Fugas de información entre sitios

Estas fugas, que la comunidad documenta como XS-Leaks y OWASP trata en una hoja de referencia propia, no leen datos: los infieren. Si una ruta del portal responde distinto según quién la pide (un código de estado, un número de marcos, un tiempo), una página de otro sitio que provoque esa petición con la sesión de la persona puede notar la diferencia sin ver la respuesta. Cada observación da poco, casi siempre un sí o un no, pero ese sí o no puede ser muy sensible: «esta persona está buscando empleo en tal empresa».

Dos condiciones las hacen posibles: que la petición desde otro sitio lleve la sesión, y que la respuesta varíe de forma observable según el estado de la persona.

La señal más barata es el resultado de cargar un recurso: el navegador le dice a la página que lo incrusta si cargó o si falló, aunque no le deje ver su contenido. Una ruta que devuelve una imagen cuando hay sesión y una redirección a una página HTML cuando no la hay convierte ese evento en un detector de sesión.

Abre reporte-investigador.txt y respuestas-por-estado.txt.

Las defensas actúan en sitios distintos. SameSite=Lax o Strict en la cookie de sesión hace que las peticiones incrustadas desde otro sitio lleguen sin sesión, pero Lax deja pasar la navegación de nivel superior por GET. Una política de aislamiento de recursos en el servidor, basada en las cabeceras Sec-Fetch-*, rechaza lo que llega de otro sitio y no es una navegación, y por diseño deja pasar las navegaciones para que los enlaces sigan funcionando. Lo que se observa a través de una ventana abierta, como el número de marcos, solo lo corta COOP, que separa la ventana nueva de la que la abrió.

Lee cómo provoca el investigador cada observación y si es un recurso incrustado o una navegación.

Hoy la cookie de sesión viaja en toda petición desde cualquier sitio. El equipo lo justificó con un uso legítimo, pero conviene comprobar si ese uso necesita de verdad el valor que eligió. SameSite decide por sitio, no por origen: dos subdominios del mismo dominio registrable son el mismo sitio, y entre ellos Lax y Strict no cortan nada. Abre configuracion-actual.txt.

Ninguna defensa cierra las tres observaciones sola, y por eso se combinan. Además de las capas del navegador, la aplicación puede quitar la señal: que la búsqueda no pinte un marco por resultado y que la exportación se genere en segundo plano y responda siempre igual. Añadir ruido aleatorio a los tiempos no es una defensa fiable.