Bug di sicurezza in rossoalice?

[RadomE]

Ho scoperto un probabile bug in rossoalice: se uno ha un'account ed utilizza il servizio di "file e web" è possibile, conoscendo la cartella ed il nome del file accedere ad esso senza loggarsi.

Il sistema è semplice:

Quest'immagine viene caricata automaticamente dal mio spazio web, il fatto è che per entrarci si dovrebbe loggarsi....

http://gr.rossoalice.it/fm/anteprima.ph ... _ombre.jpg

Questo è l'indirizzo, ma se sappiamo esattamente il percorso del file possiamo richiamarne uno in qualsiasi account.

Che ne dite?

[ikir]

Forse perchè è un'immagine e lo permettono loro... non lo so

L'importante è che non faccia vedere la directory con i file, ma solo il file singolo.

[sHaDy]

Non ho capto bene qual'è il problema. C'è un servizio che permette di caricare file su di uno spazio web? Se è così non vedo dove sta il bug, è normale che se carichi un file sul web dopo sia accessibile da chiunque a patto di conoscere l'url esatto (e a patto che con ci siano restrizioni particolari ovviamente).

[Tom Cruis]

Anche lo psazio web di Digilander è così, molte immagini che avevo postato nella sezione giochi vengono dal mio spazio web, basta inserire il percorso corretto di dove si trova l'immagine, percorso che però solo il proprietario dello spazio può azzeccare la prima volta!

[sHaDy]

Anche lo psazio web di Digilander è così, molte immagini che avevo postato nella sezione giochi vengono dal mio spazio web, basta inserire il percorso corretto di dove si trova l'immagine, percorso che però solo il proprietario dello spazio può azzeccare la prima volta!

Esatto, è una cosa normalissima...

[electric_g]

credo che Radome si sia spegiato male....

io ho assistito ad una sua "dimostrazione"

in pratica quello che offrono è sì uno spazio ftp, ma anche un hard disk virtuale nel quale vi è una cartella PUBLIC in cui si mettono i file che si volgiono condividere, nel resto dello spazio quindi nn si dovrebbero condividere.....

inoltre per vedere questi file Radome deve mandare un invito via email grazie al quale il destinatario può entrare e vedere i file che è stato invitato a vedere...

il problema sorge quando, anche non nella cartella PUBLIC, si cerca di aprire un file usando il link "diretto" (NOME_SPAZIO/UTENTE/NOME_FILE) e il sito chiede (giustamente) username e password, mentre se si fa l'anteprima, viene fuori questo link che permette a chiunque, anche a noi dal sito che nn immettiamo password, di vederlo....

che invece non dovrebbe essere possibile!

[RadomE]

Si perchè il mio non è uno spazio web pubblico, è una sorta di HD online...

@ ikir : come puoi ben vedere la directory è chiaramente visibile

[ikir]

La directory io non riuscivo a vederla :-)

Comunque andrebbe segnalato se si vedono le immagini che non sono nello spazio pubblico

[sHaDy]

Ho capito...

Beh, prova a mandare una segnalazione e vediamo che ti dicono.

[RadomE]

Adesso provo a mandarlo su PI...

[sHaDy]

Allora?

[riko]

Adesso provo a mandarlo su PI...

Anche perche` imho quelli di Alice sarebbero dispostissimi a fare una politica del security through obscurity... sputtanali :)