用 HTTPS 也无效,骇客可偷 Outlook、OneDrive 用户名字和头像

 中国邮箱网  0条评论  1324次浏览  2015年10月09日 星期五 10:43

分享到: 更多
中国邮箱网讯 10月9日消息,为了保护使用者连线安全,建立连线时使用 HTTPS 是必然之选,但即使用了 HTTPS 也不是无忧无虑。最近发现即使用户透过 HTTPS 连线至 Microsoft 帐户页、Outlook.com 或 Onedrive.com 时,仍会泄漏用户的唯一标式符(unique identifier),其他人可从中获得姓名和个人头像。

用 CID 偷取用户名称和个人头像

虽然有使用 HTTPS,但唯一标式符,即 CID 仍然会外泄。原因是 CID 是以 DNS lookup 的一部份传送,DNS lookup 会寻找储存了个人资料的服务器地址,CID 也是加密连线初始化的一部份,所以,当用户透过电脑或移动设备连接服务时,CID 就可以追踪用户个人资料。

外国媒体 Ars Technica 做了一次实验,证实了这个方法。从与 Microsoft 帐户页、Outlook.com 或 Onedrive.com 连线截获的封包(packet)中,可以看到 DNS lookup 请求是以 cid-[用户的 CID ].users.storage.live.com 呈现。在 TSL 进行“交握”(handshake)交换资料时,CID 也会在 Server Name Indication(SNI)中显示。

CID 可以获得用户的个人头像;透过 OneDrive 也可以获得用户的展示名称。如果人们以 CID 读取于 Microsoft Live 服务的元数据(Metadata),也可以得到帐户的建立和最后登入日期,相同的元数据也可以泄露 Live Calendar 的资料。微软指他们已经知道这件事,并准备回应。

Microsoft sites expose visitors’ profile info in plain text
(本文由 Unwire Pro 授权转载)

标签:outlookhttps

我的评论:

请  后发表评论。