¿Qué tan segura es la función "deshabilitar la descarga de la imagen original" de Flickr?

Investigué un poco por mi cuenta, usando mi propia cuenta de flickr y un navegador sin iniciar sesión.

Aquí está la página de Todos los tamaños para una de mis fotos .

Antes de cambiar la opción "¿Quién puede acceder a sus archivos de imagen originales?" configuración en Privacidad y permisos, un usuario genérico de Internet podría ver el enlace " Original " además de los otros tamaños. Esa página tenía una <img>etiqueta que enlazaba con esta URL . La página "Todos los tamaños" también tenía un enlace que decía Descargar el tamaño original de esta foto . (Si revisa las URL, tenga en cuenta que hay un _dsufijo en el nombre del archivo; Flickr lo verá y activará el encabezado HTTP que le dice al navegador que descargue en lugar de mostrar la imagen).

A modo de comparación, aquí está la página de tamaño grande y la URL de la imagen correspondiente .

Luego cambié la configuración de privacidad, borré el caché en mi navegador sin iniciar sesión y volví a verificar los enlaces. Esto es lo que encontré:

• El enlace a la página de tamaño original ahora redirige a la página de tamaño grande . Es razonable.
• La página Todos los tamaños ya no tenía los enlaces de tamaño original, como se esperaba.
• Todavía pude descargar la imagen en tamaño original
  • Esto es un poco sorprendente. Significa que, si bien hay restricciones de acceso a las páginas que contienen las imágenes, no hay seguridad en las imágenes en sí .
  • Como desarrollador web, puedo entender por qué probablemente hicieron esto. Las imágenes son grandes y estáticas y probablemente se publican a través de una red de entrega de contenido. Es más rápido/más eficiente no comprobar los permisos de los archivos de imagen; simplemente puede alojarlos en un servidor web "tonto" de esa manera.

Entonces, una vez que se conoce la URL del archivo original, no hay forma de evitar que alguien descargue la versión original del archivo (a menos que se elimine por completo... y es posible que ni siquiera funcione. No lo intenté).

Una última cuestión: ¿qué tan adivinables son las URL del archivo original? Aquí están uno al lado del otro:

Large:    http://farm7.static.flickr.com/6126/6044833128_cc02cf41e3_b.jpg
Original: http://farm7.static.flickr.com/6126/6044833128_3b8eac89d7_o.jpg

Entonces, el sufijo ( _bo _o) determina el tamaño, pero también hay otro elemento en el nombre del archivo que varía según el tamaño. No puede simplemente cambiar el sufijo para voltear tamaños. Aquí está la URL de la versión grande con el sufijo cambiado a _o; no funciona

Si yo fuera Flickr, me aseguraría de que ese elemento central fuera completamente aleatorio según el tamaño de la foto y, por lo tanto, imposible de adivinar, excepto por un ataque de fuerza bruta. Tiene una longitud de 40 bits, por lo que hay muchas (2 ^ 40, ~ 1 billón) de opciones posibles. Es muy poco probable que alguien se moleste en aplicar fuerza bruta a ese segmento solo para obtener la versión de tamaño original de un archivo... cuando ya tienen la versión grande .

Entonces, siempre que haya desactivado la función "Descarga del archivo original" y no comparta las URL de las imágenes originales , diría que la función Flickr es bastante segura. Si se rompe, es prácticamente culpa tuya.

Esta página (vinculada desde el complemento de Firefox que publicó bill weaver ) hace un buen trabajo al resumir la situación, incluido el "componente aleatorio" en la URL de la imagen que mencioné en la pregunta.

El autor señala:

Esto significa que incluso si se toma la molestia de obtener el nombre de archivo para uno de los tamaños más pequeños, no podrá adivinar el nombre de archivo de la foto original , y esta es una gran noticia para los fotógrafos preocupados por el robo de imágenes.

"No puedo adivinar" - ¡genial! :) Pero luego continúa diciendo:

Lo bueno es que después de que Flickr aleatorizó los nombres de los archivos, se volvió casi imposible adivinar la URL para el tamaño original de un archivo.

" Casi imposible" - ¡no tan bueno! :( Pero asumo que solo quiere decir que con suficiente tiempo y poder de procesamiento podrías descifrarlo con un ataque de fuerza bruta . Si es así, eso es lo suficientemente bueno para mí: tomaré esas probabilidades. :)

Flickr utiliza un protocolo web no seguro (HTTP) de forma predeterminada, por lo que se puede acceder a cualquier imagen después de secuestrar la sesión de una persona que pueda acceder a ella. Para el secuestro de sesión, el atacante debe poder espiar el tráfico de la red de la víctima, por ejemplo, accediendo al mismo punto de acceso inalámbrico oa algún nodo de red intermedio. El riesgo se ha vuelto bastante significativo en los puntos inalámbricos públicos después del lanzamiento de Firesheep , un complemento de Firefox que captura automáticamente las cookies que otras personas usan en la misma área inalámbrica y las presenta para facilitar su uso.

Además, las imágenes vienen con encabezados que permiten que las cachés web intermedias las conserven durante años. Por lo tanto, obtener acceso para explorar un caché web también podría brindar acceso a las imágenes originales que se han visto a través de ese caché.

No voy a perseguir la conexión de red o los cachés de usted o de sus amigos, así que no, no voy a enviarle su imagen original. Pero para jugar con seguridad, lo mejor que puede hacer es no subir imágenes originales.

Si se muestra, por supuesto que puede guardarlo. Si los originales están protegidos, entonces no, a menos que se conozca la URL. La conclusión es bastante segura y no , no creo que se pueda descargar.

El complemento de firefox original de flickr parece al principio hacer esto (lo supuse pasivamente), pero en realidad descarga el tamaño grande si ha protegido sus originales de la visualización pública. He descargado una versión de 1024 x 580 de tu foto con este complemento.

El complemento de Firefox Tamperdata permitirá el descubrimiento de la URL protegida para la imagen. Es trivial hacerlo. La única capa de seguridad parece ser la oscuridad.

Aquí está la manera fácil de hacer esto (usando Safari) sin toda la jerga que están lanzando. Vaya a la página de todas las imágenes. Una vez que haya habilitado su menú desplegable Desarrollar, vaya a Mostrar inspector web. En el lado izquierdo de la ventana del desarrollador, busque el menú desplegable de imágenes. Haga clic en eso y busque la cadena con el número largo. Al hacer clic en eso, la imagen aparecerá en la ventana del desarrollador. En el extremo derecho verá la URL de la imagen. Copie y pegue la URL en una nueva ventana del navegador y aparecerá la imagen y podrá descargarla desde allí. O simplemente arrastre la imagen desde la ventana del desarrollador. (Es probable que cambie su nombre a Desconocido.