Cómo el mal uso de cookies puede afectar a privacidad de datos
Introducción
Ud. probablemente conoce a cookies en términos de esas ventanas emergentes en páginas web, notificándole aceptar cookies. La mayoría de usuarios hace clic “aceptar” para que la ventana desaparezca y que puedan seguir con su sesión de navegación. No pasa nada, ¿verdad? Pues, la verdad es mientras cookies se han hecho esenciales para navegar por internet, también se las pueden utilizar para explotar privacidad de usuarios. Los ciberatacantes usan cookies para espiar actividades de usuarios y para inyectar los virus a sitios web.
¿Qué son cookies?
Desafortunadamente, las cookies de internet no tienen nada que ver con los dulces. Las cookies de internet (también conocidas como HTTP cookies, cookies de navegación, o web cookies) son piezas pequeñas de datos usadas por la red a identificar un dispositivo particular. Específicamente, cookies guardadas en navegadores web pueden ser utilizadas a identificar usuarios individuales y mejorar sus actividades de navegación.
Se puede resumir el proceso de crear y guardar cookies por las siguientes 3 etapas:
Cuando usuarios visitan un sitio web específico, sus dispositivos guardarán datos como cookies y les asignarán una identificación única que es una pareja “name value.”
Después de que usuarios acepten cookies en ese sitio web, el servidor web manda las cookies al navegador, lo cual guarda la pareja “name value” de identificación.
Finalmente, cuando usuarios regresan al sitio particular, el navegador devolverá los datos al servidor web para recuperar la información de sesiones anteriores.
Este proceso permite que cookies de internet personalicen y guarden información. Páginas web primariamente utilizan cookies para publicidad apuntada. Sin embargo, estos datos almancenados también pueden ser útiles por guardar información de acceso así que usuarios no tengan que escribir sus contraseñas durante cada visita al sitio web.
Neutralidad en la red
En julio de 2021, el presidente estadounidense Joe Bien firmó una orden ejecutiva que implementó regulaciones nuevas antimonopolios. Entre las 72 acciones y recomendaciones era un esfuerzo restaurar reglas de neutralidad en la red dentro del sector técnico nacional. Neutralidad en la red se base en el principio que todos los proveedores del internet necesitan tratar información de manera igual. El propósito subyacente de esta neutralidad es prevenir que proveedores de internet no favorezcan ni prioricen algunos datos entregados a sus consumidores.
Las cookies pueden servir como manera legítima de evitar restricciones de neutralidad en la red y personalizar contenido de web para usuarios. Es decir, cookies permiten que proveedores de internet obtengan consentimiento de usuarios a customizar y personalizar contenido de web sin violar regulaciones de neutralidad en la red. Se inicia esta relación de confianza entre usuarios, aplicaciones, y proveedores de internet por la aceptación o rechazo de cookies. Idealmente, los usuarios si mismos iniciarían esta confianza mutua. Sin embargo, la realidad desafortunada es que criminales han comenzado a utilizar cookies de internet como manera de explotar vulnerabilidades de usuarios.
El mal uso criminal y violaciones de privacidad
Puesto que cookies guardan datos de usuarios y su historia de navegación, los cibercriminales pueden comprometer esta información. Atacantes pueden robar las cookies y autenticarse a una sesión web. Los sitios web que utilicen HTTP desencriptado para comunicarse son particularmente vulnerables a estos tipos de ataques. Abajo son algunos ejemplos de las maneras en que se pueden usar cookies a explotar privacidad de usuarios:
Man-in-the-middle (MITM): Ataques de MITM son una forma de interceptar datos de cookies y otra información transmitida sobre el internet. Esta información interceptada entonces puede ser usada para acciones fraudulentes, como robo de identidad.
Envenenamiento de DNS: Esto involucra obtener el control del servidor de nombres de dominio (DNS) para realizar modificaciones en la información. Servidores de DNS guardan direcciones IP públicas (por ejemplo, 8.8.8.8) y sus nombres de host correspondientes (por ejemplo, www.google.com) para dirigir navegadores web a encontrar sitios específicos. Infectar a la caché del servidor puede resultar que los ciberatacantes redirijan usuarios a un sitio malicioso y roben sus datos de cookies del navegador web.
Cross-site request forgery (XSRF): Es un tipo de ataque en lo cual un atacante puede acceder datos de autenticación guardados por cookies para solicitar o hacer cambios en una página web. Por ejemplo, el actor malicioso puede usar credenciales guardadas en cookies para acceder el perfil bancario del usuario y autorizar transferencias de fondos.
Cookies de terceros: Muchas cookies de internet son propias, que significa que fueron creadas por la propia página web que estamos visitando. Por lo tanto, las cookies propias son relativamente seguras. Por otro lado, cookies de terceros son generadas por proveedores externos a la web. Esto puede ser considerado como problema de privacidad cuando estas cookies de terceros permiten vendedores a monitorear la historia de navegación de usuarios.
Cómo proteger a su propia privacidad
Entonces, ¿cómo pueden los usuarios protegerse sin sacrificar la eficaz de su navegación por internet? Aunque remover cookies en los parámetros de su navegador siempre es una opción, esto puede complicar la disponibilidad de ciertas páginas web. Por ejemplo, sin cookies, tendría que escribir su contraseña de Netflix cada vez y Amazon no podría guardar productos que en el carro de compra.
Para lograr una experiencia de navegación web que es segura y conveniente, considere las siguientes prácticas:
Siempre utilice cifrado mientras está navegando por internet. Como ya mencionado, muchos ataques que explotan datos de cookies pasan por sesiones HTTP desencriptadas. Una manera efectiva de mitigar esto es utilizar cifrado SSL/TLS (HTTPS), que se indica siempre por un “https” al principio de dirección URL o una imagen de cerradura en la ventana del navegador. También otras opciones seguras incluyen usar conexión VPN o Google Chrome Incognito, que no guardarán datos de cookies directamente en el dispositivo local del usuario.
Limpie sus cookies frecuentemente. Para los usuarios que eligen aceptar a cookies en sus navegadores, es recomendado que limpien sus cookies de manera regular. Datos de cookies pueden acumular dentro del sistema y causar problemas en sitios web. Limpiar cookies en el navegador web puede afrontar a estos problemas y asegure que un nivel fijo de datos esté controlado.
Tenga cuidado al aceptar cookies en un sitio web. Por causa de esas ventanas emergentes mencionadas que preguntan a usuarios a aceptar o rechazar cookies, es posible controlar cuales sitios web tienen acceso a sus datos.
Jamás guarde datos de cookies a un dispositivo público. Cuando navega por internet desde cualquier dispositivo que no es lo suyo, es inseguro guardar datos (como nombres y contraseñas) en navegadores. Antes de terminar una sesión por un dispositivo público, asegúrese que todas las cookies de internet se hayan sido eliminadas y que no guarde sus cuentas.
Approved for Public Release; Distribution Unlimited. Public Release Case Number 22-0522. The author's affiliation with The MITRE Corporation is provided for identification purposes only, and is not intended to convey or imply MITRE's concurrence with, or support for, the positions, opinions, or viewpoints expressed by the author.'©2022 The MITRE Corporation. ALL RIGHTS RESERVED.