Особенно, в условиях задействования технологий Cross-origin resource sharing и прочего , мешающих другим веб-сайтам втихую открывать на своих страницах веб-версии этих самых мессенджеров.

Ага, возможность увидеть по прямой ссылке посмотреть картинки, это сейчас отраслевой де-факто стандарт, проистекающий именно из борьбы за безопасность основного веб-интерфейса мессенджера, и разбрасывания контента на разные сервера для балансировки нагрузки.

Добро пожаловать в реальный мир.

Благодаря шумихи вокруг MAX вы наконец-то стали узнавать, как ВСЁ это реально работает.

Ага, прикиньте, пересылая кому-нибудь ссылку из вебсервиса, на страницу, картинку или любой файл, вы можете переслать и какую-нибудь техническую информацию. А нажимая кнопку "сделать доступным по очень приватной ссылке" вы сразу отправляете это во множество сервисов мониторенья и поискувую выдачу гугла.

Другие мои тексты про то, как в реальности работают цифровые технологии тут:
- Электронные заказные письма хранятся бессрочно
- Как искусственный интеллект видит Землю
- Ответ на пост «Как программисты министерству транспорта бесплатно помогли»
- Ответ на пост «Яндекс, какое же вы г..!»

Подписывайтесь, скоро будут другие :)

БОНУС: в любой момент разработчики Пикабу что-нибудь изменят, и люди, которым вы поставили описание, будут видеть, что именно вы им написали в поле, которое якобы видно только вам.

• Сложность подбора: Токен в ссылке — это очень длинный и случайный набор символов. Подобрать его наугад невозможно, это займет миллионы лет даже у суперкомпьютера.
  А у нас обращение к внешнему сайту, где стоит защита от перебора. А даже при миллиарде файлов попасть даже на случайный практически невозможно.

• Защита HTTPS: Пока ссылка летит от сервера к вам, она зашифрована. Ни провайдер, ни сосед по Wi-Fi не увидят её хвост с ключом.

• Атомарность: Если кто-то и узнает ссылку, он увидит только один конкретный файл, а не залезет во все ваши переписки и файлы. В отличии от вашего пароля. Боятся надо потери логина/пароля.

• Гибкость: Разработчики сами выбирают длину ключа. В СМС он короткий, потому что живет пару минут и умещается в полиномиальное время. В ссылке на картинку — длинный, чтобы защитить её надолго.

Опасности

Проблемы начинаются не в технологии, а в том, как ею распоряжаются люди и сайты:

• Цифровой след: В отличие от пароля, ссылка сохраняется в истории браузера. Если кто-то сядет за ваш компьютер, он сможет её открыть.

• Человеческий фактор (Админы и разработчики): С утечками паролей бороться научились — их никто не записывает. А вот ссылки иногда по ошибке сохраняются в рабочих логах серверов, или передаются между сервисами. Это риск, который лечится только грамотной настройкой системы.

• Пересылка: Как только вы кинули ссылку в чат, она перестает быть секретом. Роботы мессенджера могут зайти по ней, чтобы сделать предпросмотр, и ссылка останется в их базе.

• Плохая реализация: Знаменитые утечки (как у МТС или ВК) случались не из-за самих ссылок, а из-за ошибок: когда файлы индексировались поисковиками (хвосты), застревали в памяти серверов (CDN) или утекали через переходы на другие сайты (Referer). Опять же человеческий фактор.

Но важный момент: Если вы отправили кому-то файл, бояться нужно не живой ссылки, а того, что человек может просто сохранить фото себе на диск. В этот момент любая защита ссылки теряет смысл.

Итог

Не стоит бояться мифического подбора вашей ссылки хакерами. Им гораздо проще охотиться за вашим паролем, чем за сложным токеном. Токен-ссылка — это надежный и удобный инструмент, если разработчики не поленились его правильно настроить.

Как можно заметить, у параметра r есть префикс и постфикс, который, скорее всего, генерируется на основе каких-то метаданных (ID аккаунтов, ID чата, etc.), а возможно, является идентичным для всех пользователей Max. Выделим отличающиеся части ссылок:

• whIfmcEG-AQ04SLHDttpwu

• OrCtArXBjq22lCBwOCDEL-

• uCeSw_mahSxcJfxo1C8gOO

• 3SBIKFh0j_uS4NxSE_Uc6e

• 3eud5ZnHve_KdN2h70ccLe

• ObvU-CP4zgDVerJ9CWGMDu

Данная часть ссылки состоит из 22 символов. Учитывая, что параметр представляет собой Base64 строку, то количество возможных вариантов ссылок в данном случае равняется 64²², что примерно равно 5×10³⁹ возможных вариантов.

Представим такую невозможную ситуацию, что в базе данных изображений Макса находится триллион (10¹²) изображений. И у нас есть возможность совершать на сервера Max миллиард (10⁹) запросов в секунду. Тогда вероятность найти за сутки хотя бы одно изображение будет равняться (24×60×60×10⁹×10¹²)/(5×10³⁹) ≈ 1/10⁻¹⁴, что ИММОЛЕЙТ ИМПРУВЕД! Это означает, что возможность его подбора КРАЙНЕ МАЛА! Или, если серьёзнее, то понадобится примерно 274 миллиарда лет, чтобы найти одно изображение. Так что, если вы используете в качестве пароля строку из менее чем двадцати двух символов с алфавитом мощностью менее 64, то вас взломают раньше, чем найдут хотя бы какое-то изображение. В данном случае сложность сравнима с поиском подписи для JWT-токена другого пользователя. И также нужно учесть допущение, что ни один сервер в мире не выдержит миллиард запросов в секунду, а уж тем более вряд ли будет хранить триллион изображений.

Теперь отойдём от математики к практике программирования бэкэндов. Использование случайных хэшей в качестве параметров ссылки для передачи данных пользователей, в том числе чувствительных, является нормальной практикой, но далеко не лучшей. Если используются достоверные SSL-сертификаты и передача данных идёт по HTTPS, то всё, что смогут узнать посредники в лучшем случае, это домен, а параметры и вызванные методы передаются в зашифрованном виде.

В конце добавлю, что гораздо лучше было бы, если бы для получения изображения по ссылке проверялось наличие доступа у пользователя к данному изображению через токен авторизации, это не сложно в реализации, но может создать дополнительные издержки для инфраструктуры, так как тогда нужно заводить отдельную таблицу в БД или отдельную БД, которая будет хранить данные о том, кто к каким ссылкам имеет доступ, а также выполнять дополнительные обращения к данной БД. В случае Max, скорее всего, используется хранилище типа Amazon S3, к которому идёт прямой запрос, на который сразу возвращается ответ без дополнительных проверок.

UPD: По мнению пользователей Хабра, префиксная часть как-то связана с датой и, возможно, меняется. Постфиксная часть у некоторых других пользователей разная. Так что сложность подбора увеличивается экспоненциально.

UPD2: Аналогичным образом, то есть без авторизации, хранятся фотографии в Одноклассниках и ВКонтакте.