Tak, powinieneś zgłosić problem firmie - z zachowaniem ostrożności.

Aktualizacja: krótszą, ale bardzo kompletną odpowiedź udzielił @crovers . Ale jeśli masz cierpliwość ...

... problem polega nie tylko na możliwości śledzenia J. Random Stranger, ale raczej na tym:

• gdy ktoś otrzyma Twój identyfikator, najwyraźniej nie możesz go odebrać i nie traci ważności. Ta osoba może teraz podążać za Tobą wszędzie (pomyśl „ nadmiernie przywiązana dziewczyna”). Ponadto ten identyfikator może wyciekać. E-maile są przekazywane przez pomyłkę, a czasami mały, łatwy do przeoczenia glif ... w programach pocztowych obejmuje wiele poufnych informacji.

• nie nawet musisz mi go dać . Jeśli identyfikatory są sekwencyjne [jak skomentował @crovers], mogę zestawić je wszystkie w bardzo krótkim czasie, sprawdzić ich położenie i łatwo wyodrębnić pięć lub sześć, które są wystarczająco blisko pozycji Wiem, że możesz być. Jutro pozostałych pięciu lub sześciu będzie wystarczająco blisko innego miejsca, w którym teraz jesteś; z tych pięciu, może dwóch było w oryginalnej piątce, więc musisz być jednym z tych dwóch. W stosunkowo krótkim czasie zawęziłem moich kandydatów do jednego : mam teraz twój identyfikator i mogę cię prześladować, a ty nie jesteś mądrzejszy .

• Mogę cię nawet nie znać . Identyfikator może być użyty do wyśmiewania nieznajomych. Po prostu trochę googlowałem i znalazłem kilka tysięcy użytkowników Facebooka, którzy chwalili się swoim nowym (NAZWA GADŻETU ZWIĄZANEGO Z GPS). Użyłem bardzo znanej marki, więc Twój gadżet będzie miał może tylko sto osób, które mogę łatwo znaleźć. Jestem przekonany, że połowa z nich będzie rutynowo publikować zdjęcia o tym, gdzie się znajdują ( czy Facebook czyści informacje EXIF ​​GPS? ). Za chwilę jeden z nich, który wpadł mi w oko, może otrzymać wiadomość o treści „Jaka jest pogoda w Old Nowhereville?”. nawet jeśli on (lub ona) nigdy nikomu nie powiedział nic o tym, gdzie jest (lub ona), ani nawet niczego nie opublikował. Takie figle - i świadomość, że jakiś nieznajomy najwyraźniej jest tobą zainteresowany i zawsze wydaje się wiedzieć, gdzie jesteś - mogą całkowicie zrujnować ci dzień. I mogą całkowicie zrujnować dzień firmy, jeśli niektórzy oszukani ludzie przekonają się, że ich GPS można w jakiś sposób „zhakować zdalnie”, nawet jeśli, tak jak w tym przypadku, w ogóle tak się nie dzieje. Tak, mam chory umysł - ale nie jestem jedyny, więc możesz wskazać pracownikom firmy tę stronę - i, aby powtórzyć kolejną bardzo dobrą wypowiedź @crovers i Arminius, zrób to anonimowo. Potencjalne szkody dla nich są ogromne i wyświadczasz im wielką przysługę, wskazując im to . Ale niektóre firmy mogą reagować odruchowo i próbować zmusić Cię do milczenia, wierząc, że to coś rozwiązuje (lub nawet całkowicie rozwiązuje sprawę); Historia Nobla Richarda P. Feynmana stanowi przezabawną lekturę („ To było jego rozwiązanie: byłem zagrożeniem! ”).

Właściwie im pomagasz.

• Zaufaj mi, wiele, wiele osób zrobiłoby dokładnie to, co Ty widząc „id = XXXXX” w adresie URL. Ja bym to zrobił. Założę się, że w zależności od popularności gadżetu wielu innych już to zrobiło. Więc to nie tak, że rozpętasz apokalipsę zombie nad kimś, kto w przeciwnym razie pozostałby bezpieczny - prawdopodobnie będziesz pierwszym, który miał sumienie powiedzieć im, że w ogóle nie są bezpieczni . Ponieważ jest to znacznie rzadsze niż ciekawość zmiany identyfikatora.

Zupełnie tak nie musiało być.

Jest trywialnie , z punktu widzenia firmy, naprawienie tego problemu poprzez umożliwienie każdemu użytkownikowi odtworzenia na żądanie innego tajnego identyfikatora w dowolnym momencie. A nawet ustaw datę ważności. I nadal mogliby to zrobić teraz .

Bardzo szybkim rozwiązaniem mogłoby być proxy ich witryny internetowej przez prosty filtr połączony z bazą danych.

Twój nowy adres URL to, powiedzmy, http://www.example.com/mylocation/?id=22b255b332474ae3e7f008cc50ebe3e0& ...

lub można to przetłumaczyć to do „true.pony.pile.main.jazz.call.mine.soft.pink.rake.jane”, aby uzyskać coś łatwiejszego do zapamiętania lub podyktowania przez telefon.

^{pierwsze cztery słowa są w pewnym stopniu powiązane z „prawidłową zszywką do baterii dla koni”} .

Serwer proxy sprawdza bazę danych i stwierdza, że ​​ 22b255b332474ae3e7f008cc50ebe3e0 jest prawidłowym identyfikatorem i jest powiązany z „prawdziwym” (lub „starym”) identyfikatorem 12345 , więc przekształca adres URL, zastępując go po prostu 12345, wysyła żądanie do prawdziwej, ukrytej witryny, pobiera stronę z powrotem, przepisuje wszystkie 12345 z oryginalnymi elementami 22b2 ... i hej presto! , zewnętrzną użytkownik może zobacz, gdzie jesteś, ta sama strona co poprzednio, ale nie ma możliwości dowiedzenia się, że prawdziwy identyfikator to 12345 (i nawet gdyby wiedział, nie miałby sposobu, aby go przekazać do systemu, który teraz akceptuje tylko skróty ).

Ale teraz użytkownik 12345 może mieć tyle aktywnych identyfikatorów, ile firma chce (lub sprzedaje !) i może przekazać jeden swojej mamie, drugi swojemu SO wkrótce. Jeden dowód wycieka albo zrywa ze swoim przyjacielem - unieważnia ten jeden. Staje się również możliwe, aby dowiedzieć się, ile dostępów było do każdego identyfikatora, więc węszenie może być dwukierunkowe. Prawdopodobnie tylko dla użytkowników premium :-D. W przypadku niektórych identyfikatorów witryna może nawet udostępniać losowe informacje lub mało precyzyjne współrzędne GPS.

A jeśli chcesz odgadnąć losowo prawidłowy identyfikator - cóż, jest ich około 2 ¹²⁸ . Gdyby każdy klient miał sto jednorazowych identyfikatorów (powiedzmy 2 ⁷ ), a firma miała miliard klientów (powiedzmy 2 ³⁰ ), nadal istniałaby około jedna możliwość ponad 2 ⁹⁰ , aby uzyskać prawidłowy identyfikator, próbując losowo. Jeśli to za mało (lub jeśli moja matematyka była trochę krzywa), są też większe skróty.

A stary identyfikator już nie działa, ponieważ nie możesz połączyć się z oryginalnym serwerem bez identyfikatora. podaży jest zaszyfrowana.

Biorąc pod uwagę rozsądny koszt wdrożenia (kilka dni dla jednego programisty i jednego inżyniera ds. kontroli jakości, a ja jestem mocno ), jestem trochę zdumiony, że nie zostało to zaprojektowane od samego początku.

Tak. Powinni używać długiego, niemożliwego do odgadnięcia ciągu znaków zamiast przewidywalnego, krótkiego.

Uznałbym to za lukę w zabezpieczeniach, którą mogą stosunkowo łatwo naprawić.

Jednak Ostrzegam - niektóre firmy nie radzą sobie zbyt dobrze z takimi sytuacjami. Niektórzy twierdzą (moim zdaniem niesłusznie), że zmiana tego identyfikatora stanowi włamanie i mogą grozić pozwaniem lub postawieniem zarzutów. To głupie, ale radziłbym skontaktować się z nimi anonimowo lub przez pośrednika.

Sprawdź, czy mają program nagród - (nazwa firmy Google i lista błędów). Jeśli tak się nie stanie, możesz rozważyć skorzystanie z usług pośrednika - jedną jest inicjatywa Zero Day.

Aby dodać do innych odpowiedzi - pamiętaj o ryzyku związanym z samodzielnym zgłaszaniem problemu :

Jeśli nie masz doświadczenia w zgłaszaniu problemów związanych z bezpieczeństwem, możesz natknąć się na jako podejrzane i potencjalnie złośliwe. Firma, która nie ma doświadczenia w rozwiązywaniu problemów związanych z bezpieczeństwem, może przekazać Twoje zgłoszenie prawnikowi, a nie działowi IT. Oczywiście po prostu chcesz pomóc, ale dla nich głównie sprawiasz kłopoty. Są szanse, że nie chcą, aby sprawa została upubliczniona (co mogłoby poważnie zaszkodzić ich reputacji biznesowej) i dlatego mogą grozić Ci konsekwencjami prawnymi. W najgorszym przypadku skontaktują się z organami ścigania bez dalszego powiadomienia.

Będąc zaciekawionym, skróciłem część adresu URL z linią prostą / długą i zmieniłem identyfikator o jeden znak.

Więc nie znalazłeś tego przez przypadek. Z punktu widzenia firmy uzyskałeś dostęp do danych innych klientów manipulując adresem URL - nie będzie dla nich miało znaczenia, jakie to proste i że zrobiłeś to „po prostu z ciekawości”. Mogą nadal postrzegać Cię jako zagrożenie i reagować nieprofesjonalnie.

Powinieneś być świadomy tej możliwej interpretacji i dokładnie zdecydować, czy warto zaryzykować. Jeśli masz do czynienia z błędami bezpieczeństwa bez umowy lub polityki publicznej zachęcającej do polowania na błędy, znajdujesz się w legalnej szarej strefie.

Na twoim miejscu powiedziałbym coś w stylu

  Witaj, źle wpisałem swój identyfikator (np. 12345) i nacisnąłem enter zamiast backspace, i byłem oniemiały, stwierdzając, że strona załadowany i znalazł lokalizację nieznajomego, który ma identyfikator obok mojego (np. 12346) .Możliwość namierzenia kogoś bez jego zgody wydaje się być problemem bezpieczeństwa, ponieważ ktoś, kto zna mnie na Facebooku i ma niewielką wiedzę informatyczną, byłby mogę odgadnąć mój identyfikator bez mojej wiedzy.  

Zasadniczo, powiedzmy, że znalazłeś go nie z ciekawości, ale przez przypadek. Wyślij to również pseudo anonimowo (np. Nie używaj swojego prawdziwego identyfikatora i wysyłaj e-maile przy użyciu czegoś takiego jak jon.doe@gmail.com).

Sprawdź swoją pocztę przed wysłaniem i może poproś kogoś, kogo znasz, aby ją przeczytała .

Przeczytaj to tak, jakbyś był uosobieniem złości, co może pomóc ci ją złagodzić, tak aby nie pozwolić, aby ktoś, kto zaczął dzień od uderzenia palcem w słupek łóżka, wyładował na tobie swój gniew.

Jeśli nie odpowiedzą lub nie zrobią nic z tym przez jakiś czas, powiedz (może po miesiącu lub 2, ponieważ jest to średni problem z bezpieczeństwem), że chcesz, aby coś zrobili o tym lub spróbujesz ostrzec innych użytkowników o tym problemie. Jeśli nadal nic nie robią, zrób to, ale ostrzegaj, może im się to nie podobać. zobacz ten przypadek zamfoo

Nalegaj, że jeśli uznasz to za tak trywialne, jak ten, ktoś gorszy może używać do nikczemnych celów, a inni użytkownicy mogliby się na to natknąć i też się martwić .

Kieruj się zdrowym rozsądkiem, aby wyglądać jak zaniepokojony użytkownik, który natknął się na coś dziwnego lub jako przyjaciel tego użytkownika, który też działa. Trochę „nieprawdy”, dużo spokoju i uprzejmości wystarcza, by przetestować wody. Jeśli wydają się wystarczająco przyjaźni, możesz powiedzieć, że jesteś kompetentny (jeśli jesteś) i możesz pomóc im w śledzeniu problemu.

Jeśli im pomożesz, a oni są przyjaźni, możesz zapytać ich, czy chcą, abyś aktywnie sprawdził inne potencjalne problemy. (Jeśli mają z tobą duże doświadczenie, które może pomóc ci w znalezieniu pracy (mogą porozmawiać o tobie, o tym, jak dobry (przyjazny, ale profesjonalny) jesteś) itp. Innym osobom, które mogą cię chcieć. Lub po prostu służyć jako punkt odniesienia), lub kilku znajomych.)

Jest to dla nich również okazja do otrzymania darmowej reklamy, jeśli dobrze zareagują, prawdopodobnie będziesz skłonny porozmawiać o nich z osobami, które mogą być zainteresowane.

Cokolwiek ty i oni robicie, zachowaj spokój, nie eskaluj szybko, zrozum ich punkt widzenia i NIE POSTAWAJ SIĘ JAKO ZAGROŻENIE (1)

Jeśli wyglądasz na możesz ich uszkodzić bardziej niż byś pomógł, to najszybszy sposób na postawienie ich w defensywie i uzyskanie groźby prawnika / prawdziwej sprawy, jeśli zrobiłeś coś głupiego i nie ukryłeś swoich powodów.

(1) To działa w większości przypadków, nie tylko w przypadku mówienia o bezpieczeństwie, ale także z mniej lub bardziej złymi ludźmi (współpracownicy, szefowie).

Dygresja: Jedynym momentem, w którym możesz chcieć pojawić się jako zagrożenie, jest to, że jeśli grozi Ci ktoś / coś pewnego, że nic mu się nigdy nie przeciwstawi (np. bardzo zły pies), spokojnie podejdź do niego bez strachu (nawet jeśli brązowisz spodnie), prawdopodobnie zaczną bardziej szczekać, ale powoli cofną się i pozwolą ci przejść (lub zabiją cię / okaleczą, ale jeśli uciekniesz, to będzie to samo).

ps: Bądź krytyczny wobec tego, co mówię, jestem głupim człowiekiem i nie posiadam absolutnej prawdy, jeśli coś wydaje się lepsze, rozważaj pomysły, rób to, co wydaje się najlepsze i zobacz, co się stanie, ucz się.

(Zapraszam również do proponowania zmian, jeśli wydaje się to zbyt nieustrukturyzowane / długie / zawiłe, nie gryzę.)

Wydaje się, że wszyscy inni skaczą tutaj z pistoletu. Kluczową kwestią do rozważenia jest to, W JAKI SPOSÓB jesteś użytkownikiem końcowym, udostępnij swoją lokalizację innym użytkownikom końcowym (rodzinie / znajomym).

Jeśli przeglądasz informacje za pomocą łącza i jesteś w stanie wysłać ten sam link do członków rodziny, zakłada się, że publikujesz informacje publicznie (nie ma systemu autoryzacji).

Oświadczenie o ochronie prywatności lub Warunki użytkowania powinny to jasno określać. Kto może uzyskać dostęp do danych o Twojej lokalizacji? Jakie informacje są podawane do wiadomości publicznej? Z pewnością wyjaśniłoby to zaproponowane przez Ciebie pytanie.

Korzystanie z prostego łącza internetowego nie jest sposobem zaprojektowania takiego systemu, ale wydaje się całkowicie zamierzone. Być może proponuję zapytać ich o ustawienia prywatności.

To interesujące pytanie, w większości systemów uważam to za niezabezpieczoną lukę w bezpośrednich odniesieniach ujawniającą dane o lokalizacji.

Lokalizacja GPS w czasie rzeczywistym powinna być uważana za wrażliwą, może mieć wiele nikczemnych zastosowań. W tym przypadku jest to jednak cały punkt systemu i chociaż uważam, że identyfikatory powinny być trudniejsze do odgadnięcia, a jednocześnie pozostają użyteczne (np. Alfanumeryczne), dane nie są identyfikowalne dla konkretnego użytkownika. Można go również zabezpieczyć hasłem, które podajesz użytkownikom, którym chcesz przyznać dostęp.

Nie sądzę, że jest to zagrożenie bezpieczeństwa jako takie, po prostu słaba implementacja. Pytanie brzmi, czy uważasz, że Twoje informacje lub prywatność zostały naruszone, jeśli nieznajomy przeglądał Twoją stronę? Jeśli tak, zgłoś to producentowi.

Edycja: - Poprawiłem moją opinię na ten temat. Uznałbym ten system za podatny na ataki. Identyfikatory powinny być trudniejsze do odgadnięcia i najlepiej chronione hasłem.

Ten problem występuje z powodu bezpośredniego odwołania do obiektu i łatwych do wyliczenia identyfikatorów. Nie powinniśmy używać łatwych do wyliczenia identyfikatorów w żadnym systemie, ponieważ umożliwia to atakującemu łatwe przypuszczenie. Jeśli nie możesz zgadnąć identyfikatorów, możemy również zmniejszyć ryzyko bezpośredniego odniesienia do obiektu. Powinny mieć jakąś losową wartość identyfikatora lub identyfikator GUID, który ma reprezentować użytkownika.

Ponieważ uważam, że jest to główny przepływ i firma powinna zapewnić pewne API, w którym rodzina / przyjaciel jest uwierzytelniony, zanim będą mogli Cię śledzić. Jak zasugerował @Arminius, nie możemy przewidzieć, jak firma produkująca produkt zaakceptuje Twoje odkrycie. Zawsze lepiej jest poinformować o tym jako Anonimowy. Jeśli nie, użyj szablonu lub warunków odpowiedzialnego ujawniania informacji.

To nie nie oznacza wady. Wygląda na to, że uważają, że jest to dopuszczalne ryzyko. Zastanawiam się, jak łatwo byłoby programowo przechodzić między identyfikatorami UID i zbierać dane, do których można by się odwołać, aby kogoś zidentyfikować. Gdyby po prostu zasolili identyfikator, nadal możesz go udostępniać otwarcie, ale nie możesz łatwo przechodzić między lokalizacjami ludzi.

Niedawno kupiłem komunikator satelitarny , który umożliwia mi wysyłanie mapy mojej lokalizacji do znajomych i rodziny podczas wędrówki po dzikiej pustyni

Na podstawie zaznaczonego stwierdzenia myślę, że dana osoba kupiła przede wszystkim urządzenie śledzące, którego głównym celem jest częste aktualizowanie swojej lokalizacji w publicznie dostępnej i przewidywalnej lokalizacji w Internecie, tak aby wyszukiwać i służby ratownicze mają bezpłatny, łatwy dostęp do informacji o Twojej lokalizacji, aby pomóc Ci w ratowaniu.

Nie zdziwiłbym się, gdyby urządzenie nie zawierało karty z przewidywalnym adresem URL na niej lub w miejscu zapisanie na nim swojego identyfikatora w celu uzyskania informacji o lokalizacji z zamiarem przekazania tej karty do poszukiwań i ratowania przez Twoją rodzinę, gdy będziesz potrzebować uratowania.

Gdyby dane były zabezpieczone, bardziej problematyczne dla poszukiwań i ratownictwa w celu uzyskania dostępu. Zwłaszcza, że ​​urządzenie może działać globalnie, a przepisy różnią się w różnych lokalizacjach, jest całkiem możliwe, że nawet jeśli członkowie rodziny mogą podawać swoje dane logowania członkom zespołu poszukiwawczego i ratunkowego, mogą zgodnie z prawem nie mieć prawa do korzystania z nich w celu korzystania z tej usługi.

Aktualizowane na żywo informacje o Twojej lokalizacji są również znacznie bardziej pomocne, zwłaszcza w sytuacjach, gdy dojście do Ciebie na piechotę zajmie dużo czasu, a osoba z lokalizatorem nadal wędruje.

Możliwość wysłania wiadomości e-mail, która powiadamia kogoś o Twojej aktualnej lokalizacji, jest sposobem meldowania się. W przypadku braku wiadomości e-mail dotyczących meldowania się po upływie x czasu lub w określonych godzinach lub w określonych godzinach i lokalizacjach jest to wskaźnik dla członka rodziny, aby wezwać poszukiwania i ratownictwo. Jest to niedrogi sposób na meldowanie się bez kupowania prawdziwego telefonu satelitarnego, aby się zameldować będąc w szczerym polu.

Myślę, że zdają sobie sprawę, że nie jest to zabezpieczone, a także uważają, że nie stanowi to żadnego ryzyka, ponieważ jest to cały punkt produktu, tak jak powiedziała inna osoba ... jest to całkowicie zgodne z projektem.

Jeśli nie chcesz, aby Cię śledzono, wyłącz urządzenie, a nie będzie już aktualizować informacji o Twojej lokalizacji.

Wygląda na to, że tak zaprojektowano ten produkt. Używa UID + LAT / LONG, aby udostępniać swoją lokalizację ludziom ... więc w zasadzie mówisz, że odkryłeś, jak zaprojektowano produkt. Brak wady. Czy może powinni wdrożyć system bezpieczeństwa, w którym potrzebujesz kodu PIN lub czegoś, aby uzyskać dostęp do danych o lokalizacji? pewnie. Ale jeśli celem produktu jest udostępnianie Twojej lokalizacji, to właśnie odkryłeś krótki sposób, aby zobaczyć lokalizację innych osób, czyli ... poczekaj na to ... do czego został zaprojektowany.

Jeśli chcesz, prześlij prośbę o dodanie funkcji i powiedz „Hej, powinieneś użyć kodów PIN lub czegoś podobnego, ponieważ każdy może zobaczyć lokalizację kogoś innego itp.”, ale poza tym nie wygląda to na usterkę w oparciu o to, co opisałeś.