Hackere omdirigerede 2,2 mio. links hos link-forkorter
Mandag blev link-forkortningstjenesten Cligs angrebet gennem et sikkerhedshul i webapplikationen. Det betød, at 2,2 millioner links alle blev omstillet til at pege på ét ondsindet websted.
Sikkerhedshullet fandtes i en funktion på Cligs, som gør det muligt at redigere i et forkortet link. Flere andre tjenester giver ikke mulighed for efterfølgende at redigere i et link, men hos Cligs er det altså muligt.
Og det kunne hackerne udnytte til at redigere næsten alle links i Cligs' database, så de pegede på det ondsindede websted.
Forkortede links er kommet i søgelyset, fordi de i stigende grad bliver brugt til distribution af spam og ondsindede programmer. Problemet er, at en bruger ikke umiddelbart kan se, hvilket websted et forkortet link peger på. Derfor kan de korte link virke mere troværdige, hvis sammenhængen virker troværdig.
Linkforkortere har eksisteret længe, men de er blevet mere populære i kølvandet på tjenester som Twitter og Facebook, hvor der ofte ikke er plads til at opgive en fuld URL.
John Bambenek fra SANS Internet Storm Center foreslår i en kommentar til episoden hos Cligs, at tjenesterne kan implementere eksempelvis sortlistning af kendte ondsindede domæner for at mindske risikoen.
Sidste år blev også den danske tjeneste kortlink.dk hacket, men det gik angiveligt kun ud over tjenestens forside uden at de millioner af korte links blev omdirigeret til ondsindede sider.
Kommentarer (9)
Jeg har altid været lidt ambivalent overfor de her link-forkortere. Jeg kan godt se ideen og hvorfor det er praktisk i forhold til ting som Twitter, men når man får sådan et link serveret, har man jo reelt ingen anelse om hvor det fører hen.
Jeg bryder mig ikke om "blinde" links.
-
0 -
0
Det, at man ikke kan angive et korrekt link er vel en falliterklæring i sig selv[1], men korte links..?
Jeg spørger bare - hvorfor skulle jeg klikke på en 'kort link' service, blot for at tilkendegive hvad jeg er imteresseret i?
Jeg er ikke paranoid, spørger bare - hvad skal disse 'kortlink' services bruge mine oplysninger til?
[1] ingen nævnt, ingen glemt.
-
0
-
0
Men til gengæld så er der altså nogen link tjenester hvor du kan skrive preview.domænet.tld/linkid'et.
Jeg kan ikke lige huske hvilken men på den som jeg engang i mellem bruger til hurtig deling af proof of concepts osv er det nu smart nok.
Men at misbruge korte links har været smart lige siden det kom frem! Men så kan man forholdsvist gardere sig med FireFox og NoScript og eventuelt andre addons.
-
0
-
0
En nem løsning kunne være at lave et browser plugin der advarer brugeren når man sendes videre til en side på et andet domæne. Så kunne man vælge om man vil tillade viderestillingen.
Det er muligt det allerede findes...
-
0
-
0
Ja, der findes flere. Jeg har dog ikke selv prøvet dem.
Men tag eventuelt et kig på det her plugin til Firefox:
https://addons.mozilla.org/en-US/firefox/addon/8636
Mvh.
Jesper Stein Sandal
Version2
-
0
-
0
Har lige installeret LongURL's extension til Firefox, og det virker fint på Twitter.
-
0
-
0
@Jesper: afkoder den også links der går via hugeurl.com? :-)
http://www.hugeurl.com/?OWU0Y2QxNzc3NjlkMzA5MjhiZmU3ZDg3NzMzMjliM2YmMTMm...
-
0
-
0
Fx, kan EDBPrisers url'er være så lange, at man ikke kan sende den fulde URL til sine kontakt personer i MSN Messenger, der for er kort link tjenster smarte.
-
0
-
0
alle disse kort link tjenster burde lave, at man bliver præsenteret for den rigtige URL, og derefter kan trykke på en Continue knap
-
0
-
0
