Fotografije in videoposnetki, shranjeni v Googlovih fotografijah, so slabo zaščiteni za preprosto zamegljeno spletno povezavo?

Google Photos v Androidu, da dobite več novih funkcij: napovedano

Google Photos je daleč ena najbolj priljubljenih rešitev za shranjevanje v oblaku, ki je integrirana tudi v druge Googlove izdelke in storitve. Ima pa tudi precej poenostavljeno zaščitno plast za medije, ki jih uporabniki shranjujejo in delijo, je odkril raziskovalec. Edina stvar, ki stoji med javno izpostavljenostjo fotografij in videoposnetkov v zasebni skupni rabi, je zamegljena spletna povezava. Lastniki medijev, ki jih želijo deliti z določeno osebo, dobijo povezavo, ki jo lahko delijo. V bistvu je povezava Google Photos. Namesto da bi ponudil ali dovolil omejen dostop samo do pooblaščenih računov, lahko vsakdo, ki ima dostop do spletne povezave, zlahka dostopa do vsebine in jo vidi.

Uporabnike Google Photo je treba opozoriti na precej čudno vrzel, ki bistveno poveča izpostavljenost njihove zasebne vsebine, vključno s fotografijami in uporabniki, shranjenimi na platformi. Zasebne povezave, ustvarjene za skupno rabo medijev, lahko vsakdo enostavno uporabi za ogled istega. Z drugimi besedami, zasebne povezave so postale javno dostopne. Ni treba posebej poudarjati, da gre za precej resen nadzor in absurd, kako lahko Google dovoli, da se to zgodi.

Kako mediji v zasebni skupni rabi v storitvi Google Photos postanejo javno dostopni?

Raziskovalec Robert Wiblin čez ob 80.000 ur je nedavno odkril varnostni prepad, ki je v bistvu razkril zasebno vsebino, shranjeno v storitvi Google Photos, in jo naredil javno dostopno. Večkrat je poskušal in uspel poustvariti scenarij in ob vsaki priložnosti so zasebne povezave javno dostopne iz katerega koli Googlovega računa. Presenetljivo je, da ljudem, ki so si želeli ogledati vsebino, vključno s fotografijami in videoposnetki, ni treba biti prijavljeni v Google Račun. V bistvu bi si lahko vsi, ki imajo dostop do skupne povezave do medijev Google Photos, delujočega interneta in spletnega brskalnika, vsebino preprosto ogledali neomejeno. Za dostop do medijev ne bi potrebovali posebnih dovoljenj ali celo Google Računa. Potreben je le dostop do spletne povezave.

Google se zanaša na zamegljenost kot edino obrambo pred nepooblaščenim dostopom do skupnih medijev v storitvi Google Photos?

Jasno je, da Google ne uporablja več zaščitnih ukrepov in digitalnih vrat, da bi nepooblaščenim osebam preprečil dostop do skupnih slik in fotografij v storitvi Google Photos. Iskalni gigant se zanaša le na zamegljevanje spletne povezave do vsebine v skupni rabi kot edino zaščito, ki stoji med vsebino in dovoljenim ali nepooblaščenim dostopom.

V Googlovo obrambo hekerji ali ljudje z zlonamernim namenom skoraj ne morejo uganiti spletne povezave, ki omogoča dostop do skupnih fotografij in videoposnetkov. Vendar pa lahko v prihodnosti majhna napaka hekerjem to omogoči z obratnim načrtovanjem algoritma, ki deluje za generiranje URL-ja. Z enostavnimi besedami napadi s surovo silo, ki za ugibanje URL-ja uporabljajo močno računalniško strojno opremo, morda nikoli ne bodo mogli odobriti dostopa do skupnih medijev v storitvi Google Photos.

Dostop do pravilne in popolne spletne povezave je smešno preprost z nekaterimi drugimi pogosto uporabljenimi tehnikami. Tretje osebe, ki ne bi smele videti vsebine, bi lahko zlahka zaščitile URL, ki jim omogoča dostop do Google Foto. Nekatere najpogostejše metode odvzema URL-ja vključujejo nadzor omrežja, nenamerno skupno rabo ali nešifrirano e-pošto. Poleg tega bi lahko hekerji uvedli socialni inženiring, da bi ljudje nehote ali naključno delili povezave. Dostop do URL-ja je v bistvu edini potreben korak. Vsakdo, ki ima dostop do povezave, jo lahko nato preprosto postavi v kateri koli spletni brskalnik in si ogleda medij v skupni rabi. Še bolj zaskrbljujoče je, da lahko nepooblaščeni ljudje dostopajo do vsebine, tudi če niso prijavljeni v Google Račun.

Google na Google Photos odkrito ne navaja tako slabe zaščite, ponuja pa varnostno stikalo

Robert Wiblin vztraja, da Google Photos kupcu ne razkrije tega dejstva. Še bolj zaskrbljujoče je, da ni nobenega dokončnega načina za določanje ali ugotavljanje statističnih podatkov o medijih. Z drugimi besedami, ni ustreznih informacij, ki bi jih Googlove stranke želele določiti, kako pogosto in kdo si je ogledal skupne fotografije.

Google je znan po svoji enostavnosti in enostavnosti uporabe. Izdelki, ki jih razvija, so ponavadi brez zapletene strani z nastavitvami. Uporabniki lahko hitro krmarite ali celo iščejo določeno nastavitev. Pogosto so med izvajanjem iste vidne večine ustreznih nastavitev za določeno dejanje ali ukaz. Vendar to ne velja za Google Photos in zlasti za skupno rabo medijev.

PDA - Skupna raba Google Foto je privzeto javna (ni možnosti za omejitev) https://t.co/Toc01tUNw7

- Sergey Vershinin (@svershin) 16. julij 2019

Google Photos ne ponuja jasnih in neposrednih informacij o tem, kako je mogoče onemogočiti skupno rabo medijev, tako da drugi morda ne bodo več imeli dostopa do njih. Uporabniki storitve morajo odpreti meni za skupno rabo in premakniti miškin kazalec nad določen album v skupni rabi. Meni, ki se odpre, ponuja možnost brisanja albuma. Obstaja pa še en način za omejitev nepooblaščenega dostopa do medijev v skupni rabi v storitvi Google Foto. Namesto da bi izbrisali celoten album, lahko uporabniki poiščejo možnost, da prenehajo deliti povezavo v možnostih albuma.

Ta nedavno odkriti in še vedno uporaben način dostopa do vsebin brez izrecnega dovoljenja je precej resen. Vmesnik Google Photos je precej podoben Googlu Drive. Poleg tega sta bila do nedavnega neločljivo povezana. Zaradi tega več uporabnikov domneva, da ima fotografija enako pooblastilo in omejitve kot Drive. Vendar očitno ni tako. Poleg tega je nedavno ločevanje zadeve še bolj zapletlo.

Zanimivo je, da Googlu morda ni tako težko uskladiti vedenja skupne rabe v Google Foto z vedenjem Google Drive. Google Drive obravnava zasebne skupne rabe na podoben način kot »zasebni« videoposnetki v YouTubu. Do takšnih videoposnetkov lahko dostopajo samo pooblaščeni gledalci. Vendar se zdi, da Google Photos medij v YouTubu obravnava kot »nenavedene« videoposnetke. Če ima oseba povezavo do videoposnetka, si jo lahko zlahka ogleda. Če Photos začne dodajati pravila za preverjanje pristnosti in omejitve znotraj URL-ja ali na ciljni strani, lahko medij zaščitimo pred nepooblaščenim dostopom.