Da li skraćene veze ugrožavaju vašu sigurnost?

Oglas

Skraćivači URL-ova Isprobajte 10 različitih URL-ova skraćivača koji vam pružaju dodatne prednostiKoliko drugačije možete skratiti jednolično lociranje resursa? Pa, sustav za skraćivanje prilično je pokretački posao, ali čini se da je trik u dodacima koji dolaze sa uslugom skraćivanja ... Čitaj više poput bit.ly, goo.gl, tinyurl i ow.ly odlični su za olakšavanje dijeljenja veza; ne morate zalijepiti jako dugački ružni URL u prozor za razgovor ili e-poštu kako biste nekome pomogli da pronađe stranicu do koje želite da dođe. No nedavna studija pokazala je da bi ta pogodnost mogla donijeti značajan trošak za vašu sigurnost.

Studija

Tijekom 18 mjeseci, dva istraživača tvrtke Cornell Tech razgledala su skraćene URL-ove koje su stvorile dvije različite usluge: Microsoft OneDrive i Google Maps. Obje usluge stvaraju skraćene veze za dijeljenje web stranica (OneDrive ih koristi za dijeljenje pristupa dokumentima, a Google Maps koristi ih za dijeljenje uputa ili lokacija).

Zbog malog broja znakova korištenih u ovim skraćenim vezama, istraživači su mogli upotrijebiti grubi napad kako bi pronašli skraćene URL-ove koji se povezuju sa stvarnim dokumentima. Istraživači su analizirali 100 000 000 bit.ly URL-ova slučajno odabranim znakovima sa šest znakova (poput "1maQ2JZ"). 42% svih tokena riješilo se stvarnih punih URL-ova, a gotovo 19.500 onih vodilo je dokumente OneDrive.

Istraživači su također otkrili gotovo 24 000 000 veza uživo prilikom skeniranja tokena s pet znakova koje je prethodno koristio goo.gl/maps, od kojih je oko 10% bilo za upute za vožnju.

Pristup dokumentima OneDrive i uputama na Google Maps dovoljno je loš, ali istraživači su otkrili da bi mogli učiniti još više s informacijama koje su pronašli iz tih veza. Na primjer, analizirajući standardnu ​​strukturu URL-ova OneDrive, mogli su se kretati i dobiti pristup brojnim računima OneDrive, od kojih su mnogi za koju su otkrili da je zapravo zapisljiv, što znači da može mijenjati datoteke ili prenositi zlonamjerni softver koji će se automatski preuzimati u vlasnikov račun Računalo.

I pomoću Google Maps, istraživači su otkrili puno informacija koje bi ljudi vjerojatno željeli zadržati privatnima. Gledajući adrese stanovanja, mogli bi upućivati ​​u koja domaćinstva se nalazi osoba koja otišli u specijalističke klinike za medicinsko liječenje, centre za liječenje ovisnosti, striptiz klubove i pružatelje pobačaja. Pokazano je to informacije o lokaciji vrlo su vrijedne Što vladine sigurnosne agencije mogu reći iz metapodataka vašeg telefona? Čitaj više u pribavljanju identifikacijskih podataka za pojedince, a te informacije u kombinaciji s nekom vrstom skraćene povijesti putovanja mogle bi biti vrlo korisne za lopove identiteta.

Ako želite vidjeti cijeli objavljeni članak, možete provjerite na arXiv-u, a jedan od istraživača također je objavio a blog blog s korisnim sažetkom.

Promjene izvršene

Istraživači Cornell Tech-a podijelili su svoje rezultate s Microsoftom i Googleom, a obje su kompanije poduzele korake kako bi smanjile vjerojatnost da bi njihovi korisnici mogli biti ugroženi skraćenim URL-ovima.

Skraćivanje URL-ova uklonjeno je s OneDrive sučelja, a metoda korištena za dobivanje više informacija o korisničkom računu više nije djeluje (usprkos Microsoftovom negiranju da njihove promjene imaju bilo kakve veze s ovim izvješćem ili da je studija čak otkrila sigurnost ranjivost). Međutim, stare skraćene veze ostaju ranjive.

Google Maps sada koriste tokene sa 11 i 12 znakova umjesto onih s pet znakova ponuđenih prije, što ih čini znatno teže otkriti napadom grube sile. Google je također otežao skeniranje velikog broja URL-ova odjednom.

Budite oprezni

Iako su ove dvije službe poduzele korake za ublažavanje prijetnje, mogućnost većih ranjivosti u procesu skraćivanja veza vjerojatno će se naći negdje u budućnosti (sve moćnija računala Kvantna računala: kraj kriptografije?Kvantno računanje kao ideja postoji već neko vrijeme - teorijska je mogućnost izvorno uvedena 1982. godine. Posljednjih nekoliko godina područje se približavalo praktičnosti. Čitaj više sigurno će pomoći). Kad sam nedavno provjerio upotrebljavaju li popularne usluge skraćivanja mali broj znakova u svojim tokenima, i ow.ly i tinyurl su imali tokene sa šest znakova, a bit.ly su koristili sedam.

Iako su oba bolja od Googleovih prethodnih pet, još uvijek je zabrinjavajuće da će ljudi na ovaj način slati pristup važnim datotekama ili osobnim podacima. Istraživači tvrtke Cornell Tech pokazali su da jednostavno skeniranje ovih URL-ova može otkriti iznenađujuću količinu informacija o određenim korisnicima, uključujući nekoliko njih najvažniji podaci o krađi identiteta 10 informacija koje se koriste za krađu vašeg identitetaKrađa identiteta može biti skupa. Evo 10 informacija koje trebate zaštititi da vaš identitet ne bude ukraden. Čitaj više .

Pa što bi trebao učiniti? Da biste bili potpuno sigurni, samo nemojte upotrebljavati sredstva za skraćivanje URL-ova za bilo što što bi moglo biti dragocjeno hakeri, kradljivcu identiteta ili drugom nesretnom. Kraće su zaista korisne, ali većinu vremena dugačak URL će funkcionirati sasvim u redu. Velika je, ružna i zauzima puno prostora u prozoru e-pošte ili chata, ali također je i mnogo sigurnija.

Isto tako, budite svjesni da i mnoge druge usluge nude skraćivanje URL-a. Možda ćete htjeti biti oprezni i s onima. Kako svaka od tih usluga obrađuje dopuštenja sa skraćenim URL-ovima, vjerojatno će se razlikovati, ali ako ste je slučajno dali daleko pristup Flickr-u, Google Photos-u, Google disku, Twitteru, Facebooku ili nekom drugom postu, teško je znati što će dogoditi.

Ako vam je postavljen izbor da skratite URL s tokenom koji je duži od šest ili sedam znakova, trebali biste ga iskoristiti. Istraživači su u svom radu rekli da tokeni od 11 i 12 znakova koje koriste Google Maps ne mogu se iskoristiti (barem s trenutnom tehnologijom i razumnom količinom truda), pa je ciljanje barem 10 vjerojatno dobro ideja.

Ili samo napravite svoj vlastiti URL skraćivač Prednosti postavljanja vlastitog skraćivača URL-a i kako to učinitiU svijetu sa 140 znakova i kratkim rasponima pažnje, trebate dobiti što je moguće više teksta u svom statusu na Twitteru, ako želite učinkovito prenijeti svoju poruku. Čitaj više i provjerite koristi li dovoljno znakova u svojim URL tokenima!

Koristite li kraće URL-ova?

Čini se da je kraća usluga u porastu, a nove usluge redovito se pojavljuju. Granica od 140 znakova i poteškoće od Twittera rad s dugim nizovima teksta na mobilnim uređajima URL kraći je švicarski nož za dijeljenje veza i spremanje na AndroiduURL Shortener razlikuje koliko vam olakšava spremanje veza, kopiranje u međuspremnik ili dijeljenje izravno iz izbornika. Čitaj više vjerojatno su doprinijeli njihovoj korisnosti, a mogućnost slanja veze u mnogo povoljnijem formatu za gledatelje sigurno je privlačna. Ne možete tvrditi da su vrlo zgodni, ali ta pogodnost možda nije vrijedna rizika.

Koristite li uslugu za skraćivanje URL-ova? Koji koristite? Koristite li ga za osjetljive dokumente ili samo za javno dostupne veze? Jeste li sada zabrinuti za sigurnost svojih veza? Podijelite svoja razmišljanja u nastavku!

Broj kredita: Georgiev i Shmatikov putem arXiv.