Cuando el fallo de seguridad es que la ministra publique una foto en la que se ve la clave de acceso y el PIN en la URL

Pero como no va a publicarlo en Twitter? Estamos locos o qué?

Aki, de party con los colegas de la uni, para mis fologüers :x

A priori diría que no, simplemente el servidor abre la sesión de videollamada con los datos que el front end carga en la URL, cuando el servidor resuelve dicha URL, tiene entonces la # de la sesión y el PIN previamente introducido y sabe dónde colocarte.

Es una práctica bastante extendida, aunque podría ser mejor claro.

El principal problema que veo es que alguien se puede poner a probar # y PINs aleatorios hasta entrar en una sesión, es algo raro, pero por ejemplo hubo mucha polémica con Zoom en su momento porque muchas sesiones no tenían PIN y se podía acceder con total facilidad.

el presupuesto destinado a ello, fueron a parar a sus bolsillos.

Todo sea por la seguridad...

Los parámetros de la URL no son visibles con SSL ni con TLS porque esa parte de la petición se realiza tras el apretón de manos, por lo que esa petición se realiza encriptada. Otra cosa es que se vean en en navegador o que se puedan guardar en el historial, pero suponiendo que el pin tiene una vida corta no debería ser ningún problema de seguridad. Queda feo, sí, pero es lo mismo que cuando haces una solicitud del código de autorización a un servidor de autorización, que se envía como parámetro en la URL de la respuesta del servidor.

No sería necesario ocultar el pin en la URL porque, salvo el dominio, la ruta, los parámetros de ésta se encripta tras realizar el handshake de SSL/TLS. Eso sí, queda feo y al descubierto ante ojos indiscretos y usuarios poco precavidos. Ahora, si la conexión se realiza por http en lugar de https entonces sí tiene delito.

Tenia entendido que toda la cabecera de la ruta (dominio, ruta y parámetros query) se mantenía sin encriptar, si no ¿cómo gestionan a donde dirigir el tráfico los distintos routers y proxys que hay por la red?
De todas formas, como minimo todos esos parámetros se mantienenen en el historial del navegador, que con un usuario despistado sigue siendo una brecha de seguridad innecesaria si alguien tiene acceso a la máquina

Para encaminar un paquete a través de internet solamente es necesario el dominio. El navegador primero realiza la resolución DNS del dominio, abre una conexión segura con la IP del servidor, realiza el apretón de manos SSL/TLS y solo cuando se ha finalizado el intercambio de claves se hace la solicitud "GET /ruta/página.html?param1=valor&param2=valor2..." encriptada con la clave pública del certificado SSL del servidor. En efecto, esos datos pueden almacenarse en el historial, pero como decía, los pins deberían tener una vida corta.

De todas formas el "kilogramo" de "hacker" en Rusia está de saldo siempre XD

A nadie se cuela una contraseña en un GET.
Esto es cosa de un senior vengativo o de un junior recién incorporado al que le venía grande el la tarea y tuvo que recurrir a pasarse los parámetros por una url y optó por el GET porque es el único ejemplo que encontró y funcionaba xD

Muy bonito, pero nada que ver con esto. El mejor sistema de seguridad del mundo no deja la clave de acceso visible en pantalla continuamente.

Exacto.
En netflix hay un documental sobre la Casa blanca, y explican un caso como el ejemplo aque explicas.
En una fiesta que se dio en la casa blanca, se coló una pareja, que no estaban invitados y que nadie conocía, simplemente aparentando y actuando como si estuvieran invitados. Pasaron varios controles de seguridad pese a no aparecer en la lista de invitados.
Los responsables de seguridad alegaron que dieron por hecho que eran invitados, iban bien arreglados y con un buen coche, y los dejaron pasar.

Cuando se descubrió el pastel, dimisiones y despidos por doquier.