Una falla de seguridad histórica en el servicio de mensajería ICQ, que se remonta a 1998, ha resurgido en la discusión como un ejemplo notable de las vulnerabilidades en la infraestructura temprana de internet. El problema principal involucraba un desbordamiento de búfer en el lado del servidor, activado cuando un usuario enviaba una contraseña de nueve o más caracteres. Debido a que el sistema parecía tener un límite de ocho caracteres para las contraseñas, exceder esta longitud podría potencialmente permitir a un atacante eludir la autenticación o ejecutar código remoto en la infraestructura del servicio.
Los comentaristas en Hacker News discutieron las implicaciones técnicas de tales fallas, señalando que a finales de la década de 1990, las mitigaciones de seguridad modernas como los bits NX (No-Execute) y ASLR (Address Space Layout Randomization) no eran estándar. Esta falta de protección hacía que fuera teóricamente posible explotar desbordamientos de búfer más fácilmente, siempre que el atacante pudiera navegar por el sistema sin una fuga de información o de binarios. La discusión también abordó la falta general de verificación de la época; por ejemplo, algunos usuarios señalaron que ICQ ocasionalmente enviaba mensajes directamente entre pares sin verificar la identidad del remitente, lo que permitía la suplantación de los números de cuenta de otros usuarios.
Más allá del desbordamiento específico de ICQ, la conversación destacó tendencias de seguridad más amplias de la era, como el cifrado de contraseñas fácilmente reversible y las vulnerabilidades en servicios competidores como AOL Instant Messenger (AIM). Por ejemplo, un comentarista señaló que el analizador HTML integrado de AIM sufría de errores de complejidad superlineal, lo que llevó a la creación de 'punters', herramientas diseñadas para explotar estas ineficiencias. Estos ejemplos históricos sirven como base para entender cómo los protocolos de mensajería instantánea temprana priorizaron la conectividad sobre una seguridad robusta, lo que dio lugar a un panorama donde el rastreo de tráfico no cifrado o la suplantación de identidades eran incidentes comunes antes de que los estándares modernos de cifrado se volvieran ubicuos.