Ist es in Ordnung, zufällige URLs anstelle von Passwörtern zu verwenden? [geschlossen]

Wird es als "sicher" angesehen, URLs zu verwenden, die aus solchen zufälligen Zeichen bestehen?

http://example.com/EU3uc654/Photos

Ich möchte einige Dateien / Bildergalerien auf einen Webserver stellen, auf die nur eine kleine Gruppe von Benutzern zugreifen kann. Mein Hauptanliegen ist, dass die Dateien nicht von Suchmaschinen oder neugierigen Power-Usern aufgenommen werden, die sich auf meiner Website umsehen.

Ich habe eine .htaccess-Datei eingerichtet, nur um zu bemerken, dass das Klicken auf http://user:pass@url/Links bei einigen Browsern / E-Mail-Clients nicht gut funktioniert und Dialoge und Warnmeldungen auffordert, die meine nicht allzu computergeschützten Benutzer verwirren.

Ob es "okay" ist oder nicht, hängt davon ab, wie empfindlich die Bilder sind.

Wenn Sie kein SSL verwenden, werden die URLs, HTML und die Bilder selbst auf den Computern Ihrer Benutzer zwischengespeichert. Dies könnte auslaufen, aber ich würde es für unwahrscheinlich halten.

Browser-Symbolleisten, insbesondere solche von Unternehmen, die Crawler wie Alexa und Netcraft ausführen, können besuchte URLs an ihre übergeordneten Websites zurückmelden, damit der Bot sie später durchsuchen kann.

Eine ordnungsgemäße Authentifizierung wie HTTP-Authentifizierung oder eine POST-Variable sollte auf diese Weise nicht zwischengespeichert oder an eine übergeordnete Website zurückgemeldet werden können.

Eine andere Technik besteht darin, eindeutige und kurzlebige URLs zu verwenden. Auf diese Weise spielt es keine Rolle, auch wenn sie auslaufen. Natürlich müssen Sie Ihre legitimen Benutzer der neuen URLs ständig aktualisieren.

Nein, nicht wirklich, das ist nur Sicherheit durch Dunkelheit, die überhaupt keine Sicherheit ist. Alles, was ohne wirklichen Schutz direkt aus dem Internet erreichbar ist, wird gefunden, indiziert und zwischengespeichert.

Sie werden auf dem Weg in jeden Proxy eingeloggt. Sie sind vor neugierigen Power-Usern und Suchmaschinen sicher, es sei denn, jemand veröffentlicht den Link tatsächlich.

Und achten Sie natürlich auf die Zufälligkeit Ihres Generators.

Ich vermute, Sie suchen hier nicht nach extrem hoher Sicherheit.

Eine kryptische URL ist praktisch für Einmal-Downloads, bietet jedoch keinen wirklichen Schutz. Sie müssen sich bewusst sein, dass nicht alle Bots die robots.txt-Datei akzeptieren. Wenn also irgendwo auf Ihrer Website ein Link zu dem verschleierten Ordner vorhanden ist, wird dieser von einigen Suchmaschinen indiziert, und wenn er gestartet wird, gibt es kein Zurück mehr.

Ich würde vorschlagen, stattdessen oder zusätzlich zu dem, was Sie vorschlagen, ein einfaches .htaccess-basiertes Authentifizierungssystem zu verwenden.

Ich möchte eine weitere, vielleicht gruseligere Perspektive auf verschleierte URLs wie dieses Beispiel hinzufügen. Auch wenn Ihre URL nicht versehentlich weitergegeben wird, kann sie von folgenden Stellen an Suchmaschinen übermittelt werden:

• Der ISP eines Besuchers. HTTP-Besuche werden gesammelt, mit Daten versehen und manchmal sogar von ISPs direkt an Dritte verkauft.
• Der Cloud-Speicher eines Besuchers. Es gibt eine Reihe von Diensten, die Lesezeichen und den Verlauf kostenlos speichern, um eine Synchronisierung über Browserinstallationen hinweg zu ermöglichen. Sofern sie die Daten nicht wie Mozilla vorverschlüsseln, können dieselben Data Mining-Praktiken impliziert werden.

YMMV.

In der Vergangenheit habe ich eine ähnliche Methode verwendet, um Benutzern das Erstellen von Freigabebereichen in einem Dokumentenverwaltungssystem zu ermöglichen. Der geteilte Inhalt war nicht streng geheim, so dass das System nicht extrem sicher sein musste.

Ich habe gerade dafür gesorgt, dass jede Benutzer-URL einen Ablaufzeitstempel und eine MD5 ihrer E-Mail enthält.

SO sah die URL aus wie:

http://my-url.com/1343689677-cba1f2d695a5ca39ee6f343297a761a4/

Wenn der Benutzer die E-Mail user@gmail.com vor dem 30. Juli eingibt, kann er mit dem oben genannten Vorgang beginnen.

Nicht gerade für militärische Zwecke geeignet, hat aber den Job gemacht.

Dies hat dieselbe Sicherheitsanfälligkeit wie das Speichern der Sitzungs-ID in einer URL. Jemand kann versehentlich den Link kopieren, vergessen, ihn in einem Screenshot zu zensieren, oder jemanden nachschlagen lassen, da er nicht wie Kennwörter mit einem Sternchen versehen ist.

Wenn ein Teil des Inhalts durch ein Passwort geschützt ist, müssen Sie sich anmelden. Sie wissen, dass dies ein Geheimnis ist. Wenn Sie einen Link bekommen, können Sie ihn leicht vergessen.

Eine andere Sache ist das Entfernen von Benutzerrechten. Sie können einen Benutzer löschen, sodass er sich nicht mehr anmelden kann, aber mit Links. Sie müssten alle ändern und allen (mit Ausnahme des gelöschten Benutzers) neue URLs senden.

Ich finde es nicht schlecht, wenn es sich nur um Bilder handelt. Aber wenn dies einige Bilder sind, die Sie wirklich, wirklich nicht gerne teilen würden;) dann empfehle ich Ihnen, ein längeres zufälliges Wort zu verwenden, eher wie das, das Sie vorgestellt haben.

BEARBEITEN: Fügen Sie der URL? DO_NOT_SHARE_THIS_LINK hinzu: http://example.com/DO_NOT_SHARE_THIS_LINK/EU3uc654-dies-sollte-länger sein/ Fotos?DO_NOT_SHARE_THIS_LINK

Das ist es, was zB Kongregate macht, wenn Spiele eingebettet werden, die an anderer Stelle gehostet werden. Übrigens verwendet Kongregate auch Links für den Gastzugang für nicht veröffentlichte Spiele, genau so, wie Sie es möchten.