[论文解读] Gone in Six Characters: Short URLs Considered Harmful for Cloud Services

Martin Georgiev, Vitaly Shmatikov|arXiv (Cornell University)|Apr 10, 2016

Privacy-Preserving Technologies in Data参考文献 9被引用 5

一句话总结

本文表明，微软OneDrive和谷歌地图等云服务所使用的短网址——基于5位或6位字符的令牌——容易受到暴力枚举攻击，导致共享文件和位置数据对全球任何人开放。作者证明，这会引发大规模隐私泄露，并通过可写入的云文件夹导致大规模恶意软件注入，其中7%的暴露的OneDrive账户允许公开写入。

ABSTRACT

Modern cloud services are designed to encourage and support collaboration. To help users share links to online documents, maps, etc., several services, including cloud storage providers such as Microsoft OneDrive and mapping services such as Google Maps, directly integrate URL shorteners that convert long, unwieldy URLs into short URLs, consisting of a domain such as 1drv.ms or goo.gl and a short token. In this paper, we demonstrate that the space of 5- and 6-character tokens included in short URLs is so small that it can be scanned using brute-force search. Therefore, all online resources that were intended to be shared with a few trusted friends or collaborators are effectively public and can be accessed by anyone. This leads to serious security and privacy vulnerabilities. In the case of cloud storage, we focus on Microsoft OneDrive. We show how to use short-URL enumeration to discover and read shared content stored in the OneDrive cloud, including even files for which the user did not generate a short URL. 7% of the OneDrive accounts exposed in this fashion allow anyone to write into them. Since cloud-stored files are automatically copied into users' personal computers and devices, this is a vector for large-scale, automated malware injection. In the case of online maps, we show how short-URL enumeration reveals the directions that users shared with each other. For many individual users, this enables inference of their residential addresses, true identities, and extremely sensitive locations they visited that, if publicly revealed, would violate medical and financial privacy.

研究动机与目标

• 调查云服务中短网址引入的安全与隐私风险。
• 分析对短网址令牌空间进行暴力扫描如何暴露存储在云端的私有文件和地图数据。
• 证明原本设计用于私密分享的短网址，由于令牌熵有限，实际上等同于公开。
• 评估短网址枚举对云存储和地图服务实际影响。
• 为服务提供商和用户推荐减轻暴露风险的缓解策略。

提出的方法

• 对OneDrive和谷歌地图中使用的5位和6位字符令牌空间进行了大规模暴力枚举。
• 利用云服务的Web API和元数据检索机制，在无直接访问权限的情况下发现关联资源。
• 使用账户遍历技术，在发现一个短网址后访问用户关联的所有文件和文件夹。
• 利用公开目录（如白页）将共享路线与用户身份及敏感位置进行关联。
• 监控分析API，提取共享地图的时间和使用元数据，增强对私人行为的推断能力。
• 向微软和谷歌报告发现的问题，分析其回应及对短网址策略的修改。

实验结果

研究问题

• RQ1 5位和6位字符的短网址令牌空间是否足够小，可被高效地通过暴力扫描发现私有云资源？
• RQ2 在OneDrive等云存储服务中，短网址在多大程度上会导致对用户所有文件的未授权访问，即使这些文件并未通过短链接直接共享？
• RQ3 地图服务中的短网址如何暴露如住宅地址、医疗或监狱设施等敏感个人资讯？
• RQ4 当账户可公开写入时，云端与个人设备之间的自动文件同步对安全有何影响？
• RQ5 服务提供商如何应对此类漏洞？他们实施了哪些措施来减轻风险？

主要发现

• OneDrive和谷歌地图中使用的5位和6位字符令牌空间足够小，可通过暴力破解进行穷举扫描，导致所有关联资源公开可访问。
• 通过短网址枚举发现的7%的OneDrive账户为全球可写，使得恶意软件可自动注入用户设备的同步文件中。
• 仅暴露一个OneDrive文件的短网址，即可发现该账户中所有其他文件和文件夹，即使这些文件未通过短链接直接共享。
• 谷歌地图中的短网址揭示了住宅地址、敏感地点（如心理诊所、堕胎诊所）以及通过与公开目录交叉关联而暴露的社会关系。
• 谷歌已将新短网址的令牌长度增加至11或12位，使其对暴力扫描免疫。
• 微软未将此问题认定为安全漏洞，也未更改其短网址系统，导致所有先前生成的短网址永久暴露。