Besserwisser
· Västra Götalands
· 9 738 inlägg
Ja, vad gäller t ex avpixlat så är det ett lite spännande misstag som gjorde att man kunde börja identifiera användare. Den inläggsplattform man använder tillåter att man tilldelar avatarbilder så att man lättare kan se vilka användare som är vilka i en diskussion. För att inte läcka information om vilka emailadresser som hör till vilka avatarbilder så hashades dessa emailadresser och avatarbilden tilldelas varje hash. Idén var då att man skickar upp sin hash av sin emailadress till servern, denna ser om hashen har varit med förut och delar då ut samma avatarbild som man använt förra gången. MEN, det går inte för servern att läsa emailadressen. Kryptografiskt säkra hashfunktioner ser ut så att det är lätt att hasha en sträng, och det ger en unik identifierare, MEN har man identifieraren så går det inte att få tillbaka det som stoppades in, eller ens hitta något annat att stoppa in som ger samma identifierare.mycke_nu skrev:
Det här systemet har dock en svaghet som ingen tänkte på. Om man kan gissa, vilket emailadresser som folk är förknippade med, så kan man hasha dessa själv och kontakta servern. Om man då får svaret "Hej, sk7<ksr!?, kul att se dig igen, här är avatarbilden som du använde förra gången, så vet man att personen med den emailadressen har använt forumet förut, och för att hitta personens inlägg så behöver man bara gå igenom samtliga och jämföra avatarbilderna (vilket är enkelt att göra med en dator).
Så vad journalisterna (ja, dvs i de flesta fallen, en grupp med kopplingar till vänsterextrema grupperingar som kallar sig "researchgruppen") gjort är bara att ta en massa intressanta emailadresser och kolla dem, en efter en. Men det går alltså inte att bara läsa ut alla emailadresser ur systemet och se om någon är intressant. Man måste gå andra vägen, först potentiellt intressant emailadress och sedan kolla om den finns.
För att bevara sin anonymitet mot just det här angreppet (som förövrigt inte går längre, man har pluggat just det hålet) så skall man alltså se till att använda anonyma emailadresser som kontaktpunkt för dylika bloggäventyr. Dessa behöver inte vara superhemliga, bara de inte enkelt, dvs. utgående bara i från emailadressen går att härleda till dig. (Det är fö alltid en bra regel, skall man ens försöka skydda sin anonymitet från den här sortens angrepp så skall man alltid ha anonymitet i flera steg.) De som torskade här använde i de allra flesta fall sin officiella mail-adress, tom sin jobb/partimail-adress. Vilket inte är vidare smart.
Menar du att researchgruppen gått ut och hävdat att de har hela användardatabasen? Eller menar du något annat? Jag är inte hundra inläst, men jag är mycket intresserad.mycke_nu skrev:
Om det är det, så hade det även här varit bra att använda en "anonym" email-adress för sin kommunikation med FlashBack. Men notera att många web-mail konton exv. skickar med IP-adressen från datorn i headerinformationen, så att kommunicera direkt med någon man vill vara anonym gentemot är inte riktigt så enkelt. I det här fallet, där man bara har just email-adressen, så gör det ingen större skillnad, men om man har tillgång till ett email som sådant, så är man då alltså mer eller mindre torsk. (Då finns det andra saker att göra, proxies, ToR osv. men det blir snabbt överkurs).
Hela vet jag inte säkert, men antagligen eftersom de säger sig ha 100 000-tals användaruppgifter.lars_stefan_axelsson skrev:
http://www.svd.se/nyheter/inrikes/flashback-identiteter-uppges-rojda_3904038.svd
Att skriva annonymt på Familjeliv är inte annonymt som i att inte kunna spåras.
Utan annonymt för forumet.
självklart är man spårbar för admin och även ip adress vilket jag tycker ska vara möjligt då det är nödvändigt.
Tex någon som skriver annonymt och hotar en annan.
Ibland kan det finnas anledningar till att man vill vara annonym och inte skriva med sitt vanliga nick som man skriver annars och kanske länkar till sin blogg med bil hus och allt vad det är.
Vi är man alltid spårbar på nätet men vem som helst kan inte plocka fram din info med hjälp av ipadress bara sådär.
Utan annonymt för forumet.
självklart är man spårbar för admin och även ip adress vilket jag tycker ska vara möjligt då det är nödvändigt.
Tex någon som skriver annonymt och hotar en annan.
Ibland kan det finnas anledningar till att man vill vara annonym och inte skriva med sitt vanliga nick som man skriver annars och kanske länkar till sin blogg med bil hus och allt vad det är.
Vi är man alltid spårbar på nätet men vem som helst kan inte plocka fram din info med hjälp av ipadress bara sådär.