Seguimiento por TLS: Como las empresas rastrean en la Web

[CulturaTecno]

 

Seguimiento de TLS a través de la Web

La mayoría de los usuarios saben que se les puede rastrear a través de las cookies, por lo que algunos los eliminan o usan los "modos privados" de sus navegadores, que no almacenan cookies de sesión. Sin embargo, en los últimos años, debido a que los navegadores continúan implementando nuevas funciones avanzadas, han aparecido nuevas capacidades de seguimiento, como las huellas dactilares del navegador y ahora también el seguimiento TLS.

Cuando se realiza una conexión TLS entre la computadora del usuario y el servidor del sitio web visitado, se intercambia cierta información relacionada con el cifrado, que se puede reutilizar la próxima vez que el mismo visitante acuda al sitio. Debido a que esta información es exclusiva de ese usuario, el proveedor de servicios o un rastreador de terceros puede reconocer y luego rastrear al usuario a través de la web.

Los investigadores de la Universidad de Hamburgo también revelaron que el tiempo de vida predeterminado para la reanudación de la sesión TLS en la mayoría de los navegadores es de hasta ocho días. Lo que esto significa en la práctica es que dos tercios de los usuarios de Internet pueden ser rastreados permanentemente a través de estas sesiones TLS.

El peligro está asociado principalmente con rastreadores de terceros, como Google, que interactúan con los usuarios a través de muchos nombres de host. Los investigadores notaron que el servicio de rastreo de Google está presente en el 80 por ciento de los sitios en la lista de los un millón de sitios principales de Alexa.

Los investigadores también advirtieron que en el caso de las reanudaciones de 0-RTT (viaje de ida y vuelta) cuando se usa TLS 1.3, no se puede admitir el secreto hacia adelante, lo que también reduce la seguridad de las comunicaciones.

 

Contramedidas contra el seguimiento de TLS

La mejor manera de luchar contra esta forma de seguimiento TLS es presionar a los navegadores para que la deshabiliten por completo (especialmente para los servicios de seguimiento de terceros) o al menos permitir que los usuarios la deshabiliten manualmente. El navegador Tor es uno de los navegadores que deshabilita el seguimiento TLS de forma predeterminada.

Sobre la base de la evidencia empírica que los investigadores han recopilado, recomendaron que la duración de la reanudación de la sesión de TLS debería ser de 10 minutos como máximo, no de siete días como se recomienda actualmente para la última versión de TLS (1.3).

 

[tomshardware.com]