Kargari
2018-06-19 09:57:36 UTC
Powiedzmy, że mam na serwerze stronę lub folder, który chcę zachować w tajemnicy.
example.com/fdsafdsafdsfdsfdsafdrewrew.html lub
example.com/fdsafdsafdsfdsfdsafdrewrewaa34532543432/admin/index.htmlJeśli tajna część ścieżki jest dość długa, czy mogę założyć, że posiadanie takiej tajnej strony lub obszaru jest bezpieczne i trudno będzie to odgadnąć lub użyć brutalnej siły?
Jakie są ogólne problemy z tym podejściem?
Zauważ, że nie pytam, jak to zrobić dobrze, ale jakie mogą być problemy z tym podejściem, jeśli w ogóle.
pod warunkiem, że Twoje maszyny są bezpieczne (https, dobre Wi-Fi itp.) i nigdy nie podasz publicznie linku do tajnego adresu URL, wtedy długi statyczny adres URL byłby bardzo trudny do odgadnięcia przez osobę postronną.
och, i wyłączyłeś listy katalogów i strony z „inteligentnymi błędami”, które sugerują ścieżki ...
Zwróć uwagę, że ta praktyka jest uważana za „wystarczająco dobrą” przez niektóre dobrze znane usługi internetowe, takie jak Dokumenty Google (które mają funkcję udostępniania przez łącze) i Overleaf (współpracujący internetowy edytor Latex).
@FedericoPoloni: Google prawdopodobnie będzie śledzić żądania zbiorcze i ostatecznie je blokować.Bez tego jest _ bardziej_ prawdopodobne, że odniesie sukces dzięki bruteforsingowi (oczywiście w stosunku do długości adresu URL).
Niektóre witryny robią to, na przykład w przypadku linków do resetowania hasła.Najbezpieczniejszym rozwiązaniem, jeśli zdecydujesz się pójść tą drogą, jest uczynienie z sekretu parametru GET (więc `index.html? Secret = hjasdhasdhasdasd`), aby uniknąć buforowania i przypadkowego natknięcia się robotów na Twój link i uczynienie go ** tymczasowym **
Tokeny @BgrWorker w linkach do resetowania hasła powinny być używane tylko raz, a następnie wyrzucane.To, o co prosi OP, to stała wartość, którą można ponownie wykorzystać, ale tak nie jest
dokładnie to samo
Tak długo, jak ścieżka nigdy nie została upubliczniona, trudno byłoby to zgadnąć, jednak jest to zabezpieczenie poprzez niejasność, więc tak naprawdę nie ma nic do zabezpieczenia adresu URL.Radziłbym, aby trochę to rozszerzyć i uczynić hash adresu URL dynamicznym, aby wszystko zostało trafione w index.html, byłoby na innej, ale znanej ścieżce, łatwiejszej do wykonania w niektórych frameworkach niż w innych.
jeśli jest za pośrednictwem protokołu https, nie jest tak źle, jak podanie hasła lub czegoś, co można również wykorzystać do innych celów.
@FedericoPoloni Czy Dokumenty Google nie pozwalają na ograniczenie dostępu do niektórych kont, więc inni nie mogą uzyskać dostępu, nawet jeśli odgadną adres URL?Overleaf V2 domyślnie wyłącza udostępnianie linków.
@GoodDeeds Share-by-link to jedna z dozwolonych opcji udostępniania w Dokumentach Google.Możesz także zdecydować się na udostępnienie na określonych kontach, ale to inna sprawa.
Jest to w zasadzie zabezpieczenie przez zaciemnienie, które samo w sobie nigdy nie jest wystarczające.
@CompuChip Nie, nie jest.Nie więcej niż hasło jest „zabezpieczeniem przez zaciemnienie”, ponieważ nie każdy je zna.
@DrEval może wtedy źle zrozumiałem pytanie, ale przeczytałem, że OP chce tylko zasłonić stronę, utrudniając odgadnięcie adresu URL niż odpowiednio go chronić, np.używając hasła.
@CompuChip Jeśli adres URL jest wystarczająco bezpieczny, „staje się” hasłem.Wciąż jest to niepewne, ponieważ nie jest to dobry sposób przesyłania haseł, ale nie jest to zabezpieczenie przez zaciemnienie.
Jeśli masz dokument robots.txt, który może ujawniać niektóre adresy URL, ale jeśli mają one być ukryte, prawdopodobnie nigdy nie umieszczasz ich w pliku robots.txt.
Jeśli ktoś może spojrzeć na logi serwera internetowego, mógłby znaleźć wszystkie te interesujące adresy URL.
Również powiązane: [Jak mało prawdopodobne jest, że zostanie odgadnięty link do dokumentu Google?] (Https://security.stackexchange.com/questions/29449/how-unlikely-is-it-that-a-google-doc-link-jest odgadnięty)
Odwiedź [„security through obscurity to zły pomysł”] (https://stackoverflow.com/questions/533965/why-is-security-through-obscurity-a-bad-idea).