 2021, el certificado raíz que Let's Encrypt está utilizando actualmente, el certificado IdentTrust DST Root CA X3, caduca. Todos los certificados que impulsan HTTPS en la web son emitidos por una CA (Entidad Certificadora), una organización de confianza reconocida por su dispositivo / sistema operativo. Se estima que el 30% de los teléfonos con Android podrían quedar afectados.

Un grupo de investigadores de varias universidades de Alemania, los cuales ha desarrollado un nuevo método de ataque MITM contra HTTPS, que permite extraer cookies con ID de sesión y otros datos sensibles, así como ejecutar código JavaScript arbitrario en el contexto de otro sitio. El ataque se llama ALPACA y se puede aplicar a servidores TLS que implementan diferentes protocolos de capa de aplicación (HTTPS, SFTP, SMTP, IMAP, POP3), pero usan certificados TLS comunes. El ataque permitiría redirigir el tráfico del navegador a un servicio diferente con el fin de acceder o exfiltrar información sensible.