Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Поток Информационная безопасность доступен 24/7 благодаря поддержке друзей Хабра
Комментарии 40
Так опровергли "эксперты по кибербезопасности", не зависимые от компании-разработчика Max, или просто пресс-служба Max передала слова, которые возможно сказали возможно существующие эксперты по кибербезопасности из числа сотрудников их компании?
Это даже не опровержение. Это - "отписка".
ну так в тексте есть прямое указание, что это
По заверению экспертов мессенджера по ИБ
Одним словом - какой мессенджер, такие и эксперты.
Это «заведомо верные сведения», а кто будет спорить - можно вменить раскачивание лодки и дискредитацию макса. А если расшарят фото из переписки гендира, то это будет не подтверждение дыры, а отдельное преступление.
Давайте ешё накинем :)
В мессенджере MAX появились секретные чаты: все сообщения шифруются по алгоритму Base64 (?!!!)
испанский стыд -)))
а картинки в секретном чате так же хранятся в открытых ссылках? -)))
это ИА "Панорама"
Алгоритм шифрования входящий в пакет Яровой — Озерова, проверен ФСТЭК, используется во всем мире многие годы, включен в международные документы: RFC 1421 (Privacy Enhancement for Electronic Internet Mail), RFC 2045 (MIME), RFC 4648 (Base16, Base32, и Base64 кодирование данных), в общем нет оснований не доверять. /s
Самый быстрый алгоритм. Он даже в wireguad используется
Там в источнике же стоит рубрика "Юмор". А сегодня не 1 апреля.
так существует все-таки эта уязвимость, нет?)
Никто не знает, так как никто не зарегистрирован там
Нет, в ссылке достаточно энтропии чтобы её было невозможно подобрать.
Но есть опасения, что Яндекс-браузер опять "поможет" с индексацией этих ссылок в будущем.
К сожалению, да. Как минимум за несколько часов ссылка так и не потухла(
Ну хорошо, нужно им хранить их в соответствии с требования российского законодательства по хранению данных, зачем продолжать отдавать их всем подряд после удаления?
В данном случае, как я думаю, это скорее некомпетентность, а не злой умысел. Max это продукт VK, а VK уже много-много лет славится вот такими вот техническими решениями (или отсутствием решений вовсе).
Пользователи: фото доступно всем по ссылке
Експерты: это фейк
Другие пользователи могут увидеть фото только если владелец добровольно поделится ими или ссылкой на них.
Так в чем фейк?
В том, что в хаме есть эксперты?
Утверждалось, что ссылку якобы можно просто подобрать:
Например я открыл ссылку в другом браузере, где не авторизован в MAX. Там довольно длинная ссылка, но БОЛЬШАЯ её часть будет одинаковой для всех ваших файлов, и защиты от перебора вроде бы не предусмотрено.
Но её нельзя подобрать, там достаточно энтропии.
В чатах "ВКонтакте" эта уязвимость с момента основания и по сей момент, и это никого особо не тревожило
нацмессенджера
Прекрасное слово для этого поделия.
Моя твоя русского языка не понимай.
Не "опровергли", а "отвергли". Эти слова имеют разное значение и разную эмоциональную окраску.
Отвергли: возразили, что на самом деле изображения недоступны. Например: сторонники плоской земли отвергли утверждения, что она имеет какую-то другую форму.
Опровергли: предоставили доказательства, что на самом деле изображения недоступны. Например: сторонники неплоской земли с помощью фотографий опровергли утверждения, что она плоская.
PS: И да, "ссылку невозможно сгенерировать" не означает, что "изображения недоступны", это два разных утверждения. Изображения недоступны, если их невозможно получить, вне зависимости от способа утечки ссылки.
"Товарищ Майор, у вас ус отклеился. "
Как у обычного пользователя, у меня вызывает обеспокоенность тот факт, что в веб-архиве, судя по скриншоту, уже "больше, чем 10000" таких ссылок, и возникает вопрос, как эти ссылки там оказались, если говорят, что их нельзя сгенерировать или подобрать?
Понятно, что скорее всего большинство ссылок там - на картинки из публичных каналов и попали они туда из-за того, что кравлер веб-архива зашел на веб-версию макса и сохранил себе страницы с постами в этих каналах.
Но ведь ссылки не на конкретные jpg/webp, а на скрипт, в который условное название файла передается в параметре, так почему бы разработчикам в этот скрипт не добавить проверку доступа (да даже хотя бы банальную проверку CORS заголовков при обработке запроса - сейчас так делают даже онлайн-кинотеатры, которые "смотреть без регистрации", чтобы у них ворованное не воровали)? В общем, выключайте chat gpt и включайте уже головы.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Эксперты кибербезопасности мессенджера опровергли новость о доступности фото в Max без разрешения пользователя