it-swarm-eu.dev

Quanto è improbabile che venga indovinato un link di Google Doc?

La maggior parte (se non tutti) di noi sa che un collegamento a Google Doc è simile a questo: https://docs.google.com/document/d/13P3p5bA3lslqEJT1BGeTL1L5ZrQq_fSov_56jT9vf0I/edit

Ci sono diversi strumenti (come Trello) che ti consentono di "allegare" un documento dal tuo Google Drive. Quando alleghi un documento, devi accedere manualmente e aggiungere persone al documento, oppure dire che chiunque abbia un link può modificare, visualizzare o commentare.

Dal punto di vista della sicurezza, quanto è rischioso dire che tutti possono modificare? Qual è la probabilità che qualcuno possa indurre la forza bruta a indovinare il tuo link di Google Doc e quindi ottenere l'accesso al tuo documento?

La mia ipotesi qui è che ci sono strade molto più facili (ad esempio indovinare il Trello PW di qualcuno, la decrittazione del tubo di gomma) per ottenere l'accesso a qualsiasi informazione cercasse l'attaccante, principalmente sul fatto ovvio che ci sono molti personaggi lì, oltre al supponiamo che Google probabilmente tenga d'occhio quel tipo di comportamento subdolo ...

Ma diciamo che sei stato in grado di forzare i collegamenti in modo bruto - quali sono le vulnerabilità con questo approccio?

20
Wayne Werner

Supponendo che la distribuzione dell'ID documento sia uniforme e imprevedibile, ecco la matematica:

  • 44 caratteri lunghi
  • Maiuscole, minuscole, cifre e trattino basso =
    26 + 26 + 10 + 1 = alfabeto di 63 caratteri

Perciò:
Totale combinazioni possibili: 6344
Spazio tasti : 263 bit ⇐ 44 * log2(63)

E sappiamo che forzare brutalmente una chiave a 263 bit in qualsiasi ragionevole lasso di tempo (durata dell'universo) è ben al di là di ciò che le leggi della fisica permetteranno, indipendentemente da quanto possano essere avanzati e magici e "quantistici" i computer.

Questa affermazione può sembrare un po 'audace, ma deriva dal fatto che il Sole semplicemente non emette abbastanza energia in un lasso di tempo tale da contare così in alto. Vedi la pagina 157 di Schneier Applied Cryptography per i dettagli, oppure guarda questa risposta qui dove ho riassunto la matematica, oppure questa risposta dove Lynks ha citato l'intera sezione del libro di Schneier.

In particolare, l'energia del sole è sufficiente per contare fino a 2187 all'anno, nel senso che ci vorranno 276 anni con il nostro sole, 275 anni se potessimo sfruttare 2 soli, ecc. Potresti a malapena avere abbastanza potenza per contare fino a 2256 se dovessi alimentare il tuo computer con la distruzione della supernova di ogni stella nella Via Lattea. Quindi sta arrivando da qualche parte.

18
tylerl

Anche se la forza bruta può richiedere molto tempo (vicino all'infinito), non è davvero intelligente proteggere i documenti riservati in quel modo. Se non ti interessa chi lo legge, non importa. Ma non metterei le specifiche del tuo ultimo progetto su Google Documenti.

Stai anche rischiando il fatto che i collegamenti potrebbero perdere, quando è necessaria l'autenticazione puoi comunque impedire alle persone di accedere al tuo file. Se, tuttavia, l'autenticazione non viene forzata, chiunque può mettere le mani sul collegamento può visualizzare il documento.

6
Lucas Kauffman

Sarei più propenso a cercare di assicurarmi che tutti i miei utenti avessero accessi google e autorizzazioni sulla cartella documenti: tra "spalancata" e "aggiungi ogni autorizzazione singolarmente" sono presenti sfumature di grigio.

Apocryphally ho visto "schemi" nei collegamenti di documenti, quindi non sono convinto del livello di sicurezza fornito, anche se non vorrei provare a rompere me stesso!

Inoltre, fai attenzione agli attacchi "link around around": qualcuno ha ricordato i browser che lo ricordano, ci sono anche cache, log dei proxy web, accorciatori di URL, motori di ricerca, inoltro di email ... ogni sorta di modi dubbi in cui il link potrebbe diffondersi, probabilmente per le persone chi può trovarlo "utile".

Peggio ancora, usando il metodo "tutto aperto", non sapere se qualcuno sta frugando, e se lo fanno, applicare più sicurezza dopo il fatto farà schifo doublehard.

2
Tom Newton

L'ho messo attraverso un tester di complessità della password su http://howsecureismypassword.net/ e il risultato è stato "Ci vorrebbero un PC desktop per circa 802 miliardi di anni per decifrare la tua password". (Sembra essere un tempo piuttosto lungo).

Che, ovviamente, assume una password casuale, il che non è probabilmente il caso qui. C'è quasi sicuramente un algoritmo che crea questi ID documento e se l'algoritmo può essere indovinato, ciò aumenta sicuramente le probabilità che qualcuno possa indovinare gli ID.

Inoltre, nessuno strumento di "sicurezza password" è perfetto. Quella volta è un'ipotesi di un sistema che probabilmente fa ipotesi che possono essere o non essere valide. Il punto di pubblicarlo era solo una linea di base "Non sapendo nient'altro, quanto sarebbe difficile forzare questa forza?"

Ma di per sé, indovinare l'ID di un determinato ID associato a un determinato account sarebbe estremamente difficile. Un utente malintenzionato dovrebbe essere registrato come qualcuno che ha accesso a un documento specifico, il che riduce notevolmente il rischio.

Supponendo che la parte relativa alle autorizzazioni di Google Documenti sia solida: solo le persone a cui hai ottenuto le autorizzazioni per visualizzare il documento possono effettivamente accedervi. Da ciò, è probabile che un utente che ha effettuato l'accesso possa solo documenti a forza bruta per i quali dispone già di autorizzazioni.

La complessità dell'ID non è l'unico strumento di sicurezza, è uno strato di oscurità in aggiunta alla sicurezza già esistente. Può essere sicurezza dall'oscurità in un certo senso, ma non è l'unico fattore. La sicurezza per oscurità è cattiva solo quando è la solo misura di difesa. Se aggiunge complessità al compito in cui non vi è alcun danno e può certamente rallentare un attaccante. Non è sicuro fare affidamento su di esso come unica difesa.

1
David Stratton

Vorrei aggiungere qualcosa qui per quanto riguarda il "livello di sicurezza". Perché la realtà della domanda si riduce a quanto sono "sicuro" o "è così sicuro". La risposta non è affatto sicura.

Ciò che dobbiamo esaminare è qual è la probabile causa di questo compromesso. Ora spiegare questo è già stato tentato ma nudo con me. Proverò a dare una visione diversa.

Il link è crittografato .. tipo di ma non proprio. Questa è sicurezza attraverso l'oscurità, non la crittografia. Quindi la speranza è che il tuo link non sia mai scoperto o indovinato e basta ... niente qui è crittografato ... niente. La crittografia è l'atto di convertire i dati in qualcos'altro/diverso da quello che era originariamente se si stava mescolando o cambiando/sostituendo completamente le informazioni. È sicuramente difficile indovinare questo URL senza dubbio, senza dubbio, ma questo URL è ancora solo un URL e una volta colpito restituirà e fornirà l'accesso alle tue informazioni.

Sì, ma nessuno lo immaginerà tra un milione di miliardi di anni ... beh, speri! Il fatto è che potresti non sapere mai se e quando lo farà. La forza bruta è sofisticata e gli hash possono essere indovinati molto bene, non è come se stessero per indovinare Aaaaaaaaaaaaaaaaaaaa1, Aaaaaaaaaaaaaaaaaaaa2, ecc. Così tante molte cattive opzioni saranno eliminate. determineranno cosa viene fatto l'hash e faranno valori matematici legittimi. Sono quindi in grado di creare una tabella di tutti i possibili valori e di federarli su grandi botnet o strumenti come AWS lambda ecc. Dove possono provare rapidamente milioni di richieste ed è traffico legittimo su Google in tutto il mondo.

Inoltre, il tuo traffico non è sicuro in gran parte di dove vai e cosa fai sanguina ovunque e altri lo faranno. Quindi analisi web/plugin/malware/coffee shop/ecc. Possono contenere codici errati o contenere attacchi che prendono il tuo URL e lo espongono a gruppi maligni.

Il problema più grande è che non sai mai chi vede e accede ai tuoi file e se hai cose lì dentro non desideri che nessuno abbia accesso, rimuovi immediatamente il link di condivisione.

Spero che questo faccia luce sui collegamenti condivisi che questo problema esiste per Dropbox o qualsiasi altro collegamento condiviso in cui non vengono fornite credenziali e i file non sono crittografati o protetti a riposo.

0
David