Kas lühendatud lingid seavad teie turvalisust ohtu?

Reklaam

URL-i lühendajad Proovige 10 erinevat URL-i lühendajat, mis annavad teile lisandmooduli eelisedKui erinevalt saate ühtset ressursiotsijat lühendada? Noh, lühendamissüsteem on üsna palju toimuv, kuid trikk näib olevat lühendamisteenusega kaasnevates lisades ... Loe rohkem nagu bit.ly, goo.gl, tinyurl ja ow.ly on suurepärased linkide jagamise hõlbustamiseks; ei pea te vestlusaknasse kleepima tõesti pikka koledat URL-i või e-kirja, et aidata kellelgi leida teed lehele, kuhu soovite pääseda. Kuid hiljutine uuring näitas, et see mugavus võib teie turvalisusele märkimisväärselt kuluda.

Õping

18 kuu jooksul vaatasid Cornell Techi kaks teadlast lühendatud URL-e, mis on loodud kahe erineva teenuse: Microsoft OneDrive ja Google Maps abil. Mõlemad teenused loovad lühendatud lingid veebilehtede jagamiseks (OneDrive kasutab neid dokumentidele juurdepääsu jagamiseks ja Google Maps neid juhiste või asukohtade jagamiseks).

Nendes lühendatud linkides kasutatavate tähemärkide väikese arvu tõttu said teadlased kasutada julma jõu rünnakut, et leida lühendatud URL-e, mis seostavad tegelike dokumentidega. Teadlased analüüsisid 100 000 000 bit.ly URL-i juhuslikult valitud kuue tähemärgi tokenitega (näiteks „1maQ2JZ”). 42% kõigist lubadest lahendas tegelikud täielikud URL-id ja peaaegu 19 500 nendest viisid OneDrive'i dokumentide juurde.

Teadlased leidsid ka goo.gl/maps varem kasutatud viiekohaliste märkide skannimisel peaaegu 24 000 000 reaalset linki, millest umbes 10% olid sõidujuhiste jaoks.

OneDrive'i dokumentidele ja Google Mapsi juhistele juurdepääsu saamine on piisavalt halb, kuid teadlased avastasid, et nad saaksid nendelt linkidelt taastatud teabega veelgi rohkem hakkama. Näiteks analüüsides OneDrive URL-ide standardset ülesehitust, said nad navigeerida ja pääseda juurde mitmetele OneDrive'i kontodele, paljud neist mis nende arvates olid tegelikult kirjutatavad, mis tähendab, et nad võivad faile vahetada või pahavara üles laadida, mis laaditakse automaatselt omaniku alla arvuti.

Ja Google Mapsi abil avastasid teadlased palju teavet, mida inimesed tõenäoliselt sooviksid privaatsena hoida. Elukoha aadresse vaadates võiksid nad teha haritud oletusi selle kohta, millistes leibkondades oli inimene, kes käidi eriarstiabikliinikutes, sõltuvusravi keskustes, stripiklubides ja abordi pakkujates. Seda on näidatud asukohateave on väga väärtuslik Mida saavad valitsuse turvaagentuurid teie telefoni metaandmetest öelda? Loe rohkem üksikisikute tuvastamiseks vajaliku teabe hankimisel ja see teave koos omamoodi lühendatud reisiajalooga võib olla identiteedivargadele väga kasulik.

Kui soovite näha kogu avaldatud artiklit, saate seda teha vaadake seda arXivis, ja üks teadlastest avaldas ka a ajaveebi postitus koos kasuliku kokkuvõttega.

Tehtud muudatused

Cornell Techi teadlased jagasid oma tulemusi Microsofti ja Google'iga ning mõlemad ettevõtted on astunud samme, et vähendada tõenäosust, et lühendatud URL-id võivad nende kasutajaid ohtu seada.

OneDrive-liideselt eemaldati URL-i lühendamine ja kasutaja konto kohta lisateabe saamiseks kasutatud meetod ei olnud enam töötab (hoolimata Microsofti eitusest, et nende muudatused olid selle aruandega kuidagi seotud või et uuring näitas isegi turvalisust) haavatavus). Vanad lühendatud lingid on siiski haavatavad.

Google Maps kasutab nüüd pakutud viie tähemärgi asemel 11- ja 12-tähemärgiseid sümboleid, mis muudab nende paljastamise julma jõu rünnakuga oluliselt raskemaks. Google muutis keerukaks ka suure hulga URL-ide skaneerimise korraga.

Olge ettevaatlik

Ehkki need kaks teenistust on astunud samme ohu leevendamiseks, leitakse tulevikus millalgi tõenäoliselt linkide lühendamise protsessis rohkem haavatavusi (üha võimsamad arvutid Kvantarvutid: krüptograafia lõpp?Kvantarvutamine kui idee on olnud juba mõnda aega olemas - teoreetiline võimalus tutvustati algselt 1982. aastal. Viimase paari aasta jooksul on valdkond lähenenud praktilisusele. Loe rohkem aitab kindlasti). Kui ma hiljuti kontrollisin, kas populaarsed lühendamisteenused kasutavad nende märkides väikest arvu tähemärke, olid nii ow.ly kui ka tinyurl kuue märgi märgid ja bit.ly seitse.

Ehkki mõlemad on paremad kui Google'i eelmised viis, on endiselt murettekitav, et inimesed võivad sel viisil saada juurdepääsu olulistele failidele või isiklikule teabele. Cornell Techi teadlased tõestasid, et nende URL-ide lihtne jõhkrat skannimine võib paljastada üllatava hulga teavet konkreetsete kasutajate, sealhulgas mõnede identiteedivarguse kõige olulisem teave 10 tükki teavet, mida kasutatakse teie identiteedi varastamiseksIdentiteedivargus võib olla kulukas. Siin on kümme teavet, mida peate kaitsma, et teie isikut ei varastataks. Loe rohkem .

Mida sa siis peaksid tegema? Et olla täiesti ohutu, ärge lihtsalt kasutage URL-i lühendajaid millegi jaoks, mis võib olla häkkerile, identiteedivargale või muule valetoimijale väärtuslik. Lühendajad on tõesti kasulikud, kuid enamasti töötab pikk URL suurepäraselt. See on suur, kole ja võtab palju ruumi e-posti või vestluse aknas, kuid on ka palju turvalisem.

Samuti pidage meeles, et paljud muud teenused pakuvad URL-i lühendamist ja võiksite olla ettevaatlik ka nende puhul. See, kuidas kõik need teenused käitlevad lühendatud URL-idega õigusi, tõenäoliselt erineb, kuid kui te juhuslikult andsite kui teil pole juurdepääsu Flickri, Google'i fotode, Google Drive'i, Twitteri, Facebooki või muude postituste juurde, on raske teada, mis juhtuda.

Kui teile antakse võimalus lühendada URL-i, mille tunnus on pikem kui kuus või seitse tähemärki, peaksite selle võtma. Teadlased ütlesid oma töös, et Google Mapsi kasutatavad 11- ja 12-tähemärgilised märgid pole jõuga sunnitud (vähemalt praeguse tehnoloogia ja mõistliku pingutuse korral), nii et vähemalt 10-le eesmärk on ilmselt hea idee.

Või lihtsalt tehke oma URL-i lühendaja Enda URL-i lühendaja seadistamise eelised ja kuidas seda teha140 tähemärgise ja lühikese tähelepanuulatusega maailmas peate oma Twitteri olekusse leidma võimalikult palju teksti, kui soovite oma sõnumit tõhusalt edastada. Loe rohkem ja veenduge, et see kasutaks oma URL-i lubades piisavalt tähemärke!

Kas kasutate URL-i lühendajaid?

Teenuste lühendamine näib kasvavat populaarsust ning uusi teenuseid ilmub regulaarselt. Twitteri 140 tähemärgipiirang ja selle raskusaste Pikkade tekstistringidega töötamine mobiilseadmetes URL Shortener on Šveitsi nuga linkide jagamiseks ja salvestamiseks AndroidisURL Shorteneri eristab see, kui lihtsaks on teil linkide salvestamine, lõikepuhvrisse kopeerimine või otse menüüst jagamine. Loe rohkem on tõenäoliselt nende kasulikkusele kaasa aidanud ja võimalus saata link palju vaataja sõbralikumas vormingus on kindlasti ahvatlev. Pole mingit väidet, et need on väga mugavad, kuid mugavus ei pruugi olla väärt riski.

Kas kasutate URL-i lühendamise teenust? Kumba te kasutate? Kas kasutate seda tundlike dokumentide jaoks või lihtsalt avalikult juurdepääsetavate linkide jaoks? Kas olete nüüd mures oma linkide turvalisuse pärast? Jagage oma mõtteid allpool!

Pildikrediidid: Georgiev ja Shmatikov arXivi kaudu.