En HTTPS Data Exposure – GET vs POST un resumen rápido de la exposición de los datos que se transmiten mediante el protocolo cifrado https considerando GET, POST, si la conexión va cifrada o no y los diversos participantes en la transmisión y recepción.
Entradas etiquetadas internet
Nombres de ficheros y tráfico de datos
Curioso artículo en Thinking outside the box – Filenames and Web Optimization: esencialmente dice que las url’s también forman parte del tráfico web y que las que se utilizan ahora proporcionan mucha información pero también consumen recursos de manera innecesaria.
Es interesante y también es indudable que esos ahorros se pueden producir pero a mi en las cuentas me falta lo que eso representa frente al tráfico ‘relevante’ (el contenido de la página, vaya). Entiendo que siempre que sea posible y razonable deberíamos ahorrar pero complicarse mucho la vida para ahorrarse un 0.1% del tráfico seguramente no vaya a ninguna parte y convenga más concentrarse en otros ahorros. La regla (para mi, claro) sería: ahorrar primero donde más se pueda ganar, creo.
Bitácoras interesantes de programación (I)
Me pilla con el paso cambiado (por eso pongo el I, porque espero poner las mías próximamente) la entrada de leonidas en BarraPunto, ¿Qué bitácoras de programación lees?.
En los comentarios hay un buen montón de recomendaciones que vale la pena explorar (al menos conozco algunas de esas que yo también recomendaría).
Recogiendo información en la red
La presentación de Christian Martorella, A fresh new look into Information Gathering (pdf) donde da pistas e ideas sobre toda la información que se puede conseguir de alguien en la red me da pié a presentar otro trabajo que iba un poco más allá y que me resultó bastante interesante. Más allá de la inferencia en bases de datos, Jessica Staddon, Philippe Golle y Bryce Zimny hablaban de Web-Based Inference Detection (pdf): si nos llega un documento ofuscado, donde algunos datos ’sensibles’ han sido ocultados o suprimidos, es posible echar mano del amigo Google (o cualquier otro y alguno de sus complementos) para rellenar esos huecos con información libremente disponible en la red.
Aunque seamos anónimos y no haya documentos con partes ofuscadas, lo cierto es que, como contaba el otro día en El futuro ya está (casi) aquí ya hay servicios que son capaces de reunir, a partir del nombre de alguien, un ‘perfil’ internetero bastante completo.
‘Chuleta’ para la prevención de ‘Cross Site Scripting’
Del proyecto OWASP acabo de descubrir la XSS (Cross Site Scripting) Prevention Cheat Sheet, y a partir de ella el proyecto ESAPI, Enterprise Security API, que son un conjunto de clases y métodos que encapsulan las principales operaciones relacionadas con la seguridad (autentificación, identificación, validación, codificación, …).
