फ्लिकर की "मूल छवि की अक्षम डाउनलोड" सुविधा कितनी सुरक्षित है?


17

में फ़्लिकर गोपनीयता सेटिंग पृष्ठ पर एक सेटिंग हकदार नहीं है "कौन अपनी मूल छवि फ़ाइलों तक पहुँच सकते हैं?"। अगर मैं इसे "एनी" (उदाहरण के लिए "केवल आप" या "आपके कॉन्टैक्ट्स") के अलावा किसी और चीज़ पर सेट करता हूं, तो क्या अनधिकृत उपयोगकर्ता के लिए मूल छवि को एक्सेस करने के लिए यह संभव है कि कोई बिना इसके लिए उन्हें URL दे? (मान लें कि मेरा मूल फ़ोटो 1024px से बड़ा है, इसलिए बड़े संस्करण से अलग एक मूल संस्करण है। यह भी मान लें कि यह लाइसेंस प्राप्त नहीं है ।)

मुझे अच्छी तरह से पता है कि एक बार उनके ब्राउज़र में एक छवि दिखाई देने के बाद, एक निर्धारित उपयोगकर्ता आसानी से इसे डाउनलोड कर सकता है, चाहे वह किसी भी कीटाणुनाशक (उदाहरण के लिए जावास्क्रिप्ट ब्लॉकर्स) हो जो ब्राउज़र उनके रास्ते में डालने की कोशिश करता है। हालाँकि, मेरा मानना ​​है कि निम्नलिखित सही हैं:

  1. यदि वे फ़्लिकर पर मूल आकार पृष्ठ (जैसे यह पृष्ठ ) देखने का प्रयास करते हैं तो एक अनधिकृत उपयोगकर्ता को केवल एक त्रुटि पृष्ठ दिखाई देगा ।

  2. हालाँकि उस पृष्ठ का URL आसानी से अनुमान sizes/o/लगाने योग्य है (बस नियमित फ़ोटो पेज URL के अंत में जोड़ें ), वास्तविक मूल छवि फ़ाइल के URL में एक यादृच्छिक घटक होता है और आसानी से अनुमान नहीं लगाया जा सकता है।

कर रहे हैं बहुत सारे के लोगों फ़्लिकर पर और कहीं और कह अक्षम डाउनलोड सेटिंग बेकार है, लेकिन मैं कोई सबूत नहीं देखा है। क्या किसी को कुछ पता है कि यह बाईपास किया जा सकता है? यदि आप हां कहते हैं, तो मैं आपसे मेरी नवीनतम छवि का मूल आकार भेजकर इसे साबित करने की अपेक्षा करूंगा ! (यह केवल मित्रों और परिवार के लिए उपलब्ध होने के लिए है - इसलिए आप नहीं, अंकल गोबर ...)

कुछ संदर्भ: मुझे यह इंगित करना चाहिए कि मैं फ़ोटो चुराने के लिए नहीं देख रहा हूं, मैं यह समझने की कोशिश कर रहा हूं कि मेरा खदान कितना सुरक्षित है, विशेष रूप से इस भू-दृश्य खामियों के संबंध में जो आज रिपोर्ट किया गया था।


2
कृपया ध्यान दें कि यह एक प्रोग्रामिंग प्रश्न नहीं है: मैं यह नहीं पूछ रहा हूं कि यह कैसे किया जा सकता है। यह एक फोटोग्राफी सवाल है: मैं जानना चाहता हूं कि क्या मेरी छवियां फ़्लिकर पर सुरक्षित हैं या यदि इसके विपरीत कोई सबूत हैं।
मार्क व्हाइटेकर

मैं किसी भी छवि को डाउनलोड कर सकता हूं जिसे आप हमें देखने की अनुमति देते हैं, ताकि ब्लॉक की कोशिश करना काफी बेकार हो। हैक फ़्लिकर (और मेरे खाते को जोखिम में डालने के प्रयास के लिए) को समर्पित किए बिना, यह विशेष रूप से यह कहना आसान नहीं है कि क्या आपके मूल को अनुमति के बिना पुनर्प्राप्त किया जा सकता है।
जॉन कैवन

@ जॉन हाँ, आपका पहला वाक्य सही है - मैंने अपने प्रश्न में यही कहा था। मैं किसी से भी फ़्लिकर को हैक करने की कोशिश करने के लिए नहीं कह रहा हूँ, अगर किसी को पता है कि वहाँ बाहर किसी भेद्यता की खबर देखी गई है तो बस आश्चर्य होगा।
मार्क व्हाइटेकर

@ मर्क, अच्छा सवाल है।
बीडब्ल्यू

जवाबों:


18

मैंने अपने दम पर कुछ जांच की, अपने स्वयं के फ़्लिकर खाते और ब्राउज़र में गैर-लॉग का उपयोग किया।

यहाँ मेरी तस्वीरों में से एक के लिए ऑल साइज़ पेज है

मुझे बदलने से पहले "आपकी मूल छवि फ़ाइलों को कौन एक्सेस कर सकता है?" गोपनीयता और अनुमतियों में सेटिंग, एक सामान्य इंटरनेट उपयोगकर्ता अन्य आकारों के अलावा " मूल " लिंक देख सकता था । उस पेज में एक <img>टैग था जो इस url से जुड़ा था । "ऑल साइज़्स" पेज में एक लिंक भी था जिसमें कहा गया था कि इस तस्वीर का मूल आकार डाउनलोड करें । (यदि आप URLS की जांच करते हैं, तो ध्यान दें कि _dफ़ाइल नाम पर एक प्रत्यय है; फ़्लिकर इसे देखेगा और HTTP हेडर को ट्रिगर करेगा जो ब्राउज़र को छवि प्रदर्शित करने के बजाय डाउनलोड करने के लिए कहता है)।

तुलना के लिए, यहां बड़े आकार का पृष्ठ और संबंधित छवि URL है

फिर मैंने गोपनीयता सेटिंग बदल दी, अपने गैर-लॉग-इन ब्राउज़र पर कैश को साफ़ कर दिया और लिंक को पुनः प्राप्त किया। यहाँ मैं क्या पाया:

  • मूल आकार पृष्ठ का लिंक अब बड़े आकार के पृष्ठ पर भेज देता है । यह उचित है।
  • सभी आकार पृष्ठ में मूल आकार के लिंक नहीं थे, जैसा कि अपेक्षित था।
  • मैं अभी भी मूल आकार की छवि डाउनलोड करने में सक्षम था
    • यह थोड़ा आश्चर्य की बात है। इसका मतलब है कि, जबकि छवियों वाले पृष्ठों पर एक्सेस प्रतिबंध है, छवियों पर कोई सुरक्षा नहीं है
    • एक वेब डेवलपर के रूप में मैं समझ सकता हूं कि उन्होंने ऐसा क्यों किया। चित्र बड़े और स्थिर हैं और संभवतः एक सामग्री वितरण नेटवर्क के माध्यम से परोसा जाता है। यह छवि फ़ाइलों के लिए अनुमतियों की जांच नहीं करने के लिए तेज़ / अधिक कुशल है; आप बस उन्हें उस तरह से एक "गूंगा" वेब सर्वर पर होस्ट कर सकते हैं।

तो, एक बार मूल फ़ाइल के लिए URL में जाना जाता है, वहाँ फ़ाइल के मूल संस्करण को डाउनलोड करने से रोकने के किसी को कोई रास्ता नहीं है (यह पूरी तरह हटाने की कमी ... और है कि नहीं भी काम करते हैं। मैं कोशिश नहीं की सकती है)।

एक अंतिम मुद्दा: मूल फ़ाइल URLS कितने अनुमानित हैं? यहाँ वे अगल-बगल हैं:

Large:    http://farm7.static.flickr.com/6126/6044833128_cc02cf41e3_b.jpg
Original: http://farm7.static.flickr.com/6126/6044833128_3b8eac89d7_o.jpg

तो, प्रत्यय ( _bया _o) आकार निर्धारित करता है, लेकिन फ़ाइल नाम में एक और तत्व भी होता है जो आकार के आधार पर भिन्न होता है। आप प्रत्यय को फ्लिप आकार में नहीं बदल सकते। यहाँ प्रत्यय के साथ बड़े संस्करण के लिए URL दिया गया है _o; यह काम नहीं करता है।

अगर मैं फ़्लिकर था, तो मैं यह सुनिश्चित करूँगा कि मध्य तत्व पूरी तरह से प्रति फोटो आकार में यादृच्छिक था, और इसलिए क्रूर बल हमले को छोड़कर यह अविश्वसनीय था। यह 40 बिट लंबा है, इसलिए संभावित विकल्पों में बहुत कुछ (2 ^ 40, ~ 1 ट्रिलियन) है। यह बहुत संभावना नहीं है कि कोई भी उस सेगमेंट को ब्रूट-फोर्स करने के लिए परेशान करेगा, बस एक फ़ाइल का मूल आकार संस्करण प्राप्त करने के लिए ... जब उनके पास पहले से ही बड़ा संस्करण होगा।

इसलिए, जब तक आपने "मूल फ़ाइल डाउनलोड" सुविधा बंद कर दी है और आप मूल चित्रों के URL को साझा नहीं करते हैं , मैं कहूंगा कि फ़्लिकर सुविधा बहुत सुरक्षित है। यदि यह टूट जाता है, तो यह आपकी अपनी गलती है।


6
मेरे लिए एक अपवाद है "यह आपकी अपनी गलती है" निष्कर्ष। जैसा कि @ इमर ने उल्लेख किया है, फ़्लिकर आमतौर पर गैर-सुरक्षित HTTP कनेक्शन का उपयोग करता है, जिसका अर्थ है कि आपके ब्राउज़र और फ़्लिकर (आपकी कंपनी, आपका आईएसपी) के बीच कोई भी आपके URL पर सुन सकता है। यदि आप मूल आकार पृष्ठ ब्राउज़ करते हैं, तो आपको मूल आकार-छवि URL मिलेगा; एक हमलावर इसे सूँघ सकता है और URL को बचा सकता है। हालाँकि, अगर कोई आपके HTTP ट्रैफ़िक पर सुन रहा है, तो IMO में आपको अपने फ़्लिकर ओरिजिनल को सुरक्षित रखने की तुलना में बड़ी समस्याएं हैं।
क्रेग वॉकर

लिंक प्रदान करने के लिए धन्यवाद, मैं कैशिंग हेडर को अब सत्यापित करने में सक्षम था!
Imre

2
आपको अपना मूल आकार पृष्ठ भी ब्राउज़ करने की आवश्यकता नहीं है; फ़्लिकर पर कुछ भी ब्राउज़ करें और स्निफ़र आपके द्वारा उपयोग किए जाने वाले सत्र कुकी के साथ खुद को मदद कर सकता है।
Imre

2
यह एक महान जवाब है: आपके विश्लेषणात्मक दृष्टिकोण और स्पष्ट स्पष्टीकरण के लिए +1। मुझे पता था कि मूल छवि URL अप्रमाणित है (यानी URL के साथ किसी के लिए भी उपलब्ध है) - जो मेरे प्रश्न में निहित है ("क्या यह अभी भी संभव है [...] बिना किसी को इसके लिए URL दिए? ") लेकिन इसके लिए धन्यवाद स्पष्ट रूप से इसका उल्लेख करना। :)
मार्क व्हिटकर

@ मर्क व्हाइटकर: आपका बहुत स्वागत है। मैं छवि के URL और उस पृष्ठ के URL के बीच अंतर स्पष्ट करना चाहता था जिसमें छवि शामिल थी ... विशेष रूप से वह जो अनुमतियाँ संलग्न करता है।
क्रेग वॉकर

3

यह पृष्ठ (फ़ायरफ़ॉक्स प्लगइन से जुड़ा है जो बिल बुनकर पोस्ट करता है) स्थिति को संक्षेप में प्रस्तुत करने का एक अच्छा काम करता है, जिसमें छवि URL में "यादृच्छिक घटक" शामिल है, जिसका मैंने सवाल किया था।

लेखक नोट करता है:

इसका मतलब यह है कि भले ही आप छोटे आकारों में से किसी एक के लिए फ़ाइल नाम प्राप्त करने की समस्या के लिए जाते हों, आप मूल फ़ोटो के फ़ाइल नाम का अनुमान नहीं लगा सकते हैं , और छवि चोरी के बारे में चिंतित फोटोग्राफरों के लिए यह बहुत अच्छी खबर है।

"अनुमान नहीं लगा सकते" - महान! :) लेकिन फिर उसने कहा:

अच्छी बात यह है कि फ़्लिकर ने फ़ाइल नामों को यादृच्छिक रूप से बदलने के बाद, फ़ाइल के मूल आकार के लिए URL का अनुमान लगाना असंभव हो गया ।

" असंभव के आगे " - इतना महान नहीं! :( लेकिन मुझे लगता है कि वह सिर्फ इसका मतलब है कि पर्याप्त समय और प्रसंस्करण शक्ति दिया है आप इसे एक क्रूर-बल के हमले के साथ दरार कर सकते हैं । यदि हां, तो यह मेरे लिए काफी अच्छा है: मैं उन बाधाओं को ले जाऊंगा। :)


2
मैं आपके द्वारा पोस्ट की जाने वाली एक छवि पर एक क्रूर-बल के हमले के बारे में चिंतित नहीं होगा (यह कहने के लिए नहीं है कि वे इसके लायक नहीं हैं :)। बड़ी चिंता (मेरे लिए, कम से कम) अगर किसी अन्य छेद की खोज की जाती है, तो कोई फ़्लिकर में कोई गलती करता है और गलत लीवर पर झूठ बोलता है, या वे अपनी नीतियों को बदलते हैं (हृदय परिवर्तन के कारण, अन्य लोगों के साथ एक अधिग्रहण विचारों, आदि)।
bw

2
असंभव के बगल में शायद इसका इरादा होना चाहिए जैसे कि यह कड़ाई से असंभव नहीं है लेकिन यादृच्छिक संख्या जनरेटर को क्रैक करना या तो यादृच्छिक जीन में ही कुछ गंभीर दोष की आवश्यकता होगी (असंभव नहीं, ऐसा ही कुछ दुर्भाग्य से हुआ जो मुझे लगता है कि डेबियन के साथ लगता है, देखें debian.org/security/ 2008 / dsa-1571 ), शायद इस प्रक्रिया में ऐसे अनुमानों की एक विशिष्ट संख्या की आवश्यकता होती है, जो फ़्लिकर सर्वर को संदिग्ध होना चाहिए।
फ्रांसेस्को

अब आप इनाम के लिए प्रयास / जोखिम के दायरे में हैं और मुझे संदेह है कि फ़्लिकर पर बहुत कुछ है जो जोखिम को हल करेगा। यह छवि की गुणवत्ता का आश्वासन नहीं है, यह सिर्फ एक आश्वासन है कि छवि को फिर से बनाना कम प्रयास और बहुत कम जोखिम हो सकता है। यह विज्ञापन उद्योग द्वारा भी किया गया है।
जॉन कैवन

3

फ़्लिकर डिफ़ॉल्ट रूप से गैर-सुरक्षित वेब प्रोटोकॉल (HTTP) का उपयोग करता है, इसलिए किसी व्यक्ति से सत्र अपहरण के बाद किसी भी चित्र को एक्सेस किया जा सकता है जो उन्हें एक्सेस कर सकता है। सत्र अपहरण के लिए, हमलावर को उसी वायरलेस एक्सेस प्वाइंट या कुछ मध्यवर्ती नेटवर्क नोड तक पहुंचकर पीड़ित के नेटवर्क ट्रैफ़िक पर छिपकर बात करने में सक्षम होना चाहिए। Firesheep जारी होने के बाद सार्वजनिक वायरलेस स्पॉट में जोखिम काफी महत्वपूर्ण हो गया है - एक फ़ायरफ़ॉक्स प्लगइन जो स्वचालित रूप से कुकीज़ को अन्य लोगों को उसी वायरलेस क्षेत्र में उपयोग करता है और उन्हें आसान उपयोग के लिए प्रस्तुत करता है।

इसके अलावा, चित्र हेडर के साथ आते हैं जो मध्यवर्ती वेब कैश को सालों तक रखने की अनुमति देते हैं। इसलिए वेब कैश ब्राउज़ करने के लिए एक्सेस प्राप्त करना उन मूल छवियों तक पहुंच प्रदान कर सकता है जिन्हें उस कैश के माध्यम से देखा गया है।

मैं आपके या आपके मित्रों के नेटवर्क कनेक्शन या कैश का पीछा नहीं करने जा रहा हूं, इसलिए नहीं, मैं आपको आपकी मूल छवि नहीं भेजने जा रहा हूं। लेकिन सुरक्षित खेलने के लिए, आपकी सबसे अच्छी शर्त मूल छवियों को अपलोड करना नहीं है।


4
Photo.SE HTTP का भी उपयोग करता है, इसलिए वास्तव में यह पोस्ट मेरे अलावा किसी और ने लिखी होगी :)
Imre

2

यदि यह प्रदर्शित होता है, तो निश्चित रूप से आप इसे सहेज सकते हैं। यदि मूल सुरक्षित हैं, तो तब तक नहीं जब तक कि URL ज्ञात न हो। लब्बोलुआब यह है बहुत सुरक्षित और कोई मुझे नहीं लगता कि यह डाउनलोड किया जा सकता है।

फ़्लिकर-मूल फ़ायरफ़ॉक्स प्लगइन यह करने के लिए (मैं निष्क्रिय इसलिए ग्रहण) पहली बार में लगता है, लेकिन वास्तव में अगर आप जनता के देखने से अपने मूल संरक्षित किया है बड़े आकार डाउनलोड करता है। मैंने इस प्लगइन के साथ आपकी फ़ोटो का 1024 x 580 संस्करण डाउनलोड किया है।


नहीं तो मूल सेट करने के लिए अनुमति नहीं है। URL हैक को हटा दिया गया है, यह आपको अभी उपलब्ध सबसे बड़े ईमेल पते पर भेज देता है। यही प्लगइन लेखक भी बताता है।
जॉन कैवन

1
हममम ... हाँ, तुम सही हो, @ जॉन। मैंने कहा कि "purport" केवल प्लगिन नाम में "मूल" को देखते हुए। :)
bw

@ क्या आपने 1200px मूल छवि डाउनलोड की है? मुझे ऐसा नहीं लगता: वह पेज जो आपको " कैविट्स: स्टेट्स" से जुड़ा हुआ है, यह उन चित्रों पर काम नहीं करेगा जिन्हें फ़ोटोग्राफ़र ने 'ऑल राइट्स रिज़र्व्ड' के रूप में चिह्नित किया है या डाउनलोड करने को अक्षम कर दिया है। हो सकता है कि आपके पास 1024px बड़ा संस्करण हो, लेकिन यह प्रश्न विशेष रूप से मूल आकार से संबंधित है।
मार्क व्हाइटेकर

1
@ मर्क, जैसा कि मैंने कहा, मैंने 1024 x 580 चित्र डाउनलोड किया। हो सकता है कि मैं बंदूक कूद गया और एक जवाब में मेरा प्रारंभिक पास यह नहीं कहा। लेकिन, हाँ, 1024 वही है जो इसे डाउनलोड करता है।
बीडब्ल्यू

1
ऐसा प्रतीत होता है, हाँ। :) मैं जो बता सकता हूं, उससे फ़्लिकर आपके छवि के स्वामित्व को बहुत गंभीरता से लेता है और ध्यान से साझा करने, सार्वजनिक पहुंच और आपके अधिकारों के बीच ठीक लाइन चलता है। उस पर राय अलग है, और वे गलतियाँ करते हैं, लेकिन यह मेरा समग्र रूप है। दूसरी ओर, मुझे अपनी मूल छवियों को अपलोड करने के लिए इस पर भरोसा नहीं है ।
बीडब्ल्यू

-1

फ़ायरफ़ॉक्स प्लगइन Tamperdata छवि के लिए संरक्षित यूआरएल की खोज की अनुमति देगा। ऐसा करना तुच्छ है। सुरक्षा की एकमात्र परत अस्पष्टता प्रतीत होती है।


3
वास्तव में? क्या आप इस चित्र का मूल (2400x1600) आकार संस्करण डाउनलोड करके इसे साबित कर सकते हैं ? मुझे संदेह है कि आपने प्रश्न को ठीक से नहीं पढ़ा है।
मार्क व्हाइटेकर

-3

यह सब करने के लिए आसान तरीका है (सफारी का उपयोग करके) सभी शब्दजाल के बिना आप लोग वहां से बाहर निकाल रहे हैं। सभी छवियों पृष्ठ पर जाएं। वेब इंस्पेक्टर को दिखाने के लिए एक बार जब आप अपना विकसित ड्रॉप डाउन मेनू सक्षम कर लेते हैं। डेवलपर विंडो के बाईं ओर, छवियों को नीचे देखें। उस पर क्लिक करें और लंबी संख्या के साथ स्ट्रिंग देखें। जब आप उस पर क्लिक करते हैं, तो छवि डेवलपर विंडो में दिखाई देगी। दाईं ओर आपको छवि URL दिखाई देगा। URL को एक नई ब्राउज़र विंडो में कॉपी और पेस्ट करें और छवि दिखाई देती है और वहां से डाउनलोड की जा सकती है। या बस डेवलपर विंडो से छवि खींचें। (संभवतः इसका नाम अज्ञात में बदल जाएगा।

मेरी कार्यप्रणाली का स्क्रीन शॉट


3
आपने या तो प्रश्न को गलत बताया है या समस्या को गलत समझा है। मैंने स्पष्ट रूप से कहा "मुझे अच्छी तरह पता है कि एक बार उनके ब्राउज़र में एक छवि दिखाई देने के बाद, एक निर्धारित उपयोगकर्ता इसे आसानी से डाउनलोड कर सकता है" । आपने केवल बड़े आकार को डाउनलोड किया है, मूल को नहीं। प्रश्न को फिर से पढ़ने की कोशिश करें और मुझे यकीन है कि आप देखेंगे कि मैं क्या पूछ रहा था। दुर्भाग्य से आपके लिए "शब्दजाल" एक कारण से है!
मार्क व्हिटकर
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.