За полтора года исследования профессор Технической школы Корнелльского университета (Cornell Tech) Виталий Шматиков и независимый исследователь Мартин Георгиев (Martin Georgiev) выяснили, что использование некоторых сокращающих ссылки сервисов может повлечь за собой утечку персональных данных.
Сервисы, которые предоставляют возможность сокращать ссылки, позволяют заменить длинный URL со множеством параметров простым и коротким. Как правило, короткий адрес начинается с адреса сервиса и заканчивается уникальным токеном длиной 5, 6 или 7 символов. Сокращенные ссылки, сгенерированные сервисами bit.ly, goo.gl и ему подобными, так коротки, что при наличии специального оборудования можно перебрать все короткие адреса и получить доступ к важной информации в Сети. К примеру, для получения базы всех 6-символьных токенов сервиса bit.ly потребуется порядка 245 тысяч клиенто-дней. По словам авторов, используя соответствующий ботнет, данные можно получить всего за сутки.
В ходе работы эксперты обратили внимание на картографические сервисы и облачные хранилища, в частности на Microsoft OneDrive и Google Maps. При отправке ссылки на папки, документы или карты, сервисы предлагают пользователям сгенерировать короткие ссылки. Проанализировав 42,229,055 коротких адресов bit.ly, авторы обнаружили 3003 ссылки, ведущие на документы и папки, расположенные в хранилище OneDrive. Большая часть из них оказалась действующей.
Таким образом, если укороченный URL использовался для ссылки на данные из облачного сервиса, то другой пользователь может получить доступ к сведениям, ссылка на которые никогда не публиковалась в открытом доступе. Как отметили эксперты, по информации из данной ссылки можно получить доступ к другим файлам и каталогам этой учетной записи. В результате сканирования исследователи обнаружили свыше 227 тыс. публично доступных документов OneDrive, включая тысячи файлов в формате PDF и Word, таблицы, медиа-файлы и пр. Шматиков и Георгиев отмечают, что для анализа использовались только метаданные, сами файлы не загружались.
Как утверждают эксперты, около 7% открытых папок в OneDrive может редактировать кто угодно. Это дает злоумышленникам возможность модифицировать существующий или загрузить произвольный контент, в том числе вредоносное ПО, которое сервис автоматически загрузит на устройства пользователей.
Исследователи сообщили о проблеме Microsoft. В марте 2016 года компания изменила алгоритм генерации ссылок, тем не менее старые ссылки остались работоспособными и по-прежнему не защищены.
Источник http://www.securitylab.ru/
