Etiquetanic

Nuevas vulnerabilidades en NIC Chile

nicq

En el post anterior vimos la rápida reacción del equipo de desarrollo de NIC Chile al corregir una falla que permitía modificar información del perfil de cualquier usuario.

Nuevamente dieron respuesta a dos nuevas vulnerabilidades, de las cuales solo aceptaron y solucionaron una, argumentando que la otra era una funcionalidad que ellos habian implementado.

Las vulnerabilidades detectadas y reportadas permitian marcar como leidos los mensajes o notificaciones que recibia un usuario de manera arbitraria y la otra permite realizar ataques de fuerza bruta para enumerar cuentas de usuario.

Seguir leyendo

Nuevo sitio web de NIC Chile permite modificar información de otros usuarios

NIC Chile lanzó una nueva versión de su sitio web. Entre las mejoras está la opción de crearse una cuenta y administrar desde esa cuenta los dominios que se van registrando.

Luego de un simple y rapido analisis, pude detectar que el sitio web no cumple con los estandares minimos de seguridad, permitiendo a usuarios modificar información de terceros.

Seguir leyendo

Proyecto de ley para la protección de datos “privados”

delitos informaticos

En Chile lanzaron un proyecto de ley para la protección de datos personales, luego de diversos hackeos ocurridos, donde se “publicó” información de millones de chilenos desde sistemas de información del servicio electoral y junaeb, entre otros. Lo que quieren hacer con éste proyecto de ley, es “aumentar las sanciones a quienes resulten responsables” y “entregarles las facultades a las distintas entidades afectadas para que puedan dar garantías“. Irónicamente, la ley sólo protegerá a quienes hagan mal su trabajo y no a los afectados, las entidades públicas que no sepan proteger la información privada de las personas, tendrán ahora una ayuda desde el gobierno para que nadie pueda hacer públicas sus fallas y, por ende, las personas afecetadas jamás sabrán que sus datos son públicos.

Una de las preguntas que me hago es ¿Si son privados los datos, entonces por qué son de acceso público?
Existen muchas entidades públicas y privadas que simplemente no protegen la información, formularios sin captchas, acceso a información mediante el RUT o con usuarios y password basadas en el rut. Para los que no saben, el RUT cumple con un patrón y generar millones y millones de RUT es tan fácil como sumar dos números.

Seguir leyendo

Obtención automatizada de información en NIC Chile

NIC Chile es la entidad encargada de la gestión de dominios .cl, a cargo de la Universidad de Chile. Actualmente, para realizar la compra de un dominio es necesario entregar una serie de información personal como el rut, nombre, dirección, ciudad, entre otros. Es obvio que esos datos ingresados quedan almacenados en algún lugar y lo que tambien es obvio, acceder a dicha información de una u otra forma.

NIC ha puesto a disposición de todos nosotros algunos datos de esas personas, de manera tal que podamos hacer la relación rut-nombre. La forma en que NIC facilita el registro de dominios es que, al escribir el rut del registrante, automáticamente rellena los campos del nombre de la persona, sin verificación ni ningún tipo de validación.

Seguir leyendo