Contaminación de parámetros Http

Ya habíamos hablado del tema de la contaminación de parámetros Http (polución, decían) en Contaminación de parámetros HTTP (HPP), PAPAS: ¿Somos vulnerables a la polución de parámetros HTTP? y Polución de parámetros del protocolo HTTP.
Esencialmente, se trataba de añadir parámetros extra en las peticiones que, dependiendo del servidor y la aplicación podían utilizarse para obtener algún beneficio.

En [PDF] Http Parameter contamination, vemos cómo se puede llevar el tema por otro camino: aprovechar la forma en que interpretan los servidores web determinados caracteres para saltarse los cortafuegos de aplicaciones. Por ejemplo, algunos servidores y configuraciones cambiarían el caracter “]” por el carácter “_”.

Uno no puede fiarse de nada.

Sobre las cookies

En HTTP cookies, or how not to design protocols un repaso histórico de la evolución de las especificaciones relativas a las cookies, ese mecanismo que utilizan los navegadores para que sea posible desarrollar aplicaciones web al añadir al protocolo HTTP la posibilidad de gestionar el estado, y por lo tanto relacionar entre sí varias peticiones consecutivas de páginas web.

Se centra en los problemas que las diferentes versiones de la especificación han podido causar.

Verificado por Visa y MasterCard: cómo no hacer las cosas

No conocía el programa MasterCard SecureCode o Verified by Visa.

Pero me parece interesante la lectura de Verified by Visa and MasterCard SecureCode: or, How Not to Design Authentication (pdf) donde cuenta un buen número de cosas que pueden hacerse (y se han hecho) mal. También el debate eterno de la seguridad y la economía (en el sentido de dónde se ponen los incentivos).