Zugriff auf geschützte Bilder?

[kbot]

Und ob Google nun diesen Bereich automatisch scannen oder erst durch Aufruf einer Datei aus diesem Bereich, geht auch am Thema vorbei.

Wieso darf Google einen geschützten Bereich ohne vorherige Authentifizierung (Passwort) überhaupt zugreifen?

und nochmal:
zeige mir bitte, wie man geschützte Bilder in der Google-Suche findet (und probier es vorher aus, bevor du den Weg hier postest...)

der Threadersteller hat ja sein Bild gern zum Testen zur Verfügung gestellt ... (nach 4 Tagen ist es bis jetzt immer noch nicht im Index zu finden ...)

 

[Djdjrjf8e]

und nochmal:
zeige mir bitte, wie man geschützte Bilder in der Google-Suche findet (und probier es vorher aus, bevor du den Weg hier postest...)
...

Noch einmal, damit es auch du verstehst:

Wenn ich einen geschützten Bereich habe, mit Passwort gesichert, hat niemand auf den Inhalt durch eine direkte URL, zu zugreifen (oder die Möglichkeit dazu), wenn er sich nicht mit dem korrekten Passwort authentifiziert.

Das kennt nicht Google, das kennt nicht Mr. X mit der brute-force-Methode auf den Dateinamen, das kennt auch nicht meine Schwester mehr nachdem ich das Passwort gewechselt habe, damit sie nicht mehr zugreifen kann.

Trozdem können all diese Personen und Dienste Dateien aus diesem Bereich aufrufen, wenn sie den Dateinamen erraten, den Pfad bekommen haben, oder ihn mit anderen Methoden ermitteln.

--> Weil der angebliche "Zugriffs-Schutz" unwirksam ist.

Danke und melde Dich bitte erst wieder, wenn Du mir zeigen kannst, das ich trotz Erraten / Brute-force / Wissen der direkten URL, durch ein von dir gesetztes PW auf dem enthaltenen Ordner nicht auf die enthaltene Datei zugreifen kann.

Ansonsten ist die weitere Diskussion sinnlos und ich mag keine grauen Haare.


PS: hier ein Beispiel-Code, den ich schnell runtergeschrieben habe, um zu verdeutlichen wie einfach es ist
auf enthaltene Dateien zuzugreifen, ohne irgendwelche Passwort-abfragen. Wenn du ein bischen von PHP
verstehst erkennst Du was dieser 7-Zeiler macht, den Sinn von checkthis($testurl); brauch ich dir hoffentlich nicht zu erklären.. Und meine PHP-Kenntnisse sind eher auf Anfänger-Niveau.

$klammurl = "https://img4.klamm.de/gallery/picz/";
$gen_folder = "30000/";
$kuid = "12345/";
$ext_array = array("jpg","jpeg","gif","png");
$dec_min = 0;
$dec_max = hexdec(ffffffffff);


foreach ($ext_array as $i => $value ) {
	for ($ih=$dec_min ; $ih <= $dec_max; $ih++) { 
		$y = str_pad(dechex($ih), 10, 0, STR_PAD_LEFT);
		$testurl =  "" . $klammurl . $gen_folder . $kuid . $y . "_big." . $ext_array[$i];
		echo "<a href='" . $testurl . "'>" . $testurl . "</a>";
		// checkthis($testurl);		
	}
}

 

[Arusiek]

und nochmal:
zeige mir bitte, wie man geschützte Bilder in der Google-Suche findet (und probier es vorher aus, bevor du den Weg hier postest...)

Meine hat er ja auch noch nicht gepostet...

Wenn ich einen geschützten Bereich habe, mit Passwort gesichert, hat niemand auf den Inhalt durch eine direkte URL, zu zugreifen (oder die Möglichkeit dazu), wenn er sich nicht mit dem korrekten Passwort authentifiziert.

Wer sagt das denn?

U.u. ist das sogar WAI. Der Ordner ist mit einem Passwort geschützt und ohne nicht einzusehen.
Das die Bilder selbst geschützt, verschlüsselt oder sonstwas sind, steht nirgendwo... Davon gehst du im Prinzip nur aus.

Und nochmal... Die Bilder sind praktisch nicht gezielt auffindbar, ohne das du jemandem die URL gibst oder den Link veröffentlichst. Dafür bist du aber letztendlich selbst verantwortlich.

Wenn ich meinen Locher verleihe und nicht wieder bekomme, ist es egal wie gut das Schloss an meiner Schreibtischschublade ist

Gruß Aru

 

[Bububoomt]

der Threadersteller hat ja sein Bild gern zum Testen zur Verfügung gestellt ... (nach 4 Tagen ist es bis jetzt immer noch nicht im Index zu finden ...)

nicht?? also google findet den Thread zumindest zum Bild, also wurde das Bild indexiert und bei google gespeichert!

 

[Bububoomt]

verstehst erkennst Du was dieser 7-Zeiler macht, den Sinn von checkthis($testurl); brauch ich dir hoffentlich nicht zu erklären.. Und meine PHP-Kenntnisse sind eher auf Anfänger-Niveau.
[/CODE]

Du brachst nicht mal die url Checken, lass einfach google das für dich machen! Schon deine Ressourcen

 

[kbot]

nicht?? also google findet den Thread zumindest zum Bild, also wurde das Bild indexiert und bei google gespeichert!

sicher dieser Thread hier ist ja auch öffentlich, aber das Bild aus dem Album ist immer noch nicht indexiert
Anhang anzeigen 7051

 

[Bububoomt]

Doch, im suchindex für Bilder, dort findest du das Bild.

Und das sogar ohne die komplette url zu nutzen!

Edit
Wie lege ich überhaupt passwortgeschützte alben an!?!?

 

[kbot]

Doch, im suchindex für Bilder, dort findest du das Bild.

Und das sogar ohne die komplette url zu nutzen!

also ich finde nur das Bild aus diesem Thread, ich finde nirgends bei Google das Bild aus dem Album, so wie auch du nur das Bild aus diesem Thread findest

Album einrichten?
Mein Konto > Nickpage > Fotos > Album einrichten

ganz normal

 

[Djdjrjf8e]

Meine hat er ja auch noch nicht gepostet...

soll ich jetzt wirklich die Dateien rausfinden durch Brute-Force?
Du sagst mir also als Moderator des Forenbereichs, das ich nur zu deinem Vergnügen,
eine Live-Seite attackieren soll und deren (Bilder-) Server evtl. empfindlich stören.
Ja den Service empfindlich stören kann?

Nur für dein persönliches Vergnügen? Für eine Offenlegung einer Tatsache, die Du selber, mit weit weniger Aufwand nachprüfen kannst? Lukas wird sich bedanken. Tut mir leid, aber mit dieser Aussage hast Du dich als verantwortungsvoller Moderator disqualifiziert.

U.u. ist das sogar WAI. Der Ordner ist mit einem Passwort geschützt und ohne nicht einzusehen.

1. Der "Ordner" selber ist nur über die Webseite geschützt.
2. Welchen Unterschied macht es, ob ich den Inhalt des Ordners sehen kann, oder durch einfachste Mittel prüefen kann ob eine enthaltene Datei existiert und das beliebig lange. - Der einzige Unterschied ist der Zeitfaktor und die benötigte Leistung / Bandbreite.

Die Bilder sind praktisch nicht gezielt auffindbar, ohne ....

Bla Blaa Bla... Wenn ich weder durch einen PW-Schutz, noch durch die Anzahl meiner zugriffsversuche, gehindert werde, dann kann ich das solange durchführen bis ich die korrekten Dateinamen ermittelt habe.
Und was ist das für eine Aussage.. "praktisch nicht gezielt auffindbar" so was wie vielleicht doch sicher sauber?
Entweder es ist gezielt auffindbar oder nicht. Dein Satz ist einfach nur Geblubber und zeigt nur deine Unkenntnis.


Ansonsten siehe oben.

Du hörst dich an wie Norbert "Die-rente-ist-sicher" Blüm an, der hat auch stets die gleichen schon längst widerlegten Argumente gebracht. Selbst als ihm die Leute ihre Renten-Bescheide zeigten.
Tut mir leid, aber auch dadurch hast Du dich disqualifiziert, in dem versuchst es ins Lächerliche zu ziehen.

Gruß Aru[/QUOTE]

 

[Djdjrjf8e]

Du brachst nicht mal die url Checken, lass einfach google das für dich machen! Schon deine Ressourcen

Na, das mache ich um herauszufinden, ob eine Datei mit dem Namen existiert,
gibt mir der Server ein "404" mach ich halt weiter, solange bis ich meinen Max-wert erreicht habe.

Ansonsten wird die URL fein säuberlich als Link aufgeführt.

Die Ausgabe in der for-Schleife ist dann natürlich deaktiviert.. Wer interessiert sich schon für Dateien, die nicht existieren.
Mich erschreckt einfach die Larifari-Mentalität von Arusiek, der nur noch hilflos seine bereits widerlegten Argumente vorbringt, Nebelkerzen zündet, ja mich sogar implizit zu einem DDOS auffordert, weil er nicht in der Lage oder Willens ist den Schutz tatsächlich zu testen.

Das Moderatoren das können erwarte ich gar nicht erst, die haben andere Aufgaben.
Bei Administratoren schon, den deren Möglichkeiten sind weitaus größer.

Der Schutz aktuell besteht nur aus dem generierten Dateinamen, mehr nicht.
Das Passwort ist nur ein Plazebo. Sieht gut aus, schmeckt gut, hat aber Null Wirkung.
Schlimmer, es tauscht eine Sicherheit vor, die gar nicht vorhanden ist.

Was mich wundert, ist das Lukas hier nicht einfach mal ehrlich die Implementation und Reichweite seines Schutzes offenlegt.

Momentan hindert mich der aktuelle Schutz nicht, sämtliche Fotoalben aller User zu durchsuchen und die Fotos herunterzuladen. Dafür brauche ich kein Bing / Google oder die exakte URL sondern, sofern die Bilder in einem / wenigen physischen Verzeichnissen liegen, nur Zeit und Geduld.

 

[Bububoomt]

Ja ich weiß das du da auf 404 prüfst bzw. Ob halt ne datei existiert...
Aber dafür verbrauchat dann ja deine resourcen...

Wollte sagen, das kannst auch google überlassen. Machst nur eine Seite mit den links fertig und siehst zu das google diese Seite findet und den Links folgt...

 

[Djdjrjf8e]

Ja ich weiß das du da auf 404 prüfst bzw. Ob halt ne datei existiert...
Aber dafür verbrauchat dann ja deine resourcen...

Wollte sagen, das kannst auch google überlassen. Machst nur eine Seite mit den links fertig und siehst zu das google diese Seite findet und den Links folgt...

Schön mit "index, follow" Nette Idee, ich fürchte aberbei einer Seite mit potentiell 107374182 hoch 4 Links fliegt meine Seite schneller aus dem Index als mir lieb ist. Hi hi

Dann lass ich doch lieber ein Php-Script laufen, das mit genügend zeitlicher Varianz die URLs abprüft.
Schön sudsche, dann gehen die Aufrufe im Grundrauschen unter,... noch einen angepassten http-client String dazu und dann passt das.

Als Jemand der Interesse hätte, was ein Klamm User in seinem nicht zugänglichen Bereich hat, durchaus attraktiv und mit wenig Aufwand durchführbar.

Für Spanner gerade bei den nicht aktiven, weiblichen Usern... Pädophile stehen ja mehr auf die Kinder ab 14... Will sagen, ist die kriminelle Energie vorhanden, dann ist es ein leichtes den Pfad zu möglichen Bildern herauszufinden...

Aber für kbot scheint das Internet nur aus Google zu bestehen (was Google nicht anzeigt, existiert nicht)
und Arusiek klammert sich an sein Script aus der Phrasen-Dreschmaschine.

Da er Schutz der Dateien offensichtlich nicht vorhanden ist, erwarte ich eigentlich das die Lücke geschlossen wird und die User (alle!) informiert werden (Zumindest letzteres!).

Eine Unterstützung seitens der hier schreibenden Mods sehe ich allerdings nicht, ehe das Gegenteil.

 

[Djdjrjf8e]

jiw, scheinbar willst Du mich bewusst falsch verstehen. Ich habe nie behauptet, dass das System sicher ist. In dem Punkt sind wir uns im Grunde längst einig. Ich behaupte nur es wird nicht sicherer dadurch, dass ich da noch irgendwo eine Passwort-Abfrage einbaue. Das ist vorgegaukelte Sicherheit.

Nein ich will dich nicht bewusst falsch verstehen, allerdings drückst Du Dich unpräzise aus, was, gerade bei Sicherheits-relevanten Themen unschön, wenn nicht sogar trügerisch ist.
Gerne möchte ich naturlich weiterhin Dich einbeziehen, also keine keine Ignoranz deiner Person.

1. Jede zusätzliche Authentifizierung ist mehr Sicherheit, da sie die Erlangung des eigentlichen Ziels (hier das herausfinden, ob eine Datei unter einer errechneten/ bekannten URL erreichbar ist, erschwert und damit verzögert.

Denn: Ich muss erst herausfinden, wie das Passwort lautet und kann dann erst mit Test-URL's prüfen, ob ich dadurch Daten geliefert bekomme. ( Bild vorhanden )

2. Vorgegaukelte Sicherheit ist es aktuell, da ich zwar den Zugriff auf das virtuelle Foto-Album durch ein automatisch erstelltes Passwort verhindern kann, nicht aber den eigentlichen Zugriff auf die Bild-Dateien per URL, da das Passwort nur die Anzeige der Datei innerhalb der Album-Webseite verhindert, nicht aber den Abruf der eigentlichen Bild-Datei.

Der Klamm-User wird also durch Beschreibungstext in die Irre geführt, das Dateien, die in dem geschützten Album angezeigt werden, durch einen direkten Zugriff geschützt sind. Das ist nicht der Fall.

Das ist vorgegaukelte Sicherheit par excellence.

Insbesondere wenn Du den Nutzern die Wahl des Passworts selbst überlässt.

Ist hier nicht der Fall, das Passwort wird automatisch generiert

[...]das ändert nichts daran, dass die Entropie eines zufällig generierten Hashs höher ist. 10 Zeichen mag nicht genug sein, 30 wären es sicher.

Ohne jetzt den genauen Hintergrund für die Wahl von nur zehn Stellen zu wissen, gehe ich allerdings davon aus,
das nicht der Schutz der Datei im Vordergrund stand, sondern verhindert werden soll, das eine bereits existierende Datei nicht durch eine andere, neu hochgeladene, Datei überschrieben werden soll.

Wenn ich bruteforcen will, wieso bruteforce ich dann nicht das Passwort?

Geht an der aktuellen Situation vorbei, ich brauche mich gar nicht erst mit dem Passwort zu beschäftigen.

Wieviel einfacher ist es, ein user-erdachtes Passwort[...]?

Das Passwort wird aktuell automatisch generiert. Grundsätzlich ist der Aufwand, ein vom User erdachtes Paswort zu herrauszufinden, abhängig von der Komplexität / Länge/ und Zeichenraum der verwendbaren Zeichen.

Und bitte, ich weiss es zu schätzen aber da hier keine user-generierten Passwörter im Spiel sind ist es müßig über deren Komplexität zu philosophieren, und der Dateiname ist kein Hash des ursprünglichen Dateinames oder etwaiger Kombinationen, sondern errechnet um Namens-Konflikte zu vermeiden. (Theorie, aber mit hoher Wahrscheinlichkeit)

Wenn ich mich auf einen User konzentriere brauche ich max 8^14 Versuche um den kompletten Namensraum aller möglichen enthaltenen Dateien abzurufen, durch Überlegung und Anwendung bestimmter techniken kann ich diese aber stark einschränken. Und hab damit alle Dateien des Users, offentliche, wie "geschützte".

Hm, scheinbar hast Du nicht verstanden wie Crawling funktioniert.

Doch, weiss ich.
Ich würde allerdings vorschlagen, das wir die "Google" mal aussen vorlassen. Google Suche (/ Suchmaske) wird hier in verschiedenster Weise als Synonym und in unterschiedlichstem Kontext verwendet,

- für die einen ist es nur eine Suche-Möglichkeit innerhalb des Google-Index /-Universum .
- für andere ist die Google-Suchmaske das Eingabefeld für beliebige Internetadressen,
Diese User kennen das eigentliche URL-Eingabefeld nicht ("..da steht ja immer www.google.de drin"),
Nutzen also die Suchmaske als URL-Eingabefeld, wenn also die "Google-Suche" automatisch die eigentliche Webseite / Bild anzeigt, dann ist für diesen User die Webseite in der Google-Suche.

Das geht aber am Thema vorbei, auch Erklärungen wie der Googlebot arbeitet ebenso.

Das Thema ist, warum Bilder die in einem PW geschützten Album sind, durch eine direkte URL aufrufbar sind ohne jede Abfrage des Album-Passwortes.

Und noch einmal:
Gebe ich jemanden das Passwort zu meinem Album, kann er sich die Dateien anschauen, herunterladen, was auch immer.
Hat derjenige aber sich die eigentliche Bild-URL gemerkt, kann auch ein nachträgliches Ändern des Album PW den direkten Aufruf danach nicht verhindern. Deshalb sind auch jegliche Analogien mit abgeschlossenen Aktenordnern hinfällig, da ich nicht nicht das Schloss knacken brauche, um an den Inhalt zu gelangen.

Habe ich ein geschützes Album, sind die Bilder darin trotzdem nicht sicher vor Zugriff, da ich die entsprechende Bild-URL erraten / errechnen / wahllos ausprobieren kann, ohne irgendein PW ausprobieren zu müssen.

Fazit: wenn ich den URL nirgends poste wird Google auch nicht dran kommen. Dass google angeblich auch Links aus Proxy-Logs und Googlemails extrahiert und in den Index aufnimmt glaube ich sofort wenn Du mir Dein Insiderwissen irgendwie glaubhaft belegst. Bis dahin bleibt es eine Behauptung.

Sicher, wenn ich die URL nicht Google mitteile, in welcher Form auch immer, hat Google erstmal keine Ahnung davon.

Zum Google-Proxy:
Ist von mir eine Vermutung, allerdings warum sollte Google nicht davon Gebrauch machen, um von URLs zu erfahren, die noch nicht im Google-Index gelistet sind?

Zur Google-Mail:
Schon in den AGB zu GMail wird darauf hingewiesen, das der Inhalt zu Zwecken der Einblendung personalisierter Werbung ausgewertet, indiziert wird. Gerne kannst Du nachfragen, ob auch enthaltene nicht-indizierte URLs dann in den Such-Index aufgenommen werden.

Aber auch hier.. lassen wir bitte Google beiseite, aus oben genannten Gründen.

Noch anders gesagt: will ich das Bild jemandem zeigen muss ich ihm den URL und das Passwort sagen.

Ungenau. Wenn du jemandem ein Bild zeigen willst, reicht die Bild-Url, da das Passwort nicht abgefragt wird.
Möchtest Du ihm mehrere zeigen, reicht eine Liste der Bild-URLs
Willst du ihm Zugriff auf die Album-Darstellung auf Klamm.de geben, dann brauch er diese URL und das Passwort, richtig.

Nur die Präsentation über die Webseite von klamm.de ist also PW-geschützt. Ein merkwürdiger Schutzmechanismuss.

Zu diskutieren, welche Schutzmechanismen möglicherweise sind, eventuell, warscheinlich, erfolgversprechend wären..

ass Dir von jemand mit Erfahrung sagen: robots.txt hat nichts aber auch gar nichts mit Zugriffsschutz zu tun. Die hat einen ganz anderen Sinn. Am besten Du liest die RFC noch mal komplett.
Bei htaccess bist Du schon näher dran.

Deshalb schrieb ich auch "die Kombination von htaccess und robots.txt erlaubt schon einen guten-Zugriffshutz"
Das die robots.txt nur "Hier darfst Du zugreifen , aber dort nicht wegen deinem Namen!"-Regeln enthält, die befolgt werden können, aber nicht müssen und für Bots hauptsächlich gilt, ist mir klar.
Erst eine htaccess und eine darin eingerichtete User/Passwort Konfiguration für das Verzeichnis gibt schon einen guten Schutz, für Bots wie für den allgemeinen Zugriff.

Genau, mitlesen ist das richtige Stichwort. Mitlesen gilt für die URLs genauso wie für den Content. Steht da das Passwort hast Du genau gar nichts erreicht.

... Ausser ich hab mittlerweile das Passwort bereits geändert, das würde sich allerdings nur auf die Album-Ansicht auswirken.

Hoch leben die Äpfel-mit-Birnen-Vergleiche. Was die Auswertung der Nutzerdaten für Werbezwecke jetzt mit der vorliegenden Fragestellung zu tun haben soll erschließt sich mir jedenfalls nicht.

Nicht wirklich ein Äpfel-Birnen Vergleich, da Tatsache ist, das G-Mail alle Mails indiziert, ergibt sich daraus schon die Möglichkeit, diese Infos weiter zu verwenden als "nur" zu Werbezwecken..

Letztlich ist es wie oben: geheime Information bei Facebook zu verschicken ist ein genauso unsicherer Kommunikationskanal wie es in eine unverschlüsselte E-Mail zu schreiben. Wer das tut riskiert, dass die Information publik wird.

Grundsätzlich richtig, aber auch wenn ich nur die Bild-URL verschicke und das PW z.B. per Telefon mitteile, in der Annahme das ohne das PW derjenige nicht das Bild aufrufen kann, liege ich in der aktuellen Situation falsch.

Ich werte das mal als Diskreditierungsversuch mit dem Du mir zu unterstellen versuchst, dass ich die Hashs für sicher halte - obgleich ich das nie behauptet habe sondern von Anfang an von Ende-zu-Ende-Verschlüsselung sprach. Siehe erster Absatz in diesem Post.

Ja, das hast Du behauptet, deine Aussage war:

<10stellige-Hex-Zahl> ist unbekannt und spielt somit hier die Rolle des Passworts.

Da der allgemeine Stand ist, etwas durch ein Passwort abzusichern, impliziert deine Aussage das der Hash zur Sicherung eingeführt wurde, was ich stark bezweifle. Und wenn du Hashes nicht für sicher hälst, kann ein Hash aber auch kein Passwort sein.

Nein, ich greife nicht dich persönlich an, sondern deine Laxheit in deinen gemachten Antworten.
Denn zum Zeitpunkt deiner Antwort hattest du dich noch nicht mit der Foto-Galerie beschäftigt, bzw. vorher nicht noch einmal angeschaut.
Dann wäre Dir z.B. aufgefallen, das das Passwort automatisch generiert wird und somit alles was mit vom User erzeugten Passwörtern zu tun hat, völlig am Thema vorbei ging.

Trotzdem freue ich mich weiterhin auf eine ernsthafte Diskussion zu diesem Thema.

In dem Sinne

 

[baggacfreak]

soll ich jetzt wirklich die Dateien rausfinden durch Brute-Force?
Du sagst mir also als Moderator des Forenbereichs, das ich nur zu deinem Vergnügen,
eine Live-Seite attackieren soll und deren (Bilder-) Server evtl. empfindlich stören.
Ja den Service empfindlich stören kann?

Nur für dein persönliches Vergnügen? Für eine Offenlegung einer Tatsache, die Du selber, mit weit weniger Aufwand nachprüfen kannst? Lukas wird sich bedanken. Tut mir leid, aber mit dieser Aussage hast Du dich als verantwortungsvoller Moderator disqualifiziert.



1. Der "Ordner" selber ist nur über die Webseite geschützt.
2. Welchen Unterschied macht es, ob ich den Inhalt des Ordners sehen kann, oder durch einfachste Mittel prüefen kann ob eine enthaltene Datei existiert und das beliebig lange. - Der einzige Unterschied ist der Zeitfaktor und die benötigte Leistung / Bandbreite.


Bla Blaa Bla... Wenn ich weder durch einen PW-Schutz, noch durch die Anzahl meiner zugriffsversuche, gehindert werde, dann kann ich das solange durchführen bis ich die korrekten Dateinamen ermittelt habe.
Und was ist das für eine Aussage.. "praktisch nicht gezielt auffindbar" so was wie vielleicht doch sicher sauber?
Entweder es ist gezielt auffindbar oder nicht. Dein Satz ist einfach nur Geblubber und zeigt nur deine Unkenntnis.


Ansonsten siehe oben.

Du hörst dich an wie Norbert "Die-rente-ist-sicher" Blüm an, der hat auch stets die gleichen schon längst widerlegten Argumente gebracht. Selbst als ihm die Leute ihre Renten-Bescheide zeigten.
Tut mir leid, aber auch dadurch hast Du dich disqualifiziert, in dem versuchst es ins Lächerliche zu ziehen.

Gruß Aru

[/QUOTE]

Das sehe ich genauso! Scheinbar verstehen es ja genug Leute hier, wie man die Bilder wieder zu Tage fördert und nur wegen Engstirnigkeit gehe ich keine illegalen Geschäften nach!

Interessant wäre ein Copyright Bild, welches von einem User in einen "geschützten" Ordner hochgeladen wurde und dann eine Anzeige auf den Betreiber des Bilddienstes! Klamm kann ja schlecht sagen der User hätte wissen müssen, dass man seine Bilder dann überall einbinden kann (Was der User evtl. ja noch darf, nicht aber jeder x beliebige) Ähnliche Urteile gab es bei Facebook schon!

Zum Thema Https:

Klamm unterstütz ja auch noch nicht 100% https von daher könnte man da gleich weiter machen.

 

[klamm]

Leute kommt mal ein bisschen runter bitte ...
Kurz mal die Fakten:

Richtig, die Dateien an sich sind nicht geschützt, außer durch den generierten Dateinamen, den niemand kennt.
Weil: Die static-Server, auf denen die Bilder liegen, sind wirklich reine "Dateien-Auslieferer". Die tun nix anderes, haben kein PHP oder ähnliches, kein DB-Backend zu klamm. Daher wäre ein echter PW-Schutz (pro Datei) nur mit sehr viel Overhead bzw. einer anderen Infrastruktur zu implementieren.

Google kann die Bilder nicht finden, sofern die URL nicht öffentlich irgendwo steht.
Punkt.

Bruteforcen kann ich sowohl die codierte Bild-URL, als auch ein etwaiges Passwort.
Darüber brauchen wir also nicht diskutieren.

Einzig der Fall, dass ehemals öffentliche Bilder im Nachhinein geschützt werden - und somit von früher vllt. noch im Google-Index sind - das lasse ich gelten. Aber hier gilt wie im gesamten Inet: Lade niemals irgendwas öffentlich hoch, was vllt. irgendwann mal keiner mehr sehen soll. Das Internet vergisst nichts.

 

[Smssam]

Der Ärger wird wohl erst groß sein, wenn von irgendeiner Dame die nicht öffentlichen "Bade-Tag-Bilder" oder "Dessous-Shooting-Fotos" an die Öffentlichkeit geraten. Dann wird folglich nach einem schuldigen gesucht und ein "Man lädt dann solche Bilder nicht ins Internet hoch" stimmt bedingt.

Ein Laie geht wohl davon aus, dass ihre Bilder wohl in besten Händen sind. Die Art und weise dieser Sicherheitslücke ist meiner Meinung schon fatal - erst recht wo nun bekannt ist WIE man die Sicherheitslücke ausnutzen kann. Dafür muss man noch nicht mal ein erfahrener Hacker sein, irgend so ein Script-Kiddy könnte sein angepasstes Brut-Force Script während er in der Schule ist einfach so laufen lassen... oder ein wütender Ex-Freund während er auf der Arbeit ist?

EDIT: @Klamm, aber man könnte die Nutzer wenigstens darauf hinweisen... ein Laie könnte wohl von einen "guten" Schutz ausgehen....

[...]Bruteforcen kann ich sowohl die codierte Bild-URL, als auch ein etwaiges Passwort [...]

Betrifft das nur die Passwörter bei den Bildern? Denn ich hoffe doch, das bei den Klamm Passwörtern bei X-Fehlversuchen eine "Sperre für Y Zeit" eingreift...

 

[klamm]

Brute-Force kannst Du genauso über Dein "sicheres Passwort" laufen lassen.
Dann hast Du gleich ALLE Bilder ... oder das klamm-PW, dann hast Du gleich ALLES.
Also das Argument können wir echt außen vor lassen.

 

[DaPhreak]

Brute-Force kannst Du genauso über Dein "sicheres Passwort" laufen lassen.

Wobei Du zugeben musst, dass ein 10-Zeichen-Hash auf einem Static-Server schon fast eine Einladung ist. Das schafft auch ein Script-Kiddie. Wieso nicht wenigstens auf 30 Zeichen erhöhen? Das dürfte ein bruteforcen schon ziemlich unwirtschaftlich machen.

 

[Bububoomt]

Passwort Bruteforcen würde aber auch nicht klappen, wenn man eine Zeitsperre einbaut.
nach 3 * Falsch > 1 Min. nach 5 mal 5 Min. .....
Oder nach x mal ganz sperren...

Dann schaffst du das nicht!

Und bzgl. Static server, und wenn einfach nur der direkte Aufruf gesperrt wird, das nur ein Aufruf über klamm.de klappt...
Und dann zumindest noch eine Sperre für Google und Co.

Wäre ja schon mal ein Anfang.

 

[Djdjrjf8e]

[...]Interessant wäre ein Copyright Bild, welches von einem User in einen "geschützten" Ordner hochgeladen wurde und dann eine Anzeige auf den Betreiber des Bilddienstes! Klamm kann ja schlecht sagen der User hätte wissen müssen, dass man seine Bilder dann überall einbinden kann (Was der User evtl. ja noch darf, nicht aber jeder x beliebige) Ähnliche Urteile gab es bei Facebook schon!

Nun man könnte jetzt naturlich noch weitere Szenarien entwerfen, die aber letztendlich immer wieder darauf hinauslaufen, das der versprochene Schutz, der durch ein Setzen eines Passworts sugerriert wird, keiner ist, da es nur in einem speziellen Fall überhaupt zur Anwendung kommt.

Auch zu diskutieren, welcher Art das Bild nun in einem geschützten Album ist, ist nicht zielführend, für jeden Klamm-User ist das unterschiedlich, Bild vom ersten Pickel, Selfie vom ersten S*x, das reale Gesicht, Bild einer Blume, etc ...

Tatsache ist, der User "lädt" es in geschütztes Album und ist der Meinung, da er beim Aufruf des Albums nach einem Passwort gefragt wird, welches er gesetzt hat, das die enthaltenen Bilder sicher vor einem Zugriff sind.

Dieser Schutz sollte zumindest alle Arten von externem (im Internet möglichen) Zugriff einschliessen.
Darauf vertraut der User, das wird ihm durch die entsprechenden Texte und verwendeten Symbole suggeriert.

Zum Thema Https:
Klamm unterstütz ja auch noch nicht 100% https von daher könnte man da gleich weiter machen.

Ja, da stimme ich zu, ist auch ein interessantes Thema zu dem man diskutieren kann, nur sollte dafür ein eigenes Thema aufgemacht werden, da die Sichtweisen und Argumente Pro und Contra von beiden Seiten betrachtet werden müssten und nur am Rande (sichere Übertragung von PW und geschützten Inhalten) mit dem Thema hier zu tun haben.
Edith:

Leute kommt mal ein bisschen runter bitte ...
Kurz mal die Fakten:
Richtig, die Dateien an sich sind nicht geschützt, außer durch den generierten Dateinamen, den niemand kennt.

richtig er wird automatisch generiert, ist aber unerheblich ob ich ihn kenne, da:

Weil: Die static-Server, auf denen die Bilder liegen, sind wirklich reine "Dateien-Auslieferer".

- Und somit der "Schutz" den du bietest, die Möglichkeit Bilder in PW-geschützes Album abzulegen, nur reine Makulatur ist, damit versprichst du einen Schutz der von dir nicht umgesetzt wird.
- ein Berufen auf den Schutz durch einen Dateinamen, der zufällig beim Erstellen generiert wird, mag zwar eine Hürde sein, ein Schutz ist es dadurch aber noch lange nicht, da nichts mich hindert, den Dateinamen beliebig auszuprobieren, (das muss ich in jedem Fall), zumindest eine Abfrage auf das vom User eingerichtete Passwort würde reichen, den Zugriff von Skript-Kiddies oder Jemandem dem ich den Zugriff nachträgllich entziehen möchte, zu verhindern.

Daher wäre ein echter PW-Schutz (pro Datei) nur mit sehr viel Overhead bzw. einer anderen Infrastruktur zu implementieren.

Warum "versprichst" Du diesen Schutz dann durch die Möglichkeit ein Passwort auf ein Album zu setzen?
Wenn Du diesen Schutz nicht gewährleisten kannst, dann solltest Du diesen erst gar nicht anbieten.
Damit wägst du den User in einer Sicherheit, die Du ja gar nicht umgesetzt hast.

Google kann die Bilder nicht finden, sofern die URL nicht öffentlich irgendwo steht. Punkt.

Richtig, Du selber bietest keine Möglichkeit, das Google die Bilder finden kann.
Das hindert aber Dritte nicht daran, deinen öffentlichen Bilder-Server und die enthaltenen Bilder nicht durch selbst erstellte Webseiten doch google zur Indizierung zur Verfügung zu stellen.
Der Zugriff auf die eigentliche Datei wird von Dir ja nicht geschützt.

Bruteforcen kann ich sowohl die codierte Bild-URL, als auch ein etwaiges Passwort.
Darüber brauchen wir also nicht diskutieren.

Naja, dadurch das das hier ein Diskussions-Forum ist... diskutieren wir einmal..

Brute-Force ist aber durchaus mit Diskussionsgrundlage, da du es ermöglichst, durch das freie Testen auf Existenz einer Datei, einem vorhersagbaren Pfad und Namens-Schema, den Namen einer Datei herauszufinden. Der versprochene Schutz vor Zugriff wird von Dir nicht umgesetzt.

Einzig der Fall, dass ehemals öffentliche Bilder im Nachhinein geschützt werden - und somit von früher vllt. noch im Google-Index sind - das lasse ich gelten.

Würdest Du den Passwort-Schutz auch auf den Abruf der "geschützten" Bilddateien ausweiten, bräuchten wir über Such-Maschinen und evtl. vorhandene indizierte URL gar nicht diskutieren.

Aber hier gilt wie im gesamten Inet: Lade niemals irgendwas öffentlich hoch, was vllt. irgendwann mal keiner mehr sehen soll. Das Internet vergisst nichts.

Lukas, schalte bitte die PDM wieder ab und versuche nicht abzulenken.
Du bietest mit der Möglichkeit, ein Passwort, zum Schutz vor Aufruf eines Albums (und deren enthaltener Bilder), zu setzen eine vorgetäuschte Sicherheit an, da Du nicht die enthaltenen Bilder durch das Passwort auch schützt.
Dem User wird durch diese Funktion vorgetäuscht, eben nicht sein Bild öffentlich hochzuladen/ bereitzustellen.
Dafür hat der User ja die ungeschützten Alben.

Brute-Force kannst Du genauso über Dein "sicheres Passwort" laufen lassen.
Dann hast Du gleich ALLE Bilder ... oder das klamm-PW, dann hast Du gleich ALLES.
Also das Argument können wir echt außen vor lassen.

Nein können wir nicht, denn die einzige Hürde ist, den Dateinamen herauszufinden, Brute-Force ist hier der übliche Weg.
Schlimm für den User ist aber, das du ihm suggerierst, das er durch das Ändern des Passwortes eines Album, er die Möglichkeit hat, den Zugriff nachträglich zu verhindern.
Da Du diesen Schutz eines Passworts nur auf der Webseite selber überprüfst, ist die Schutzfunktion wirkungslos.

Tut mir leid, aber wenn Du ein Schutz durch ein PW anbietest, dann solltest du diesen auch vollständig umgesetzt anbieten oder gleich entfernen und deutlich machen das alle Bilder öffentlich sind.

Einfach einen Aufkleber drauf machen "Ist geschützt durch.." reicht nicht, erst die Umsetzung des Schutzes durch Implementation und Überprüfung, leistet erst den Schutz den dieser Aufkleber verspricht.

Ich finde es schade, du versuchst deinen Verlust durch Betrug bei PL / Vergütung etc. durch Einsatz von Einmal-Token zu verhindern, auf der anderen Seite scheint Dir der Schutz anvertrauter Bildern egal zu sein, sonst hättest du zumindest den anonymen Zugriff auf die geschützten Bild-dateien schon verhindert. Es verlangt niemand von dir, eine unknackbaren Schutz zu realisieren, sondern nur die Authentifikation bei Zugriff umzusetzen.