[LACNIC/Seguridad] Nuevos TLD y el phishing

[Eduardo A. Suárez]

Quoting Carlos P <charly_en_el_trabajo en yahoo.com>:

> En (2), como que se le puede pedir a un usuario que no caiga, pero   
> en (1) no hay manera, no tengo criterio.

Habría que hacer una campaña similar a la que hizo la FTC hace unos años:

"Detente - Piensa - Pregunta"

Si logramos que los usuarios no hagan click de una y pregunten si algo  
les parece raro avanzaríamos mucho.

> ¿Empeora esto la situación?, me parece que si. Aunque es más de lo   
> mismo, un cambio en la cantidad tan grande produce un cambio en la   
> calidad del problema.

no empeora demasiado porque no es un problema técnico sino humano. Los  
usuarios "caen" en los engaños con los pocos dominios que teníamos  
hasta ahora. Más dominios solo aumenta el conjunto de dominios de los  
cuales se puede valer un criminal.

> Algo parecido a spf y que un dominio XXXX.tld solo pueda ser   
> autorizado por XXXX.com, tipo jerarquizar los TLD.

Es similar a SPF o a DKIM ADSP/ATSP.

> Quizás utilizando un plugin que se conecte a un proveedor que   
> compruebe por otro canal, pero DNS spoofing y MITM podrian afectarlo  
>  o al menos interrumpirlo.

Los certificados hacen eso.


Eduardo.-

----------------------------------------------------------------
This message was sent using IMP, the Internet Messaging Program.