「本来は一般に公開されないはずのアップローダのダウンロードURL一覧が漏れる」記事へのコメント

URLの秘匿に依存することがそもそもの間違い

[Anonymous Coward]

URLが何かの拍子に漏洩するなんて昔から何度も問題になったことで、
基本的に秘匿さるべきものと認識されない存在であるURLを秘匿することに
情報の秘匿性を依存するというのが、根本的な間違い。

使えるのは、サインアップの確認のようにアクセスが有効なのが一回限りの使い方ぐらいでしょう。

Re:

[Anonymous Coward]

まあそうなんですけど、最近この手の仕組み多いんですよね。
OneDriveとかDropBoxとかも、公開フォルダにURL知ってる人だけアクセス可、みたいなシステムがあったりします。
脆弱だなとは思ってたんですが、そういうちゃんと研究してるはずの大手まで各社やっちゃってるのは、なんか理由があるんでしょうか？

Re:URLの秘匿に依存することがそもそもの間違い

[Anonymous Coward]

利便性とセキュリティの釣り合いでは？

「一部の知り合いにだけダウンロードURLを公開したい、けどいちいち認証なんぞさせたくない」 → 分かりにくくて推測されないURLならいいだろう

脆弱だろうがなんだろうが、便利である事のほうが優先される場合もある訳で、そういうものだと割り切ってるんでしょう。

Re:

[Anonymous Coward]

>分かりにくくて推測されないURLならいいだろう
dropboxのURLですが…
https://dl.dropboxusercontent.com/u/0123456789/hoge/hoge.txt [dropboxusercontent.com]
といった形式になっており、ユーザーごとに割り振られるID(0123456789)の推測は容易ではありませんが
その後に続くファイルパスはdropboxでのファイルパスそのままなので、容易に推測可能です。

Re:URLの秘匿に依存することがそもそもの間違い

[yasu (7)]

Dropboxでは、Public フォルダとそれ以外で異なっています。(そもそも、用途が違うので。)

Public フォルダ (デフォルトで共有される):
URLは、/u/ユーザID/パス の形式。推測が容易
public_html のような使い方が想定されている。

それ以外のフォルダ (デフォルトでは共有されない):
URLは、/s/ランダム文字列/パス の形式。推測は困難
共有するためには、明示的に「Dropboxリンクを共有」が必要 (右クリックから)
管理画面の「リンク」から一覧表示・リンクの削除 (共有の終了) が可能

なお、ユーザIDは公開情報に近いので、知られて当然の情報だと考えた方が良いです。(一度でも Public 以下のファイルを共有すればバレてしまうので。)

--
HIRATA Yasuyuki

Re:

[Anonymous Coward]

hoge/hoge.txtは容易に推測可能なんですかね…
// ディレクトリを参照すればファイル一覧がとれるってのならあれですが。

Re:

[Anonymous Coward]

それって昔の一般公開用のやつだったかじゃなかったっけ？
今はランダム文字列で、しかも生成毎に変わった気がする。