Hotmail a riesgo a los ladrones de la galleta

Los usuarios de MSN Hotmail, guardan tus galletas. Una técnica simple para tener acceso al servicio del E-mail de Microsoft sin una contraseña está libremente en el salvaje y se explota al parecer.

El truco implica el capturar de una copia del archivo de las galletas del browser de la víctima. Una vez que el autor gane dos galletas dominantes de Hotmail, no hay manera de trabarlo hacia fuera porque en Hotmail, el triunfo de las galletas iguala contraseñas.

“Cuál es asustadizo sobre esto es que él tiene una vez tus galletas, ellas tienen tu cuenta por siempre. Aunque vosotros cambian tu contraseña, pueden inmóvil conseguir adentro,” dijo a Eric Glover, a nuevo - Jersey - programador basado que tenga un doctorado en de informática de la universidad de Michigan.

Glover lo dijo descubierto el problema de la galleta de Hotmail cuando el jefe anterior de un amigo comenzó a tener acceso a la cuenta de Hotmail del amigo -- y continuado utilizando la cuenta incluso después del amigacho cambió en varias ocasiones su contraseña.

Después de estudiar el proceso sign-on de Hotmail, Glover concluyó que el encargado snoopy había asido una copia de las galletas de Hotmail de la computadora del trabajo del amigo o de una cinta de reserva y las había estado utilizando probablemente digital para abrir su cuenta del correo del Web.

Los funcionarios de Microsoft dijeron jueves que el servicio de Hotmail ofrece a usuarios varias herramientas al límite qué los términos de la compañía “galleta-basados juegan de nuevo ataques” pero agregó que Microsoft “está mirando siempre maneras de proteger a usuarios más lejos, así como daros más control sobre su experiencia en línea.”

Los expertos de la seguridad, sin embargo, dijeron hoy que la vulnerabilidad de Hotmail expone los riesgos de confiar en las galletas del browser como las llaves digitales a los sitios de Internet.

Galletas, los ficheros de datos pequeños colocados en la computadora de un usuario del Internet cuando visitar Web site, se utiliza sobre todo para identificar a visitantes con el fin de modificar el contenido para requisitos particulares tal como publicidad. Pero muchos sitios, incluyendo Hotmail, también confían en las galletas para propósitos más serios de la autentificación.

Para tales sitios, la galleta es relacionada con una tarjeta de actividades bancarias de la atmósfera que también no requiera el sostenedor proporcionar una contraseña. Perder la “tarjeta” y puedes dar para arriba tu seguridad.

Las “galletas nunca fueron diseñadas para ser un mecanismo de la autentificación. Pero cualquier persona que intenta desplegar un uso del Web realmente no tiene hoy mucha opción,” dijo el orujo Slemko, experto Seattle-basado de la seguridad que ha descubierto previamente problemas galleta-relacionados de la seguridad en el servicio del pasaporte de Microsoft.

¿Sin el acceso físico a una PC, cómo grande un cañizo está robando las galletas de Hotmail? “Trivial,” dijo Slemko, que precisó hace años cómo los defectos scripting del cruz-sitio se pueden explotar para realizar ataques tales como sisar las galletas.

Cuál es más, los insectos de la seguridad en Internet Explorer hacen el robo de un usuario alejado de sus galletas de Hotmail un broche de presión, según Thor Larholm, un programador danés y un especialista de la seguridad que ha compilado una lista de los defectos del browser del IE, muchos de los cuales permiten el galleta-arrebatar de hazañas.

“Diría que las ocasiones cotidianas de un programador malévolo en con éxito robar las galletas de la blanco mienten entre muy fácil y fácil,” dije Larholm, observando que las galletas del browser son unencrypted almacenado y en una localización fija.

Según Slemko, la mayoría de los sitios que confían en las galletas para authenticar a usuarios -- incluyendo los bancos en línea, los corretajes, y los sitios del e-comercio -- diseñar típicamente el símbolo para expirar después de que los usuarios hayan sido entrados e inactivos por algunos minutos.

Pero en un esfuerzo evidente de alzar la conveniencia para sus usuarios, Hotmail permite que los usuarios hagan sus galletas de la autentificación prácticamente permanentes.

La historia continuó en la página 2 “