bUrPTest de privacidad en navegadores
A raíz de un post en Twitter, he descubierto una página muy interesante: PrivacyTests, donde de forma mensual, se realiza una batería de test sobre la la privacidad que ofrecen -o dejan de ofrecer- buena parte de los navegadores web más utilizados. Los resultados son más o menos los esperados:Chrome es un chiste, aún en modo “privado”.Edge es un chiste, aún en modo “privado”.Safari aguanta el tipo.Firefox muy bien, salvo en el tracking.La sorpresa, al menos en mi caso, proviene de dos navegad...
bUrPTodas en una: Element One
El para algunos viejo sueño -no es mi caso- de poder aunar WhatsApp, Signal y Telegram en una sola aplicación, ha visto por fin la luz de forma comercial de la mano de Element One. Basándose en la conocida implementación de Matrix; “Matrix es un estándar abierto para comunicaciones interoperables, descentralizadas y en tiempo real a través de IP. Se puede utilizar para potenciar la mensajería instantánea, la señalización de VoIP / WebRTC, la comunicación de Internet de las cosas, o en cualqui...
bUrPNavegadores Android: Brave vs Vivaldi y Firefox
Como comenté en la entrada Test de privacidad en navegadores, me acabo de descargar la versión Android de Brave y me he puesto a testearla en lo que yo personalmente, considero más importante. Tengo que decir que la idea original, era comprobar si Brave podía reemplazar a Vivaldi como navegador principal y a Firefox como navegador seguro o incluso a ambos. Spoiler: No puede. ¿Qué le falla a mi gusto para reemplazar a Vivaldi?No tiene traductor ni posibilidad de añadirlo.No hay forma de añadir...
Android ¬ Hard&Soft ¬ Redes ¬ Domótica ¬ Podcast y Opinión . +++ https://Burp.es +++
bUrPTest de privacidad en navegadores
A raíz de un post en Twitter, he descubierto una página muy interesante: PrivacyTests, donde de forma mensual, se realiza una batería de test sobre la la privacidad que ofrecen -o dejan de ofrecer- buena parte de los navegadores web más utilizados. Los resultados son más o menos los esperados:Chrome es un chiste, aún en modo “privado”.Edge es un chiste, aún en modo “privado”.Safari aguanta el tipo.Firefox muy bien, salvo en el tracking.La sorpresa, al menos en mi caso, proviene de dos navegad...
bUrPTodas en una: Element One
El para algunos viejo sueño -no es mi caso- de poder aunar WhatsApp, Signal y Telegram en una sola aplicación, ha visto por fin la luz de forma comercial de la mano de Element One. Basándose en la conocida implementación de Matrix; “Matrix es un estándar abierto para comunicaciones interoperables, descentralizadas y en tiempo real a través de IP. Se puede utilizar para potenciar la mensajería instantánea, la señalización de VoIP / WebRTC, la comunicación de Internet de las cosas, o en cualqui...
bUrPNavegadores Android: Brave vs Vivaldi y Firefox
Como comenté en la entrada Test de privacidad en navegadores, me acabo de descargar la versión Android de Brave y me he puesto a testearla en lo que yo personalmente, considero más importante. Tengo que decir que la idea original, era comprobar si Brave podía reemplazar a Vivaldi como navegador principal y a Firefox como navegador seguro o incluso a ambos. Spoiler: No puede. ¿Qué le falla a mi gusto para reemplazar a Vivaldi?No tiene traductor ni posibilidad de añadirlo.No hay forma de añadir...
Android ¬ Hard&Soft ¬ Redes ¬ Domótica ¬ Podcast y Opinión . +++ https://Burp.es +++
Subscribe to bUrP
Subscribe to bUrP
Share Dialog
Share Dialog
<100 subscribers
<100 subscribers
DNS (Domain Name Server) son las máquinas (servidores) encargados de traducir el nombre de una página web (https://burp.es) a la dirección Ip donde se encuentra alojada (172.21.180.155). Aquí más info al respecto.
Antes de entrar en el tema, vamos a valernos de la maravillosa Wikipedia para comentar como transita una conexión en internet desde que introducimos el nombre de la página web hasta donde ésta se encuentra alojada:
Conexión NO segura HTTP
Imagen extraída de wikipedia
2. Conexión segura HTTPS
Imagen extraída de wikipedia
En estos dos casos, segurizamos (2) o no segurizamos (1) el tráfico entre nuestro navegador y el servidor donde se aloja la página web. Pero ¿qué pasa con la primera petición al servidor?. Pues que dicha petición no está encriptada. Dicho de otra forma, nuestro IPS (proveedor de acceso a internet) puede saber:
A qué web nos conectamos.
Qué páginas vemos dentro de dicha web.
Y aquí es donde entra en juego el DoH (Dns over HTTSP) -> DNS segurizado.
Para ello, necesitamos que tanto nuestro Router como el servidor DNS que utilicemos soporten dicha conexión. Esto no es inconveniente alguno dado que hoy en día hay muchas opciones donde elegir; nosotros utilizaremos los de Cloudflare: 1.1.1.1 y 1.0.0.1.
Pero el DoH no soluciona el problema inicial, esto es: al acceder al hosting donde se encuentra alojada la web que queremos visitar, se produce una petición cliente->servidor (ClientHello) donde se comunican el tipo de cifrado que soporta nuestro navegador, un número de cliente, el SNI, etcétera. Por lo tanto y dado que en dicha primera petición es donde se establecerá la segurización, ésta a su vez, no está encriptada.
De vueltas de todo esto, nuestro ISP puede saber a qué web nos conectamos pero no lo que hacemos dentro de ella: lo que se contempla en la imagen 2. Conexión segura HTTPS* antes expuesta.*
Y aquí es donde entra en acción la posibilidad de usar eSNI (Encrypted Server Name Indication). Con él activado, incluso esa primera petición donde se comunican cliente->servidor está segurizada
3. Conexión DoH + eSNI
Imagen extraída de wikipedia
Fin de la historia. Pues no.
El problema final que presenta eSNI es que SÓLO funciona si está implementado en todo el proceso cliente->servidor. Esto significa que tanto nuestro navegador como el hosting donde se encuentra alojada la web deben soportar eSNI.
A nivel de hosting, debería ser el propietario de la página quien lo indicara (Burp.es mantiene dicha compatibilidad).
A nivel de navegador, Firefox lo soporta; desconozco si algún otro. Aunque en Enero de éste mismo año, Mozilla anunció que Firefox cambiaría eSNI por la mejor y más completa ECH.
DNS (Domain Name Server) son las máquinas (servidores) encargados de traducir el nombre de una página web (https://burp.es) a la dirección Ip donde se encuentra alojada (172.21.180.155). Aquí más info al respecto.
Antes de entrar en el tema, vamos a valernos de la maravillosa Wikipedia para comentar como transita una conexión en internet desde que introducimos el nombre de la página web hasta donde ésta se encuentra alojada:
Conexión NO segura HTTP
Imagen extraída de wikipedia
2. Conexión segura HTTPS
Imagen extraída de wikipedia
En estos dos casos, segurizamos (2) o no segurizamos (1) el tráfico entre nuestro navegador y el servidor donde se aloja la página web. Pero ¿qué pasa con la primera petición al servidor?. Pues que dicha petición no está encriptada. Dicho de otra forma, nuestro IPS (proveedor de acceso a internet) puede saber:
A qué web nos conectamos.
Qué páginas vemos dentro de dicha web.
Y aquí es donde entra en juego el DoH (Dns over HTTSP) -> DNS segurizado.
Para ello, necesitamos que tanto nuestro Router como el servidor DNS que utilicemos soporten dicha conexión. Esto no es inconveniente alguno dado que hoy en día hay muchas opciones donde elegir; nosotros utilizaremos los de Cloudflare: 1.1.1.1 y 1.0.0.1.
Pero el DoH no soluciona el problema inicial, esto es: al acceder al hosting donde se encuentra alojada la web que queremos visitar, se produce una petición cliente->servidor (ClientHello) donde se comunican el tipo de cifrado que soporta nuestro navegador, un número de cliente, el SNI, etcétera. Por lo tanto y dado que en dicha primera petición es donde se establecerá la segurización, ésta a su vez, no está encriptada.
De vueltas de todo esto, nuestro ISP puede saber a qué web nos conectamos pero no lo que hacemos dentro de ella: lo que se contempla en la imagen 2. Conexión segura HTTPS* antes expuesta.*
Y aquí es donde entra en acción la posibilidad de usar eSNI (Encrypted Server Name Indication). Con él activado, incluso esa primera petición donde se comunican cliente->servidor está segurizada
3. Conexión DoH + eSNI
Imagen extraída de wikipedia
Fin de la historia. Pues no.
El problema final que presenta eSNI es que SÓLO funciona si está implementado en todo el proceso cliente->servidor. Esto significa que tanto nuestro navegador como el hosting donde se encuentra alojada la web deben soportar eSNI.
A nivel de hosting, debería ser el propietario de la página quien lo indicara (Burp.es mantiene dicha compatibilidad).
A nivel de navegador, Firefox lo soporta; desconozco si algún otro. Aunque en Enero de éste mismo año, Mozilla anunció que Firefox cambiaría eSNI por la mejor y más completa ECH.
No activity yet