La seguridad web es demasiado difícil

Artículo original ↗ Discusión en Hacker News ↗

El lanzamiento por parte de Cloudflare de un nuevo producto “Cloudflare Wallet” en el dominio separado cloudflare.pay generó preocupación porque parecía indistinguible de un sitio de phishing, lo que pone de relieve cómo las decisiones de dominio impulsadas por el marketing pueden socavar las normas de seguridad. Los comentaristas sostienen que los incentivos organizativos, la burocracia para crear subdominios oficiales y la proliferación de dominios de terceros o desechables contribuyen a un ecosistema en el que los usuarios no pueden distinguir de forma fiable los servicios legítimos de las estafas. La conversación se amplía hacia críticas a los chatbots de soporte deficientes, a los modelos heredados de seguridad web y a la creciente dificultad de establecer una identidad en línea confiable.

Dominios de marketing y confusión con phishing

  • Muchos ven usar cloudflare.pay en lugar de un subdominio de cloudflare.com como indistinguible de una campaña de phishing.
  • Los comentaristas enumeran patrones anti-diseño similares en toda la industria (bancos, envíos, encuestas por email, sitios de listados de apps) donde dominios de terceros o fuera de marca normalizan una UX parecida a la de las estafas.
  • Algunos argumentan que esto es un fallo recurrente de “marketing vs seguridad”: campañas que eluden los dominios, la marca y las rutas de navegación establecidos.

Proceso organizacional, subdominios y compensaciones de seguridad

  • Varios especulan que los controles internos hacen que añadir un subdominio en cloudflare.com sea lento y burocrático, empujando a los equipos a comprar nuevos dominios en su lugar.
  • Otros responden que esa disfunción organizativa es precisamente el problema que hay que corregir, no rodearlo con nuevos TLD.
  • Hay debate sobre las diferencias de seguridad entre subdominios y dominios separados:
    • Los subdominios pueden heredar cookies y suponer un riesgo adicional.
    • Pero los dominios separados pueden olvidarse, caducar o ser más opacos para la supervisión interna y para los usuarios.

Chatbots de IA y calidad del soporte

  • El chatbot del producto negando la existencia de la nueva wallet se usa para criticar el “soporte con IA” que no está conectado al conocimiento real del producto.
  • Algunos dicen que esto simplemente reemplaza a un soporte humano igual de mal informado y con pocos recursos; otros insisten en que incluso un soporte humano barato suele enterarse de los lanzamientos importantes más rápido.
  • Los chatbots se describen como una forma de recortar costes, agradar a inversores y cada vez más como una “señal social” (como lo fueron antes los carruseles), a menudo con poca utilidad real.

Seguridad web, identidad y la web moderna

  • Varios argumentan que el problema central es la identidad digital: cada vez es más difícil saber quién está detrás de un sitio o un mensaje.
  • Hay un debate lateral sobre si la “web como plataforma de aplicaciones” y JavaScript empeoraron la seguridad, o si fueron una evolución necesaria para miles de millones de usuarios.
  • Varios lectores admiten que al principio asumieron que el sitio de la wallet era una estafa, y luego se dieron cuenta de que era legítimo, algo que se ve como una prueba del punto del artículo.

Reputación de Cloudflare y certificados

  • Los comentaristas expresan decepción porque una empresa con marca de seguridad haya lanzado algo que parece phishing desde el primer día.
  • Otros señalan que contratar talento de primer nivel o proporcionar infraestructura no garantiza decisiones morales ni una buena UX.
  • El examen de TLS y WHOIS muestra solo certificados validados por dominio con información del propietario redactada, así que los certificados hacen poco para ayudar a los usuarios a conectar cloudflare.pay con cloudflare.com.