Личные фото в MAX оказались уязвимы: спор о приватности файлов
Вокруг мессенджера MAX разгорелся неожиданный спор о приватности файлов. Пользователь Pikabu под ником 5time заявил, что изображение из личной переписки в веб-версии сервиса можно открыть по прямой ссылке без авторизации. Более того, по его словам, ссылка продолжает работать даже после удаления картинки из чата. Хабр сообщил, что проверка редакции показала ту же проблему.
MAX оперативно ответил и назвал обвинения фейком. В компании утверждают, что доступ к личным фото есть только у владельца, а посторонний может увидеть файл лишь в случае, если ему передали саму ссылку или изображение. Подобрать адрес, по словам платформы, невозможно.
Но спор упирается в более фундаментальный вопрос: можно ли считать файл защищённым, если безопасность держится только на секретности длинной ссылки. Эксперты OWASP считают такую модель уязвимой. Пока стороны спорят, пользователям советуют проявить осторожность и не отправлять через веб-версию MAX чувствительные изображения.
https://www.securitylab.ru/news/570087.php
#кибербезопасность #приватность #MAX