A rövidített linkek veszélyeztetik az Ön biztonságát?

Hirdetés

URL rövidítők Próbálja ki 10 különböző URL-rövidítőt, amelyek kiegészítő előnyeket nyújtanak ÖnnekCsak mennyire lehet rövidebb az egységes erőforrás-kereső? Nos, a rövidítési rendszer nagyjából egy tipikus munka, de úgy tűnik, hogy a trükk azokban az extrákban rejlik, amelyek a rövidítési szolgáltatással együtt járnak ... Olvass tovább mint a bit.ly, a goo.gl, a tinyurl és az ow.ly nagyszerűen megkönnyítik a linkek megosztását; nem kell igazán hosszú, csúnya URL-t beillesztenie egy csevegőablakba vagy e-mailbe, hogy segítsen valakinek megtalálni az utat az oldalra, amelyre meg akarja látogatni. Egy nemrégiben készült tanulmány azonban kimutatta, hogy ez a kényelem jelentős költségekkel járhat az Ön biztonsága szempontjából.

A tanulmány

18 hónap folyamán a Cornell Tech két kutatója megvizsgálta a rövidített URL-eket, amelyeket két különféle szolgáltatás hozott létre: a Microsoft OneDrive és a Google Maps. Mindkét szolgáltatás rövidített linkeket hoz létre a weboldalak megosztásához (a OneDrive ezeket használja a dokumentumokhoz való hozzáférés megosztására, a Google Maps pedig az útmutatások vagy helyek megosztására).

Az ezekben a rövidített linkekben szereplő karakterek kis száma miatt a kutatók brutális erőszakos támadással tudtak találni rövidített URL-eket, amelyek a tényleges dokumentumokhoz kapcsolódtak. A kutatók 100 000 000 bit.ly URL-t elemeztek véletlenszerűen választott hat karakterből álló tokenekkel (például „1maQ2JZ”). Az összes jogkivonat 42% -a valódi teljes URL-re oldódott, és közel 19.500 a OneDrive dokumentumokhoz vezette.

A kutatók szinte 24 000 000 élő linket találtak a goo.gl/maps által korábban használt öt karakterből álló tokenek beolvasásakor is, amelyeknek körülbelül 10% -a vezetési útmutatásokhoz készült.

Elég rossz a hozzáférés a OneDrive dokumentumokhoz és a Google Maps útmutatásaihoz, ám a kutatók felfedezték, hogy még többet tudnak megtenni az ezekből a linkekből kinyert információkkal. Például a OneDrive URL-ek standard szerkezetének elemzésével képesek voltak navigálni és hozzáférni számos OneDrive-fiókhoz, amelyek közül sok amelyek valójában írhatóak voltak, azaz megváltoztathatják a fájlokat vagy feltölthetnek olyan rosszindulatú programokat, amelyeket automatikusan letöltenek a tulajdonosra számítógép.

És a Google Maps segítségével a kutatók sok információt fedeztek fel, amelyeket az emberek valószínűleg magántulajdonban akarnak tartani. A lakócímeket megvizsgálva kitalálni tudnák, hogy mely háztartásokba tartozik egy olyan személy, aki speciális klinikákon ment orvosi kezelést, függőség-kezelő központokat, sztriptíz klubokat és abortusz-szolgáltatókat. Ezt kimutatták A helymeghatározási információk nagyon értékesek Mit mondhat a kormányzati biztonsági ügynökségek az Ön telefonjának metaadataiból? Olvass tovább az egyének azonosításához szükséges információk megszerzéséhez, és ez az információ egyfajta rövidített utazási előzményekkel kombinálva nagyon hasznos lehet a személyazonosság-tolvajok számára.

Ha meg szeretné tekinteni a teljes közzétett cikket, akkor megteheti nézd meg az arXiv-en, és az egyik kutató a blogbejegyzés hasznos összefoglalóval.

Változások történt

A Cornell Tech kutatói megosztották eredményeiket a Microsoftkal és a Google-lal, és mindkét vállalat lépéseket tett annak csökkentése érdekében, hogy a rövidített URL-ek veszélyeztethessék felhasználóikat.

Az URL lerövidítése eltávolításra került a OneDrive felületről, és a felhasználói fiókkal kapcsolatos további információk megszerzésére használt módszer már nem működik működik (annak ellenére, hogy a Microsoft tagadta, hogy változásaiknak bármi köze van ehhez a jelentéshez, vagy hogy a tanulmány még egy biztonságot tárt fel sebezhetőség). A régi, rövidített linkek azonban sebezhetők maradnak.

A Google Maps most már 11- és 12-karakteres tokeneket használ a korábban felajánlott öt karakter helyett, így lényegesen nehezebb őket felfedni brutális erőszakos támadással. A Google azt is megnehezítette, hogy hatalmas számú URL-t szkenneljen egyszerre.

Legyen óvatos

Annak ellenére, hogy ez a két szolgálat lépéseket tett a fenyegetés enyhítésére, valószínűleg valamikor a jövőben felfedezhető lesz a link-lerövidítési folyamat további sebezhetőségének lehetősége (egyre nagyobb teljesítményű számítógépek Quantum Computers: A kriptográfia vége?A kvantumszámítás mint ötlet már egy ideje fennáll - az elméleti lehetőséget eredetileg 1982-ben vezették be. Az elmúlt néhány évben a terület közelebb került a praktikussá. Olvass tovább minden bizonnyal segít). Amikor nemrégiben ellenőriztem, hogy a népszerű rövidítő szolgáltatások kis számú karaktert használnak-e a tokenekben, mind az ow.ly, mind a tinyurl hat karakterből álló tokenekből áll, és a bit.ly hét használta.

Noha mindkettő jobb, mint a Google korábbi öt, a még mindig aggódó, hogy az emberek így hozzáférhetnek a fontos fájlokhoz vagy személyes információkhoz. A Cornell Tech kutatói bebizonyították, hogy ezeknek az URL-eknek az egyszerű, brutális erővel történő letapogatása meglepő mennyiségű információt fedhet fel az egyes felhasználókról, ideértve a a személyazonosság-lopás legfontosabb információi 10 darab információ, amelyet személyazonosságod ellopására használnakA személyazonosság-lopás költséges lehet. Íme a 10 olyan információ, amelyet meg kell védenie, hogy személyazonosságát nem lopják el. Olvass tovább .

Szóval mit kell tennie? A teljes biztonság érdekében csak ne használjon URL-rövidítõket olyan dolgokhoz, amelyek értékesek lehetnek hackerek, személyazonosság-tolvajok vagy más félrevezetõk számára. A rövidítők valóban hasznosak, de a hosszú URL általában jól működik. Nagy, csúnya, és sok helyet foglal el az e-mailben vagy a csevegőablakban, de sokkal biztonságosabb is.

Ne feledje, hogy sok más szolgáltatás URL-lerövidítést kínál, és érdemes lehet óvatos ezekkel is. Valószínűleg eltérő lesz, hogy az egyes szolgáltatások hogyan kezelik a rövidített URL-ekkel kapcsolatos engedélyeket, de ha véletlenül megadtad ha nem fér hozzá egy Flickr, a Google Fotók, a Google Drive, a Twitter, a Facebook vagy más hozzászóláshoz, nehéz tudni, hogy mi fog történik.

Ha megválasztják, hogy lerövidíti egy URL-t egy hatszor vagy hét karakternél hosszabb tokentel, akkor ezt meg kell tennie. A kutatók azt állították papírjukban, hogy a Google Maps által használt 11 és 12 karakteres tokenek nem kell erőszakkal kényszeríteni (legalábbis a jelenlegi technológiával és ésszerű erőfeszítésekkel), tehát valószínűleg jó a legalább 10 célzás ötlet.

Vagy csak készítse el saját URL rövidítőjét A saját URL Shortener beállításának előnyei és hogyan kell csinálniA 140 karakterből álló és rövid figyelmeztetési világban annyi szöveget kell beillesztenie Twitter állapotába, ha hatékonyan szeretné átadni üzenetét. Olvass tovább és ügyeljen arra, hogy elegendő karaktert használjon az URL-jelsorokban!

Használ URL-rövidítőket?

Úgy tűnik, hogy a rövidebb szolgáltatások népszerűsége növekszik, és az új szolgáltatások rendszeresen megjelennek. A Twitter 140 karakteres korlátozása és nehézsége hosszú szövegrészekkel dolgozik a mobil eszközökön Az URL Shortener a linkek megosztásának és mentésének svájci kése az AndroidonAz URL Shortener megkülönbözteti azt, hogy mennyire könnyű linkeket menteni, vágólapra másolni, vagy közvetlenül a menüből megosztani. Olvass tovább valószínűleg hozzájárultak hasznosságukhoz, és minden bizonnyal vonzó az a képesség, hogy linket küldjenek sokkal nézőbarátabb formátumban. Nem érvelve, hogy nagyon kényelmesek, de a kényelem nem érheti meg a kockázatot.

Használ URL-lerövidítési szolgáltatást? Melyiket használja? Használja érzékeny dokumentumokhoz, vagy csak nyilvánosan elérhető linkekhez? Most aggódik a kapcsolatok biztonsága miatt? Ossza meg gondolatait alább!

Kép-jóváírások: Georgiev és Shmatikov az arXiv segítségével.