オンラインファイル共有サービスの脆弱性

以前から、オンラインでのファイル共有サービスには脆弱性があることが指摘されてきた。
URLを想像できるなら、だれでもアクセスできるということである。

ただ、通常はURLの文字列の長さが100文字を超えていたりするので、人間の手で探すことは難しい。
一方、総当たり攻撃で複数のPCやサーバーから自動処理して探すのは比較的容易なのかもしれない。

ずいぶん前の話だが、ある団体の試験結果が公表される前に漏洩するという事件があった。
昨年の試験結果の発表ページのURLと年だけが違うURLを用意していて、アドレスに直接それを打ち込めば見える状態になっていた。

この例はちょっとあり得ないが、少なくとも次の対策はしておくべきだっただろう。

• パスワードを入力しないと見えないような処理
• 少なくとも人間が想像しにくいURLを設定すること

オンラインファイルサービスを提供している会社の多くは、

• URLの有効期限を決めている
• パスワードを入力しないとダウンロードできないようになっている

ものである。が、それさえもやっていないケースもあるようだ。

オンラインファイルサービスはとても便利なので、使わないという選択は「事故が起こるから車や電車には一切乗らない」というのと似たような気がするので、使っていきたい。が、上述のような最低限のセキュリティ対策はしたいところ。