คุณสมบัติ“ ปิดการดาวน์โหลดภาพต้นฉบับ” ของ Flickr ปลอดภัยแค่ไหน?

ในหน้าการตั้งค่าความเป็นส่วนตัว Flickrมีการตั้งค่าชื่อ "ใครสามารถเข้าถึงไฟล์ภาพต้นฉบับของคุณ" หากฉันตั้งค่านี้เป็นสิ่งอื่นที่ไม่ใช่ "ใครก็ได้" (เช่น "คุณเท่านั้น" หรือ "ผู้ติดต่อของคุณ") เป็นไปได้หรือไม่ที่ผู้ใช้ที่ไม่ได้รับอนุญาตจะสามารถเข้าถึงภาพต้นฉบับได้โดยที่ไม่มีใครให้ URL (สมมติว่าภาพถ่ายต้นฉบับของฉันมีขนาดใหญ่กว่า 1024px ดังนั้นจึงมีรุ่นดั้งเดิมแตกต่างจากรุ่นใหญ่นอกจากนี้สมมติว่าไม่ใช่ครีเอทีฟคอมมอนส์ที่ได้รับอนุญาต )

ฉันตระหนักดีว่าเมื่อภาพปรากฏในเบราว์เซอร์ผู้ใช้ที่ตั้งใจสามารถดาวน์โหลดได้อย่างง่ายดายโดยไม่คำนึงถึงสิ่งที่ไม่น่าสนใจ (เช่นตัวบล็อก JavaScript) เบราว์เซอร์พยายามที่จะนำไปใช้ อย่างไรก็ตามฉันเชื่อว่าสิ่งต่อไปนี้ถูกต้อง:

1. ผู้ใช้ที่ไม่ได้รับอนุญาตจะเห็นหน้าข้อผิดพลาดหากพวกเขาพยายามดูหน้าขนาดดั้งเดิมบน Flickr (เช่นหน้านี้ )

2. แม้ว่า URL ของหน้านั้นจะคาดเดาได้ง่าย (เพียงเพิ่มsizes/o/ที่ส่วนท้ายของ URL หน้าภาพถ่ายปกติ) แต่ URL ของไฟล์ภาพต้นฉบับจริงมีองค์ประกอบแบบสุ่มและไม่สามารถเดาได้ง่าย

มีความอุดมสมบูรณ์ของคนบน Flickr และที่อื่น ๆ บอกว่าการตั้งค่าการดาวน์โหลดปิดการใช้งานจะไร้ประโยชน์ แต่ฉันไม่ได้เห็นหลักฐานใด ๆ ไม่มีใครทราบว่าสามารถข้ามได้หรือไม่ ถ้าคุณตอบว่าใช่ฉันจะคาดหวังให้คุณพิสูจน์มันด้วยการส่งภาพต้นฉบับขนาดล่าสุดของฉันมาให้ฉัน ! (มีไว้สำหรับเพื่อนและครอบครัวเท่านั้น - ไม่ใช่คุณลุงโกเบอร์เบอร์ ... )

บริบทบางอย่าง: ฉันควรชี้ให้เห็นว่าฉันไม่ได้กำลังมองหาที่จะขโมยรูปฉันพยายามที่จะเข้าใจว่าเหมืองของฉันปลอดภัยเพียงใดโดยเฉพาะอย่างยิ่งเกี่ยวกับช่องโหว่ที่เกิดขึ้นในวันนี้

ฉันทำการตรวจสอบด้วยตัวเองโดยใช้บัญชี flickr ของฉันและเบราว์เซอร์ที่ไม่ได้ลงชื่อเข้าใช้

นี่คือหน้าทุกขนาดสำหรับหนึ่งในภาพถ่ายของฉัน

ก่อนหน้าฉันจะเปลี่ยน "ใครสามารถเข้าถึงไฟล์ภาพต้นฉบับของคุณ" การตั้งค่าใน Privacy & Permissions ผู้ใช้อินเทอร์เน็ตทั่วไปสามารถเห็นลิงค์ " Original " นอกเหนือจากขนาดอื่น ๆ หน้านั้นมี<img>แท็กที่เชื่อมโยงกับURLนี้ หน้า "ทุกขนาด" ยังมีลิงก์ที่กล่าวว่าดาวน์โหลดขนาดดั้งเดิมของรูปภาพนี้ (หากคุณตรวจสอบ URLS โปรดทราบว่ามี_dส่วนต่อท้ายที่ชื่อไฟล์ Flickr จะเห็นสิ่งนี้และเรียกใช้ส่วนหัว HTTP ที่บอกเบราว์เซอร์ให้ดาวน์โหลดแทนการแสดงภาพ)

สำหรับการเปรียบเทียบนี่คือหน้าขนาดใหญ่และURL รูปภาพที่เกี่ยวข้อง

จากนั้นฉันเปลี่ยนการตั้งค่าความเป็นส่วนตัวล้างแคชในเบราว์เซอร์ที่ไม่ได้เข้าสู่ระบบและทำการเชื่อมโยงอีกครั้ง นี่คือสิ่งที่ฉันพบ:

• ลิงค์ไปยังหน้าขนาดที่เป็นต้นฉบับตอนนี้เปลี่ยนเส้นทางไปยังหน้าขนาดใหญ่ นั่นเป็นเหตุผล
• หน้าขนาดทั้งหมดไม่มีลิงก์ขนาดดั้งเดิมอีกตามที่คาดไว้
• ฉันยังคงสามารถดาวน์โหลดภาพขนาดดั้งเดิมได้
  • มันช่างน่าประหลาดใจ มันหมายความว่าในขณะที่มีข้อ จำกัด การเข้าถึงบนหน้าเว็บที่มีภาพที่เธอเอาใจใส่รักษาความปลอดภัยบนภาพของตัวเอง
  • ในฐานะนักพัฒนาเว็บฉันสามารถเข้าใจได้ว่าทำไมพวกเขาถึงทำเช่นนี้ รูปภาพมีขนาดใหญ่และคงที่และอาจแสดงผ่านเครือข่ายการจัดส่งเนื้อหา มันเร็วกว่า / มีประสิทธิภาพมากกว่าในการไม่ตรวจสอบการอนุญาตสำหรับไฟล์รูปภาพ; คุณสามารถโฮสต์พวกมันไว้บนเว็บเซิร์ฟเวอร์ที่ "โง่" ได้

ดังนั้นเมื่อ URL ของไฟล์ต้นฉบับเป็นที่รู้จักกันมีวิธีที่จะหยุดคนจากการดาวน์โหลดรุ่นเดิมของไฟล์ไม่ (สั้นในการลบมันทั้งหมด ... และที่อาจไม่ได้ทำงาน. ผมไม่ได้ลอง)

หนึ่งประเด็นสุดท้าย: URL ไฟล์ต้นฉบับมีวิธีการคาดเดาได้อย่างไร ที่นี่พวกเขาอยู่เคียงข้าง:

Large:    http://farm7.static.flickr.com/6126/6044833128_cc02cf41e3_b.jpg
Original: http://farm7.static.flickr.com/6126/6044833128_3b8eac89d7_o.jpg

ดังนั้นคำต่อท้าย ( _bหรือ_o) กำหนดขนาด แต่ก็ยังมีองค์ประกอบอื่นในชื่อไฟล์ที่แตกต่างกันไปขึ้นอยู่กับขนาด คุณไม่สามารถเปลี่ยนคำต่อท้ายเพื่อพลิกขนาดได้ นี่คือURL สำหรับรุ่นขนาดใหญ่ที่มีคำต่อท้ายเปลี่ยนไป_o; มันไม่ทำงาน

ถ้าฉันเป็น Flickr ฉันจะตรวจสอบให้แน่ใจว่าองค์ประกอบกลางนั้นสุ่มอย่างสมบูรณ์ต่อขนาดภาพและไม่สามารถคาดเดาได้ยกเว้นการโจมตีด้วยกำลังดุร้าย ยาว 40 บิตดังนั้นจึงมีตัวเลือกที่เป็นไปได้มากมาย (2 ^ 40, ~ 1 ล้านล้าน) มันไม่น่าเป็นไปได้เลยที่ทุกคนจะรำคาญที่จะบังคับให้เซ็กเมนต์นั้นใช้งานไฟล์ขนาดดั้งเดิม ... เมื่อพวกเขามีไฟล์ขนาดใหญ่อยู่แล้ว

ดังนั้นตราบใดที่คุณปิดคุณสมบัติ "ดาวน์โหลดไฟล์ดั้งเดิม" และคุณไม่แชร์ URL ของภาพต้นฉบับฉันจะบอกว่าฟีเจอร์ Flickr นั้นค่อนข้างปลอดภัย ถ้ามันผิดมันเป็นความผิดของคุณเอง

หน้านี้ (เชื่อมโยงจากปลั๊กอิน Firefox ที่ผู้ประกอบรายการเรียกเก็บเงิน ) ทำงานได้ดีในการสรุปสถานการณ์รวมถึง "องค์ประกอบแบบสุ่ม" ใน URL ภาพที่ฉันพูดถึงในคำถาม

ผู้เขียนบันทึก:

ซึ่งหมายความว่าแม้ว่าคุณจะประสบปัญหาในการเรียกชื่อไฟล์สำหรับขนาดที่เล็กกว่า แต่คุณไม่สามารถเดาชื่อไฟล์ของภาพถ่ายต้นฉบับได้และนี่เป็นข่าวที่ดีสำหรับช่างภาพที่กังวลเกี่ยวกับการขโมยภาพ

"ไม่สามารถเดาได้" - เยี่ยมมาก! :) แต่แล้วเขาก็พูดต่อไปว่า:

สิ่งที่เจ๋งคือหลังจาก Flickr สุ่มชื่อไฟล์มันก็เป็นไปไม่ได้ที่จะเดา URL สำหรับขนาดดั้งเดิมของไฟล์

" ถัดจากสิ่งที่เป็นไปไม่ได้" - ไม่ค่อยดีนัก! :( แต่ฉันคิดว่าเขาแค่หมายความว่าให้เวลามากพอและพลังในการประมวลผลคุณสามารถทำลายมันด้วยการโจมตีที่ดุร้ายถ้าเป็นเช่นนั้นก็ดีพอสำหรับฉัน: ฉันจะรับโอกาสเหล่านั้น :)

Flickr ใช้เว็บโปรโตคอลที่ไม่ปลอดภัย (HTTP) โดยค่าเริ่มต้นดังนั้นรูปภาพใด ๆ ที่สามารถเข้าถึงได้หลังจากทำการเซสชั่นการไฮแจ็กจากบุคคลที่สามารถเข้าถึงได้ สำหรับการหักหลังเซสชันผู้โจมตีจำเป็นต้องสามารถดักฟังการรับส่งข้อมูลเครือข่ายของเหยื่อเช่นเข้าถึงจุดเชื่อมต่อไร้สายเดียวกันหรือโหนดเครือข่ายกลางบางโหนด ความเสี่ยงได้กลายเป็นจุดที่มีความสำคัญในที่สาธารณะหลังจากที่Firesheepเปิดตัว - ปลั๊กอิน Firefox ที่จับคุกกี้โดยอัตโนมัติที่ผู้อื่นใช้ในพื้นที่ไร้สายเดียวกันและนำเสนอให้ใช้งานง่าย

นอกจากนี้รูปภาพยังมาพร้อมกับส่วนหัวที่อนุญาตให้แคชของเว็บระดับกลางเก็บไว้ได้นานหลายปี ดังนั้นการเข้าใช้งานเพื่อเรียกดูเว็บแคชอาจให้การเข้าถึงภาพต้นฉบับที่ถูกดูผ่านแคชนั้น

ฉันจะไม่ไล่ล่าการเชื่อมต่อเครือข่ายหรือแคชของคุณหรือเพื่อนของคุณดังนั้นไม่ฉันจะไม่ส่งภาพต้นฉบับของคุณ แต่การเล่นอย่างปลอดภัยทางออกที่ดีที่สุดของคุณคือไม่ต้องอัปโหลดภาพต้นฉบับ

หากปรากฏขึ้นแน่นอนคุณสามารถบันทึกได้ หากต้นฉบับได้รับการปกป้องก็ไม่ควรเว้นเสียแต่ว่าจะรู้ URL บรรทัดล่างค่อนข้างปลอดภัยและไม่ฉันไม่คิดว่ามันสามารถดาวน์โหลดได้

ปลั๊กอิน Firefox Flickr เดิมดูเหมือนว่าในตอนแรกที่จะทำนี้ (i อดทนสันนิษฐานว่าอย่างนั้น) แต่จริง ๆ แล้วดาวน์โหลดขนาดใหญ่ถ้าคุณได้รับการคุ้มครองต้นฉบับของคุณจากประชาชนชม ฉันดาวน์โหลดรูปภาพของคุณที่มีขนาด 1024 x 580 ด้วยปลั๊กอินนี้

ปลั๊กอิน Firefox Tamperdata จะช่วยให้ค้นพบ URL ที่ได้รับการป้องกันสำหรับรูปภาพ มันเป็นเรื่องเล็กน้อยที่จะทำเช่นนั้น การรักษาความปลอดภัยเพียงชั้นเดียวนั้นดูเหมือนจะคลุมเครือ

นี่คือวิธีง่ายๆในการทำเช่นนี้ (โดยใช้ Safari) โดยไม่มีศัพท์แสงทั้งหมดที่คุณกำลังขว้างออกไป ไปที่หน้ารูปภาพทั้งหมด เมื่อคุณเปิดใช้งานเมนูแบบเลื่อนลงของคุณไปที่แสดงตัวตรวจสอบเว็บ ที่ด้านซ้ายของหน้าต่างนักพัฒนาค้นหาภาพหล่นลง คลิกที่นั้นและค้นหาสตริงที่มีหมายเลขยาว เมื่อคุณคลิกที่ภาพจะปรากฏในหน้าต่างนักพัฒนา ทางด้านขวาสุดคุณจะเห็น URL รูปภาพ คัดลอกและวาง URL ในหน้าต่างเบราว์เซอร์ใหม่และภาพจะปรากฏขึ้นและสามารถดาวน์โหลดได้จากที่นั่น หรือเพียงแค่ลากภาพจากหน้าต่างนักพัฒนา (อาจมีการเปลี่ยนชื่อเป็นไม่ทราบชื่อ