כנסו והצביעו: בעית אבטחה בגוגל פוטוס.

[yits]

בעבר נטפרי פתחו את תמונות גוגל לשימוש אישי ולא לשיתופים.
ואח"כ השירות נחסם ע"י נטפרי מכיוון שהתגלה שאפשר להשתמש בזה ללא הרשאות גישה.

פתחתי עכשיו בקשה בתמיכה של גוגל ודיווחתי על זה כבעית אבטחה.
אשמח אם תוכלו ללחוץ על הכפתור MeToo

https://support.google.com/photos/thread/1827081?msgid=1827081

הדיון הישן היה כאן:
http://forum.netfree.link/post/51245
http://forum.netfree.link/post/49866
https://tchumim.com/post/24899

[WWW]

@yits לינק בבקשה...
ד"א כתבו בעבר שזה לא כ"כ בעיית אבטחה, כי יש פג תוקף לקישור, אולי בזה לא.

[yits]

@WWW

https://support.google.com/photos/thread/1827081?msgid=1827081

מבדיקה שלי, אין פג תוקף.

[yossiz]

זה דבר מפורסם ולא נחשב כבעיית אבטחה. (גוגל חזקים באבטחה ולא נחשדים להשאיר חור כזה פתוח).
לינקים לכתבות בנושא.

1. https://www.theverge.com/2015/6/23/8830977/google-photos-security-public-url-privacy-protected

[WWW]

@yossiz אמר בכנסו והצביעו: בעית אבטחה בגוגל פוטוס.:

זה דבר מפורסם ולא נחשב כבעיית אבטחה. (גוגל חזקים באבטחה ולא נחשדים להשאיר חור כזה פתוח).
לינקים לכתבות בנושא.

1. https://www.theverge.com/2015/6/23/8830977/google-photos-security-public-url-privacy-protected

לפי מה שנראה מהכתבה, הסיבה העיקרית שזה כך היא:
כדי שיוכלו לשתף את התמונות באופן חופשי, גם בלי 'לשתף' בפועל, ושיוכלו לראות את התמונות גם בלי חשבון גוגל. (לא מתאים להם כ"כ ).

[dovid]

כפי ש@yossiz אמר אין בזה שום פירצה.
אף אחד לא אמור ולא יכול לנחש את הכתובת.
URL שלא ניתן לניחוש, בכתובת מאובטחת (הצפנת SSL), נחשב להגנה טובה.

[yits]

@dovid
אז למה זה חסום בנטפרי?
ניתן לעשות שלינק שנמצא בתוך HTML של אתר כלשהוא יהיה חסום,
אבל לינק שמתקבל כ Response לא ייחסם.

[dovid]

@yits אמר בכנסו והצביעו: בעית אבטחה בגוגל פוטוס.:

@dovid
אז למה זה חסום בנטפרי?

בגלל שנטפרי לא רוצה לשלוח לבדיקה את כל מה שמאונדקס בגוגל שקשור לדומיין הזה, ללא אבחנה כל שהיא.

ניתן לעשות שלינק שנמצא בתוך HTML של אתר כלשהוא יהיה חסום,
אבל לינק שמתקבל כ Response לא ייחסם.

לא הבנתי, בכל מקרה ההחלטה של נטפרי לחסום או לפתוח נעוצה רק בתשובה ישירה. כשיש לינק בHTML נטפרי בכלל לא "סופרת" אותו, והיא משאירה אותו ללא קשר להאם היעד חסום או פתוח. גם אם מדובר בתמונה בHTML (לזה התכוונת?) הדפדפן מבקש את זה כלינק ישיר בפני עצמו אלא שהוא מוסיף שדה reffer. בשביל לסמוך על הreffer הזה (כי אפשר עם קומבינה לשתול אותו תמיד גם אם זה לא פני המציאות), צריך לעשות מנגנון שנטפרי מיישמת במקומות מוגבלים מאוד בינתיים.

[WWW]

@dovid אמר בכנסו והצביעו: בעית אבטחה בגוגל פוטוס.:

בגלל שנטפרי לא רוצה לשלוח לבדיקה את כל מה שמאונדקס בגוגל שקשור לדומיין הזה, ללא אבחנה כל שהיא.

בגלל בעיית משאבים?

[magicode]

בגלל שזה לינק שחי לעצמו ללא הגבלה. יש אתרים שמשתמשים בו. להציג תמונות באתריהם.

[yits]

@dovid אמר בכנסו והצביעו: בעית אבטחה בגוגל פוטוס.:

בשביל לסמוך על הreffer הזה (כי אפשר עם קומבינה לשתול אותו תמיד גם אם זה לא פני המציאות), צריך לעשות מנגנון שנטפרי מיישמת במקומות מוגבלים מאוד בינתיים.

נטפרי כספק יכולים ליצור מערך זמני בכל session של התמונות שאני אמור לקבל מגוגל פוטוס, וזה כמובן מגיע מהשרת של גוגל (בתוך ה HTML).
ואח"כ כל בקשה שלי לצפייה בתמונה תבדק מול המערך.