Dominio principal
Seguridad
En la faceta Dominio principal, los análisis de Seguridad se agrupan por dominio principal para que los lectores puedan seguir un área concreta de la infraestructura de Internet, la gobernanza, los mercados de conectividad o el capital digital. La página reúne artículos relacionados, evidencia pública, instituciones, empresas, personas, exposición regional, dependencias operativas y contexto de mercado que de otro modo aparecerían en páginas de categoría separadas. Explica el dominio, la clase probable de actor, el contexto de mercado o de gobernanza y el material de origen que los lectores deben usar al comparar señales. Operadores, analistas y lectores de gobernanza pueden ver cómo el mismo dominio aparece en eventos, perfiles, cambios de mercado, evidencia de fuentes públicas, dependencias regionales y decisiones de infraestructura de ciclos más largos a lo largo del tiempo.
IETF
Aaron Parecki y el BFF que frena el robo de tokens, no el secuestro del cliente
Un token que nunca entra en JavaScript no puede ser extraído desde JavaScript. La mejora es decisiva, pero no responde qué puede ordenar un programa hostil mientras comparte origen y sesión con la aplicación. RFC 10017 separa ambas preguntas y obliga a auditar el BFF como…
IETF
Hannes Tschofenig y el identificador de autoridad que no firmó el token
En una cadena de atestación, saber qué clave aprobó un componente no revela qué clave firmó la evidencia que lo describe. RFC 10013 obliga a conservar esa distancia y niega la salida cómoda: si faltan las reglas del perfil, el consumidor no puede inventarlas.
Expediente
La envoltura reconoce la evidencia, pero no une el dispositivo: RFC 9999 y la autoridad en una colección de atestación
Una colección puede reunir informes firmados de la CPU, la SmartNIC y la GPU, atravesar una API y llegar intacta al verificador. Nada de eso demuestra por sí solo que los tres informes pertenezcan al mismo equipo. RFC 9999 ofrece una gramática portátil para mensajes RATS; la…
Expediente
La solicitud conservó su firma. El certificado pudo cambiar: RFC 10002 y la autoridad dentro de CMC
Una firma válida no convierte toda la cadena de matriculación en una sola decisión. RFC 10002 permite conservar la petición original, delegar pruebas en una autoridad de registro, introducir cambios mediante capas externas y dejar que la autoridad de certificación aplique su…
Expediente
El token nunca llegó a JavaScript. La orden sí pasó: RFC 10017 y la autoridad OAuth en el navegador
Una aplicación puede superar la revisión de custodia de tokens y fallar la revisión de autoridad. RFC 10017 explica por qué: un Backend for Frontend reduce radicalmente lo que el código del navegador puede robar, pero sigue ofreciendo a ese código un camino autenticado para pedir…
Expediente
El incidente empezó en un generador que los dos algoritmos compartían
RFC 10024 permite que TLS 1.3 combine una clave tradicional y otra poscuántica con reglas exactas. La investigación de un fallo, sin embargo, debe seguir la entropía, el proceso y el punto de terminación: el nombre híbrido no convierte una dependencia común en dos defensas.
Expediente
El componente pasó la prueba. El equipo aún no tenía permiso
RFC 10013 permite describir de forma interoperable qué componente se midió y qué valor produjo. La prueba puede ser auténtica y reciente sin responder quién confía en ella, con qué política y para autorizar exactamente qué acción.
Expediente
La MFA funcionó y el atacante recibió el token: RFC 10027 ante el contexto que nadie autenticó
El incidente puede empezar con una llamada convincente y terminar con todos los controles en verde. La persona entra en el dominio legítimo, supera una MFA resistente al phishing y acepta una solicitud real. El fallo está antes de ese momento: nadie demostró que la pantalla que…
Historias
ARIN abrió cuentas para máquinas, pero su manual aún solo reconoce usuarios individuales
El cambio de julio resuelve una barrera concreta: un sistema automatizado ya puede tener una cuenta no humana en ARIN. Sin embargo, las instrucciones públicas siguen diciendo que todas las cuentas deben usar correo individual, que cada cuenta corresponde a un POC personal y que…
Expediente
El token estaba ligado a una clave. La acción seguía sin permiso: DPoP y la autoridad de restringir al emisor
DPoP impide que copiar un token OAuth baste para trasladar su uso a cualquier cliente. No convierte la clave en identidad, el token en consentimiento ni una prueba válida en autorización para alterar un recurso en su estado actual.
Expediente
La firma pasó la prueba; la orden no tenía permiso: HTTP Message Signatures y la autoridad de lo cubierto
RFC 9421 permite demostrar qué partes de un mensaje HTTP quedaron vinculadas a una clave. El resultado no convierte por sí solo al firmante en dueño de la operación ni protege los componentes que el perfil decidió omitir.
Expediente
El servidor que no guardó nada: SYN cookies y admisión sin estado
Antes de que un cliente demuestre que puede oír la respuesta, un servidor TCP ya suele haber apartado memoria para él. Un SYN cookie pospone esa promesa: convierte el número de secuencia del SYN-ACK en un recibo compacto y solo crea la conexión cuando el tercer paquete lo…
Expediente
La clave instalada dos veces: KRACK y el poder de una retransmisión
La fiabilidad de una red inalámbrica exige repetir mensajes perdidos. KRACK demostró que esa repetición tenía una autoridad oculta: algunas implementaciones tomaban una copia válida del mensaje como permiso para volver a instalar una clave activa y rebobinar su estado de…
Expediente
El fallo que elegía el cifrado: POODLE y la autoridad escondida en el repliegue
Una negociación TLS fallida no demostraba que el servidor fuera antiguo. Solo demostraba que un intento no había funcionado. El mecanismo de compatibilidad convirtió ese dato incompleto en permiso para bajar de versión, y POODLE enseñó que un atacante situado en el camino podía…
Expediente
La cabecera que acabó siendo programa: Shellshock y la autoridad del entorno
Shellshock unió dos decisiones corrientes hasta producir un poder extraordinario: CGI trasladaba datos de la petición al entorno del proceso y Bash podía leer una forma especial de esos datos como función ejecutable. La vulnerabilidad enseña a auditar lo que nace entre…
Expediente
Diez minutos para demostrar que un parche no es una instalación
SQL Slammer no sorprendió porque faltara una corrección. La corrección llevaba meses publicada. Lo que el 25 de enero de 2003 dejó al descubierto fue otra carencia: nadie podía convertir una oferta de reparación en un hecho operativo dentro de miles de sistemas administrados por…
Expediente
La dirección prestada: memcached y el coste de fingir quién pidió la respuesta
El atacante no necesitó una red de 1,35 Tbps. Necesitó que pequeñas redes aceptaran una mentira sobre la dirección de origen y que miles de cachés contestaran a esa mentira con mucho más tráfico del recibido.
Expediente
La respuesta que ganó la carrera: Kaminsky, el DNS y la entropía detrás de la confianza
El paquete falso no necesitaba demostrar autoridad. Le bastaba con encajar en una consulta pendiente y llegar antes que la respuesta legítima. La crisis de 2008 convirtió ese criterio de aceptación en una carrera renovable y obligó a distinguir entre encarecer una mentira y…
Expediente
La regla que conquistó el borde antes de revelar su coste: el apagón WAF de Cloudflare
Una regla de seguridad puede acertar al decidir qué bloquear y, aun así, ser inadmisible para producción: Cloudflare descubrió en 2019 que el coste de obtener la respuesta también forma parte de la autoridad concedida al cambio.
Expediente
La página que tomó prestada la memoria de otro cliente: la frontera que reveló Cloudbleed
Una página malformada activaba el fallo, pero los bytes expuestos podían pertenecer a un cliente completamente ajeno; Cloudbleed separó el acto de cerrar una fuga del trabajo de retirar lo que ya había cruzado el límite.