Actualización de seguridad 1.3.3
Hemos cerrado un fallo que podía permitir a un sitio web leer datos que habías enmascarado en otro sitio. Lo encontramos en nuestra propia revisión y no tenemos constancia de ningún abuso.
Pongamos que esta mañana le pediste ayuda a ChatGPT con una carta sobre los cuidados de tu madre. Kamelo enmascaró su nombre como [PERSON_1] y guardó el real en la caja fuerte de tu dispositivo.
Desde la 1.3.0, esa caja fuerte se guarda por sitio. Lo que enmascaras en chatgpt.com solo se restaura en chatgpt.com. Esa es la promesa. Esta actualización corrige una forma de saltársela.
Qué fallaba
Las páginas web pueden contener marcos: pequeñas ventanas que muestran una página dentro de otra. La mayoría de los marcos tienen su propia dirección web. Algunos no, como un marco about:blank vacío o un marco srcdoc cuyo contenido escribe la propia página.
Kamelo no vinculaba esos marcos a ningún sitio, así que trataba todos los datos de tu caja fuerte como permitidos en ellos. Una página maliciosa podía colocar marcadores como [PERSON_1] en un marco así y obtener los valores reales.
Qué hemos corregido
Ahora esos marcos pertenecen a la página que los rodea. Un marco que Kamelo no puede ubicar no recibe nada.
Lo encontramos en nuestra propia revisión de seguridad. No tenemos constancia de ningún abuso.
Qué debes hacer
Asegúrate de tener Kamelo 1.3.3 o posterior. Tu navegador actualiza las extensiones por sí solo. Para comprobarlo, abre chrome://extensions (o edge://extensions), activa el modo de desarrollador y mira la versión que aparece bajo Kamelo.
Lo que viene después
Kamelo 1.4.0 va un paso más allá. Cada sitio web solo recibe su propia parte de la caja fuerte. La caja fuerte completa, y la clave de una caja fuerte bloqueada, se quedan dentro de Kamelo, fuera del alcance de cualquier sitio web, incluso de uno que haya sido hackeado.
Encontrar fallos y cerrarlos es parte del trabajo, y por eso nuestro código es abierto. ¿Has encontrado algo tú? Cuéntanoslo en privado.
Actualiza y sigue como siempre.