Googleドキュメントのリンクが推測される可能性はどのくらいありますか？
私たちのほとんど（すべてではないにしても）は、Googleドキュメントのリンクが次のようなものであることを知っています： https://docs.google.com/document/d/13P3p5bA3lslqEJT1BGeTL1L5ZrQq_fSov_56jT9vf0I/edit
Googleドライブからドキュメントを「添付」できるツールがいくつかあります（Trelloなど）。ドキュメントを添付するときは、手動でドキュメントにユーザーを追加するか、リンクを知っている全員が編集、表示、またはコメントできると言ってください。
セキュリティの観点から見ると、誰もが編集できると言ってどれほど危険なのでしょうか。誰かがブルートフォースでGoogleドキュメントのリンクを推測し、ドキュメントにアクセスする可能性はどのくらいありますか？
ここで私の推測は、主にそこに多くの文字があるという明白な事実に加えて、攻撃者が探していたあらゆる情報にアクセスするための多くのより簡単な手段（たとえば、誰かのTrello PWの推測、ゴム製ホースの解読）があることです。グーグルたぶんがそのような卑劣な振る舞いに注意を払っていると仮定します...
しかし、あなたがリンクをブルートフォースで攻撃できたとしましょう-このアプローチの脆弱性は何ですか？
ドキュメントIDの分布が均一で予測不可能であると仮定すると、次のような計算になります。
- 44文字長い
- 大文字、小文字、数字、アンダースコア=
26 + 26 + 10 + 1 =63文字のアルファベット
したがって：
可能な組み合わせの合計：6344
keyspace：263ビット⇐44 *ログ2（63）
そして、コンピュータがどんなに高度で魔法の「量子」になっても、妥当な時間（宇宙の寿命）で263ビットのキーをブルートフォースで強制することは、物理学の法則が許す範囲をはるかに超えています。
これは少し大胆な主張のように思えるかもしれませんが、それは太陽がそのような時間枠でその高いと見なすのに十分なエネルギーを単に出していないという事実から来ています。詳細については、SchneierのApplied Cryptographyの157ページを参照するか、 this answer here を参照してください。ここで、数学を要約します this answer lynksはSchneierの本のセクション全体を引用しました。
具体的には、太陽のエネルギーは2まで数えるのに十分です187 年間、つまり2年かかる76 私たち自身の太陽との年、275 2つの太陽などを利用できる場合は、何年かかかります。かろうじて2に数える十分な力があるかもしれません256 あなたが天の川銀河のすべての星の超新星破壊であなたのコンピュータに動力を与えるとしたらですから、それはどこかで起こっています。
ブルートフォース（無限に近い）には非常に長い時間がかかる場合がありますが、機密文書をそのように保護することはあまり賢明ではありません。誰がそれを読んでもかまわないのなら、それは問題ではありません。しかし、私はあなたの最新プロジェクトの仕様をGoogleドキュメントに載せません。
また、リンクが漏洩する可能性があるというリスクもあります。認証が必要な場合でも、他のユーザーがファイルにアクセスするのを防ぐことができます。ただし、認証が強制されていない場合は、リンクを手に入れることができる誰でもドキュメントを表示できます。
私はすべてのユーザーがgoogleログインを持ち、ドキュメントフォルダーへのアクセス許可を持っていることを確認する可能性が高くなります。「ワイドオープン」と「各アクセス許可を個別に追加」の間には灰色の陰影があります。
黙示的に、ドキュメントリンクに「パターン」が表示されたので、提供されているセキュリティのレベルについては確信が持てませんが、自分で侵入したくありません。
また、「リンクがうろついている」攻撃に注意してください-誰かがブラウザにそれを覚えていると述べたほか、キャッシュ、Webプロキシログ、URL短縮機能、検索エンジン、電子メールの転送など... 「便利」だと思う人は誰でしょう。
さらに悪いことに、「オールオープン」メソッドを使用しても、誰かが突っ込んでいる場合はknowを実行せず、そうした場合、事実の後にセキュリティを強化すると、二重困難を招きます。
http://howsecureismypassword.net/ にあるパスワードの複雑さのテスターを使用してテストしたところ、「デスクトップPCがパスワードを解読するのに802ギガビリオン年ほどかかるだろう」という結果になりました。 （それはかなり長い時間のようです）。
もちろん、ランダムなパスワードを想定していますが、ここではそうではありませんほとんどの場合、これらのドキュメントIDを作成するアルゴリズムであり、アルゴリズムを推測できる場合は、誰かがIDを推測できる可能性が高くなります。
また、完璧な「パスワード強度」ツールはありません。その時間は、1つのシステムによる推測であり、有効かそうでないかを想定している可能性があります。投稿のポイントは、「他に何も知らない、これをブルートフォースにするのがどれほど難しいのか」という基準としてだけでした
しかし、それ自体、特定のアカウントに関連付けられた特定のIDのIDを推測することは非常に困難です。攻撃者は、特定のドキュメントへのアクセス権を持つユーザーとしてログインする必要があるため、リスクが大幅に低下します。
Googleドキュメントの権限部分がしっかりしていると想定します。ドキュメントを表示する権限を付与した人だけが実際にドキュメントにアクセスできます。そのため、ログインしたユーザーは、すでに権限を持っているドキュメントのみを総当たり攻撃できる可能性があります。
IDの複雑さは、唯一のセキュリティツールではなく、既存のセキュリティの上に隠れたレイヤーです。ある意味ではあいまいさによるセキュリティかもしれませんが、それだけではありません。 あいまいさによるセキュリティは、それがonly防御手段である場合にのみ悪いです。 =タスクに複雑さが加わっても害はなく、攻撃者の速度を低下させる可能性があります。唯一の防御手段としてそれを当てにするのは安全ではありません。
「セキュリティレベル」に関する限り、ここに何か追加します。なぜなら、問題の現実は、私が「安全」であるか、「これが安全であるか」にかかっています。答えはまったく安全ではありません。
私たちが調べなければならないのは、これが危険にさらされる可能性があるフードです。これを説明することはすでに試みられましたが、私とは全く関係がありませんでした。別の見方をしようと思います。
リンクは暗号化されていますか。これは暗号化ではなく、あいまいさによるセキュリティです。ですから、あなたのリンクが見出されたり、推測されたりすることは決してないということを願っています。暗号化とは、データをスクランブルするか、情報を完全に変更/置換するかを問わず、元のデータ以外のものに変換する行為です。このURLを推測するのは間違いなく、間違いなく、間違いなくこのURLです。しかし、このURLは単なるURLであり、ヒットすると、戻ってあなたの情報へのアクセスを提供します。
ええ、でも誰もが100万億年でこれを推測するつもりはありません...実際、どちらかがいつ発生するかは、決してわかりません。ブルートフォースは十分であり、ハッシュは非常によく推測できます。Aaaaaaaaaaaaaaaaaaaa1、Aaaaaaaaaaaaaaaaaaaa2などを推測するようなものではないため、多くの悪いオプションが排除されます。彼らは、どのハッシュが行われているかを判断し、数学的に正当な値を実行します。次に、すべての可能な値のテーブルを作成し、それを大規模なボットネットやAWSラムダなどのツールに統合して、何百万ものリクエストをすばやく試すことができ、世界中のGoogleへの正当なトラフィックになります。
その上、あなたの交通はあなたが行く場所の多くは安全ではありません、そしてあなたが何をするかはあちこちで出血し、他の人はそうします。そのため、ウェブ解析/プラグイン/マルウェア/コーヒーショップ/などには、不正なコードが含まれている場合や、URLを取得して悪意のあるグループに公開する攻撃が含まれている場合があります。
最大の問題は、誰がファイルを表示してアクセスするかわからないことです。そこに何かがあり、誰にもアクセスを許可したくない場合は、共有リンクをすぐに削除します。
これにより、Dropboxまたは資格情報が提供されておらず、ファイルが暗号化されていないか、保存されていない他の共有リンクについて、この問題が存在する共有リンクに光が当てられることを願っています。