Escenario — la app de los conductores de Araucaria

5 tareas · 55 min · Principiante

Escenario del módulo. Otra empresa y otra revisión: Transportes Araucaria reparte una app a sus conductores y quiere saber qué de las comunicaciones de la versión 4.2.0 debe arreglar primero. En la carpeta están el contrato de alcance, el resumen de saludos, las configuraciones de seguridad de red de Android y de iOS, el calendario de certificados, la salida de un analizador estático y el resumen de una captura. Nada de lo que viste en Guarumo resuelve esto: los hosts, las fechas y los números son otros. No hay paso a paso: cruza el contrato con lo observado, lee cada configuración contra lo que realmente se publica, calcula el plazo y decide qué abre el informe. Todo es evidencia guardada; no se conecta a ningún servidor.

0 de 5 · 0%

Objetivo de la sala

El resumen de saludos trae cuatro destinos. El contrato dice cuáles son servicios de la empresa y cuáles opera un proveedor. Aunque un destino tenga problemas evidentes, si queda fuera del alcance no se prueba ni se le exige corrección: se anota como observación y se avisa por escrito a quien contrató la revisión.

Responde para continuar

Escribe el host que el contrato deja fuera del alcance y cuyo certificado aparece vencido en el resumen de saludos.

El analizador estático marca con severidad alta un componente que acepta cualquier nombre de host sin comprobarlo. Antes de pesarlo hay que mirar de dónde viene. Un hallazgo se redacta con el nombre exacto del archivo, para que el equipo sepa dónde actuar.

Responde para continuar

Escribe el nombre del archivo, sin la carpeta, donde el analizador detecta el verificador de nombre que siempre acepta.

La configuración de Android permite el tráfico en claro para un dominio concreto, y la de iOS declara una excepción para el mismo. Una excepción en las dos plataformas indica que el equipo la pidió a propósito y no que se le haya escapado a una.

Responde para continuar

Escribe el dominio para el que las dos plataformas permiten el tráfico sin cifrar.

La API de la app lleva fijado un certificado de hoja, con un único pin y sin respaldo. El calendario da su fecha de vencimiento y la de renovación, que es manual y con clave nueva. Cuántos días quedan desde el corte decide si hay margen para publicar una versión corregida antes de que la app pierda la conexión con su API.

Responde para continuar

¿Cuántos días faltan, desde el corte, para que venza el certificado fijado de la API? Escribe solo el número.

Tienes cuatro cosas sobre la mesa: un verificador que acepta cualquier nombre, un dominio con tráfico sin cifrar que lleva una credencial de sesión en la captura, un certificado fijado que vence con plazo y un host de un proveedor fuera del alcance. El informe se ordena por lo que ocurre hoy con los usuarios reales y por lo que un tercero puede hacer, y cada hallazgo se cuenta solo si llega a la versión que se publica.

Responde para continuar

¿Con qué hallazgo abre el informe de Araucaria?

El verificador que acepta cualquier nombre, porque es la única severidad alta del analizador El host del proveedor con certificado vencido, porque es el único con una versión de TLS retirada El tráfico sin cifrar con credencial de sesión: ya ocurre en la versión publicada

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que no es tuyo revisar Lab

2 Un verificador que acepta cualquier nombre Lab

3 El dominio que habla sin cifrar Lab

4 Cuánto falta Lab

5 Qué abre el informe Lab

Whoami-Labs Pro utiliza cookies