Google+: nicht geteilte Fotos über URL-Aufruf für jeden sichtbar
von caschy | 38 Kommentare
Google+ nutzen viele, um ihre Bilder zu sichern, oder zu teilen. Man kann Ordner mit anderen teilen, man kann es aber auch sein lassen. Zu erkennen sind nicht geteilte, also private Ordner an einem Vorhängeschloss. Nun könnt ihr euch einmal testweise in ein solches Album gehen, ein Bild öffnen und dieses Bild per Drag & Drop in einen anderen Browser-Tab ziehen.
Euch offenbart sich die URL des Bildes, was auch nichts Wildes ist. Geht bei jedem anderen Dienst auch. Nun der Vergleich zu einem Dienst wie Dropbox oder OneDrive: hier kann ich den Link nun weitergeben, der Empfänger kann damit nichts anfangen. Nicht so bei Google+, hier kann jeder, der über die URL verfügt, das Bild öffnen. Nach meinem Verständnis sollte dies eigentlich bei Google+ so geregelt sein, wie bei Dropbox.
Dies betrifft übrigens nicht nur die Alben, sondern alle Fotos, auch solche, die ihr automatisch von eurem Smartphone sichern lasst. Zugegeben, die Möglichkeit ist wohl sehr unwahrscheinlich, dass jemand die URL mit über 40 Buchstaben und Zahlen errät, aber dennoch sollte man diese Sache im Hinterkopf behalten – Facebook bildet da keine Ausnahme. Stefan, der uns darauf hinwies, fand noch etwas anderes. Bereits jetzt sind die deutschen Hilfeseiten für die Google+-App online, die darauf hinweisen, dass man bald explizit einzelne Ordner vom Smartphone auswählen kann, die gesichert werden sollen.
Wird geladen ...
@Marie-Luise: „Hoffe, dass es schnell behoben wird.“ – Guter Witz! 🙂
Das ist schon immer Standard gewesen. In den privaten Mailinglisten auf Google Groups feiert dieses peinliche Feature in diesem Jahr 10-jähriges (!!!) Jubiläum! 😉
Von daher ist es mir auch schleierhaft, wie man Fotos, die nicht unbedingt jeder sehen soll, via Google verschicken kann. Das betrifft nämlich auch sämtliche Fotos aus den Hangouts.
Was soll’s. Eher errät jemand mein Passwort als die URL. Und wenn ich die URL an jemand weitergebe und dieserjenige indiskret ist, dann kann er genau so gut gleich das Bild runterladen und weiter verbreiten.
Jep gab es vor Jahren bei FB auch schon damals war sogar noch ne user id vorhanden mit der man bilder einer bestimmten person finden konnte.
z.b. kleines script mit wget und nem generator die länge ist ja mehr oder weniger vorgegeben.
Irgendwie traurig.
Mann kann festhalten alles was mann in Cloud dienste hochlädt kann auch von anderen eingesehen werden (ausnahme mann verschlüsselt vorher sinnvoll) Das sollte den Menschen mal bewusst werden.
hoffentlich wird das nicht abgeschaltet!
das „feature“ finde ich super bei google plus. so kann ich immer problemlos Fotos in Foren usw. einbinden. Die sind dann aber auch für die Öffentlichkeit bestimmt. Also jeder kann die weiter geben wie er will.
Ich sehe es so wie caschy hier ja auch schon oft schreibt: beim teilen von Inhalten im Netz oder mit Freunden auch immer den Kopf einschalten.
Teile ich etwas öffentlich im Netz (per URL in nem Forum, nem blog etc.) muss ich damit leben können, dass es sich u.U. massenhaft an alle verbreiten könnte.
Teile ich etwas mit Freunden, muss ich denen soweit vertrauen können, dass sie keinen scheiß damit machen.
Also weder die URL an alle weiter geben, noch sich das Foto abspeichern und anschließend irgendwo hochladen.
Also: Kopf einschalten hilft immer noch am Besten.
Ich halten das absolut nicht für ne Sicherheits-Lücke!
Psssst, ich benutze das Verfahren doch schon seit Jahren, um Links zu Fotos an andere weiterzugeben! 😀
So ein Blödsinn, wie soll denn sonst das „Teilen über Link“ möglich sein, wenn nicht jedes Bild seine eigene Bild-URL hätte?
Das ist doch schon immer so.
@Susanne: denk noch mal drüber nach. Nach Sharing ist der Zugriff ok. Aber vorher? Beispiel Dropbox und OneDrive.
Bei Google Drive ist diese Funktion bereits seit neuestem entfernt, evtl. wird das auch auf Google+ Fotos ausgerollt. Zum Einbinden auf Websites muss man wohl in Zukunft das Album über den Link freigeben
Ich hatte keine Sekunde daran gezweifelt, dass das bei G+ so ist (ohne es getestet zu haben; nutze G+ nicht), bei FB hab ich das schon vor Jahren bemerkt.
Klar ist es unwahrscheinlich, den Link zu erraten, wie du schon schreibst, doch es ist eben nur https://de.wikipedia.org/wiki/Security_through_obscurity
Die Dropbox-Lösung ist da deutlich besser.
Aber die Links sind doch sicher nach einem Schema aufgebaut – wenn man das herausfindet, könnte man theoretisch auch noch mehr Bilder finden, die nie öffentlich sein sollten.
Ich finde das sehr problematisch, wegen google+ AutoBackup. Da sind ALLE meine privaten fotos gesichert. Nur hätte ich es gern, das niemand anders da (theoretisch) drauf zugreifen kann.
Also Cashy dein Blog ist toll nur die Einschätzung „sehr unwahrscheinlich“ trifft leider nicht zu.
Persönlich empfehle ich allen Benutzern ihre Bilder herunterzulaufen und dann online so löschen so dass wenn jemand den Link dennoch hat seine Anfrage ins Leere läuft.
Den alle Bilder abzugreifen die bei Google gespeichert sind wegen dieser Sicherheitslücke ist einfacher als ihr denkt: Firefox und ein Downloadmanager (beispielsweise DownEmAll) mehr braucht man nicht um die lächerlichen 40 Zeichen in allen Kombinationen durchzuprobieren. In Zeiten von Terabyte großen Platten und Breitband-Internet sind die Bilder sehr schnell abgegriffen!
Als Mitarbeiter der IT kann ich allen nur den Rat geben ihre Bilder die nicht öffentlich werden sollen aus der Cloud zu nehmen!
@Christoph Zeller die 40 (wenn ich richtig gezählt habe etwa 38) Stellen mit Groß- und Kleinschreibung sind immerhin doch (26•26)^38, mehr als 10^65. Und wieviele Fotos gibt es bei G+? Eine Milliarde, vielleicht eine Billiarde. Kürzt man also 15 Nullen Weg bleiben immer noch 10^50, also eine ungefähr Unendlich kleine Wahrscheinlichkeit wenigstens ein einziges Bild zu finden. Weiterhin sind anscheinend einige Plätze auch noch mit Zahlen und anderen Zeichen belegt.
@atmp Das ist bereits mit einbezogen in die Überlegung. Es geht jedoch bei dem was ich meine keineswegs darum ein Bild zu finden sondern sie der Reihe nach „abzufarmen“.
@Christoph Zeller das musst du genauer erläutern…
Ich finde, dass das Geschrei um diese „Sicherheitslücke“ viel zu groß ist.
Schon mal aufgefallen, dass sich nicht nur die 5 Hashes (Ordnernamen) bei jedem Bild unterscheiden? Am Ende steht auch der Dateiname, sodass es noch wahrscheinlicher ist, dass der Angreifer eher aufgrund der häufigen Anfragen auf nicht existierende Dateien geblockt wird als dass er Zugriff auf ein Bild erlangt.
Angenommen, die Hashes bestehen aus 10 Zeichen und bestehen nur aus Groß- und Kleinbuchstaben und Zahlen, also 62 ==> 62^10 für einen Ordner.
Da es aber 5 Ordner sind ==> 62^50, was ca. einer 4 mit 89 Nullen entspricht.
Nun muss der Angreifer noch den Namen meines Bilds herausfinden, was ich ihm auch nicht leicht mache, da meine Bilder nie „PICT…“ oder „DSC_…“ heißen. Daher habe ich keine Furcht, dass eines meiner (ohnehin nicht privaten) Bilder von einem Dritten eingesehen wird.
Funktioniert so übrigens auch bei Gmail. Schönes »Feature«…