☰

将私人数据存储在公共网站上（但未链接）可以吗？

tag-icon • tag-icon security web
将私人数据存储在公共网站上（但未链接）可以吗？

我偶尔会遇到需要共享一些尚未公开的“私人”数据（即未经编辑的音频讲座草稿）的情况，以便在公开之前由授权人员进行审查。通常，我会给文件起一个模糊的名称（即新生成的 GUID），然后通过电子邮件或即时消息将链接发送给相关人员。当然，网站上的其他页面没有指向该文件的链接。这真的安全吗？还是我忽略了一些漏洞？并不是说通过这种方式传递了任何核机密，但我仍然想确保自己没有遗漏任何东西。

答案1

如果你分享的信息不是秘密，因此，只是“不真正供公众使用”，尤其是如果它是临时的，我认为这里不存在很大的风险。需要注意的一件事是确保目录索引不会引导蜘蛛或人类找到该文件。

例如，如果您将文件存储在中/foo/bar/baz/wombat/GUID.pdf，如果访问/foo给出了一个链接到的目录索引/foo/bar，并/foo/bar给出了一个链接到的目录索引/foo/bar/baz，等等……那么，对于某些人来说，玩弄并获取/foo然后跟随链接要比猜测所有这些目录组件容易得多。

.htaccess关闭文件所在目录中的 DirIndex 的文件应该可以解决问题（或在其中输入“ index.htmlGo Away”）。

答案2

通过隐藏手段实现的安全实际上根本没有提供任何安全性。

我必须强调的是，如果你不想让文件公开——不是让它们公开。故事结束。

请记住，只需要一个人在互联网上链接到某个页面，谷歌就会抓取该页面，随后缓存该页面，使内容可供所有人使用（现在可以在谷歌中搜索），甚至后您删除了该页面...

答案3

在里面学术的世界中，攻击者不断试图监听 Alice 和 Bob 之间的对话，由于其他人列出的无数原因，这并不安全。

在里面真实的世界它是一个组合概率：

  • 您对其他同伴的信任程度（他们在某处发布链接或向朋友发送即时消息等的可能性）
  • 你对 ISP 的信任程度有多高（它是否会进行备份，保存多年，其员工是否可以不受限制地访问这些备份？）——考虑加密
  • 丢失的文件价值是多少
  • 泄漏会如何影响你的职业、职位等以及他人的职业

别忘了，泄露的文件可能会永远存在。你希望这些事情在 10 年后给你带来麻烦吗？20 年后？

答案4

这并不安全，因为 URL 将以纯文本形式通过网络传输。攻击者可以使用 Ethereal 之类的工具嗅探 URL，然后自己访问它们。如果不使用 Apache，是否可以将 htaccess/htpasswd 添加到“安全区域”或等效区域？

相关内容