Domisfera

Gracias a Noel,  Domisfera procede a informar de un fallo de seguridad en la plataforma Sedo.

El bug consiste en que Sedo no está pasando vía url las contraseñas cifradas, es decir, que si alguien coge la dirección que aparece en la url, una vez logueado, y la manda a otra persona, ésta podrá acceder a su cuenta de usuario en Sedo. Sin necesidad de conocer el usuario y contraseña.

Esto podría ser un grave problema, si por ejemplo, alguien le manda las estadísticas a un tercero pegando el link que figurar en la url del navegador. O si alguien accede a un ordenador donde ha habido alguien conectado a Sedo, pues se pueden saber las urls a las que se ha tenido acceso (una oficina, un cyber…)

Por ejemplo, partamos de esta dirección:

http://www.sedo.com/member/index.php3?partnerid=&language=es&tologin_x=0&tologin_y=0&session=141325%
257d89f5a528441d5a5de6bbe74f486bc7

Si la desglosamos por líneas:

http://www.sedo.com/member/index.php3?partnerid=&language=es&tologin_x=0&tologin_y=0&session=
141325 
%25
7d89f5a528441d5a5de6bbe74f486bc7

Si analizamos las direcciones web de Sedo, lo que sale tras session= y antes del % es el identificador de usuario, 141325 en este
caso, y luego, salen 34 letras tras el % son dos dígitos fijos, y luego un hash md5, es decir, una cadena de variables resumidas mediante una
fórmula que devuelven 32 caracteres, y que a partir de ese hash o resumen cifrado, no se puede sacar las variables originales.

Es probable que el identificador de sesión sea una de las variables cifradas en ese hash md5, ya que si el que originalmente se logueó, el
dueño de la cuenta, o el que posteriormente accedió cierra la sesión, no podremos seguir entrando con ese enlace.

Por lo menos, cada vez que se inicia sesión el hash varía.

A diferencia de la compra de BulkRegister por eNom, Afternic mantendrá su plataforma actual, que no será fusionada con la de BuyDomains, empresa perteneciente también NameMedia.
Con todo, el equipo directivo previo de Afternic, Roger y Michael Collins seguirán dirigiendo la empresa como hasta ahora.

Leer el resto de este artículo ⇒

Como es de todos ya sabido, Sedo dispone de 2 tipos de subastas de dominios:

–  Cualquier cliente que reciba una oferta por un dominio, dispone de la posibilidad de poner dicho dominio en subasta, aceptando esta oferta como precio de reserva. Esto implica que tras la finalización de la subasta del dominio, éste  se venderá a la persona que haya realizado la puja más alta. Si una vez finalizada la subasta, el dominio no ha recibido ninguna puja superior al precio de reserva, éste se venderá a la persona que realizó la oferta que el vendedor aceptó como precio de reserva.

–   En caso de dominios de alta calidad (dominios Premium), Sedo permite a sus propietarios la posibilidad de ponerlos directamente a subasta, sin que sea necesario haber recibido previamente una oferta por ellos. En este caso, el precio de reserva se fijará entre el propietario del  dominio y una persona de Sedo.

A decir verdad, no tengo nada en contra de esta segunda modalidad de subastas de Sedo, no obstante, no me convencen nada nada las de primer tipo…

Desde mi punto de vista, veo que hay domainers que se pasan horas buscando entre el maremagnum de dominios de los escaparates de Sedo  y negociando precios de compra, para que luego venga el vendedor y tenga la posibilidad de vender por más dinero en subasta y a otra persona el dominio en cuestión.

Según Matt Bentley, Director Estratégico de Sedo: "Las subastas en línea son una transición natural para la industria de dominios, ya que aseguran la máxima exposición de los dominios para compradores potenciales, con lo que éstos acaban vendiéndose por su precio máximo de mercado”.  

Pero sin lugar a dudas, los máximos beneficiarios de esta política son Sedo, que cobra una comisión porcentual, y el vendedor del dominio que dispone de una posibilidad más de obtener más dinero. Pero… ¿qué pasa con los compradores de dominios?

Así la cosas, tenemos al comprador interesado en un dominio que es el que, además de haber hecho una oferta aceptable por éste, ve expectante como ese dominio -tras búsquedas y posibles negociaciones varias con el vendedor-  se pone en el disparadero y pasa a ser expuesto en subasta pública de Sedo, a la vista de todos. Pudiendo generar esta situación que, incluso el propio interesado inicial por el dominio, se vea empujado a tener que disputar y competir en subasta por conseguir dicho dominio, incluso teniendo que pagar más de lo inicialmente se había acordado si desea conseguirlo.

Pues qué quieren que les diga, no me parecen justas para los compradores de dominios este tipo de subastas.