Claves, cookies y tarjetas del navegador

Un navegador guarda tres cosas que le importan a un ladrón. Las claves guardadas, para que el usuario no las escriba. Las cookies de sesión, que le dicen a cada sitio «esta persona ya entró» y evitan pedir la clave en cada página. Y los datos de autorrelleno, entre ellos el número de una tarjeta y su vencimiento.

El segundo factor se pide al iniciar sesión. Una cookie de sesión es lo que queda después de ese paso: quien la presenta ya aparece como autenticado, y el sitio no vuelve a preguntar hasta que la cookie caduque o alguien la revoque. Por eso un segundo factor protege muy bien contra una clave robada y mucho menos contra una sesión robada.

La validez de una cookie es el tiempo que le queda al ladrón para usarla. Los sitios que mueven dinero suelen dejarla en horas o en un día; otros la dejan semanas para no molestar al usuario. Dos sitios con la misma protección de entrada pueden ofrecer ventanas de abuso muy distintas.

Lee inventario.csv. Mira solo las filas de cookie de sesión y el sitio con segundo factor activado cuya cookie sigue vigente más días: ese es el que, con segundo factor y todo, deja la ventana más larga.

Una clave guardada en un sitio sin segundo factor es la peor combinación: quien la lee del perfil entra sin más. No importa si la cookie caducó; la clave sigue sirviendo hasta que se cambie. Contar cuántas hay da la medida del trabajo inmediato de rotación y, a la larga, de lo que conviene proteger mejor.

La fila de una clave guardada dice, en mfa_en_el_sitio, si ese sitio exige segundo factor. La fila de una cookie o de una tarjeta no cuenta aquí.

Se piensa que cambiar la contraseña expulsa a quien tenga la sesión abierta. Algunos sitios lo hacen: al cambiar la clave invalidan las sesiones anteriores. Otros no: la cookie sigue valiendo y el ladrón sigue dentro aunque la clave nueva sea impecable. Quien responde a un incidente tiene que saber de cada sitio cuál es el caso, porque en los segundos hay que pedir el cierre de sesiones por separado.

El inventario trae una columna para eso: cierra_sesiones_al_cambiar_clave.

Los datos de tarjeta guardados en un navegador se leen como cualquier otro dato del perfil. Lo que importa es qué parte de la tarjeta salió: el número y el vencimiento permiten ciertos pagos; el código de seguridad, cuando no se guarda, hace más difícil usarla pero no la vuelve inofensiva, porque algunos comercios no lo piden. Una tarjeta cuyos datos salieron se repone, no se vigila y se espera.

Las notas-del-informe.txt dicen qué guardaba el autorrelleno de esta tarjeta, sin mostrar el número completo.