Even ter verduidelijking van mijn bericht: ik bedoel: alle foto's die je naar dienst Google Photos upload.

Als wat je schrijft klopt, dat zou je je daar zorgen over moeten maken ja. Echter schat ik zelf in dat het niet helemaal werkt zoals je nu schetst.

De reden dat ik denk dat het net wat anders ligt is omdat er verschillende manieren zijn om toegang te regelen op het internet (en dus ook voor foto's). Niet altijd gaat het om cookies waarvoor je eerst ingelogt moet zijn. Dat is makkelijk te testen door de URL in een prive scherm te openen, dan zou je de foto niet meer moeten kunnen zien.

Een andere manier, en ik dat is de manier waarvan ik verwacht dat Google ook gebruik maakt, is met iets als “Signed URL's”. Amazon heeft hier ook een uitleg over, zie [1]. Voordeel is dat niet elke content server toegang hoeft te hebben tot jou cookies/sessie gegevens. Maar gevolg is wel dat iedereen met de juiste URL in staat is om voor (een bepaalde tijd, een bepaald IP) om de content (afbeelding) op te vragen.

Met andere woorden, dat je met de URL een afbeelding kan opvragen vanuit een andere browser waar je niet ingelogd bent, wil niet direct zeggen dat de afbeelding gelijk 'publiek' is. Daarnaast lijkt het mij dat de URL die je gebruikt ook niet eenvoudig te raden is, dus tenzij je die zelf deelt zal iemand anders de afbeelding ook niet kunnen zien.

[1] https://docs.aws.amazon.com/AmazonCloudFront/latest/DeveloperGuide/private-content-signed-urls.html

niet waar
Je bent waarschijnlijk in Chrome nog ingelogd

Heb het even getest en wanneer je een privévenster of andere internetbrowser gebruikt waar je niet met dat Google account bent ingelogd kun je de foto niet inzien wanneer je de url daar opent. Oftwel PEBKAC (Problem Exists Between Keyboard And Computer)

Toch is het wel zo.
Iedere afbeelding binnen Google Photos heeft een enorme lange url: https://lh3.googleusercontent.com/...etc...

Open vervolgens Incognito (dus niet ingelogd bij Google) en je kunt deze foto openen. Ook na een paar uur, er lijkt geen timestamp op te zitten.

Zoek maar over dit onderwerp, alle Google Photo urls zijn gewoon publiek, dat geeft Google gewoon toe, zei zeggen dat door de lange url dit veiliger is dan een wachtwoord, maar dit is natuurlijk onzin zodra die urls om wat voor reden publiek zijn geworden.

Jij zit waarschijnlijk verkeerd te kijken. Zit jij in Google Drive ofzo? Je moet Google PHOTOS hebben.
- Het gaat dus om https://photos.google.com/
- Open een album, en op een foto.
- rechtermuisknop en dan Adres van afbeelding kopieren.
- open een incognito en voila, je kunt zonder inlog de foto plakken.

Erg slecht dit...

Er zijn heel veel cloud diensten die zo werken.
Ik weet niet of het al is opgelost, maar ik heb ook wel eens gemerkt dat als je in Microsoft Sharepoint Online een bestand met iemand deelt die geen lid is van je groep, er ook gewoon een lange URL naar die persoon gemaild wordt die ongeautoriseerd toegang geeft tot dat bestand, en dat is dan dezelfde URL als die je ook zelf (ongemerkt) gebruikt als je ingelogd en wel rondbladert in Sharepoint. M.a.w. gewoon de unieke URL van dat bestand binnen Sharepoint.
Daardoor kun je dat bestand dus nooit meer "ont-delen", die persoon blijft er altijd bij kunnen zolang hij dat mailtje niet weggooit, en als dit mailtje op de een of andere manier naar buiten komt kunnen anderen er ook bij.
Het enige wat je dan kunt doen is een copie maken van het bestand en het origineel weggooien.

Ik probeer dat net, maar ik moet dan opnieuw inloggen hoor?

Wat prive moet blijven ga je NIET op internet zetten.

Prive en Googel gaat niet samen,
als je dit nu nog niet weet, heb je wellicht onder een steen gelegen.

Het zou al een hele verbetering zijn als de toegang maar voor een bepaalde tijdsduur zou zijn.
Deze link werkt tot ...vul maar iets in.
Je geeft iemand een link, maar die linkt werkt maar een bepaalde tijdsduur.
Daarna verdwijnt ie in de digitale vergetelheid.

Ben het eens met degenen die zeggen dat je niets moet delen met Internet
dat je niet met de gehele verdere wereld wenst te delen.
Die info houd je gewoon voor jezelf en deelt dat niet online.
Dat geldt niet al;leen voor jou en je huisgenoten en familieleden,
maar ook voor de schat aan info waar je school, je bedrijf, je organisatie e.d. op zitten.
Vraagt men iets, niet antwoorden of doorverwijzen naar de (bedrijfs)voorlichter.

Besef ook dat bij zogenaamde gratis diensten, jij altijd het "product" bent,
die betaalt met alle data, die je onverhoopt geweten of ongeweten met zo'n dienst deelt.
Dat is de core-business van deze Big Tech Data Sjacheraars.
En daar zijn ze bloedhemeltje rijk mee geworden en dat neemt nog exponentieel toe die berg coins,
Bij deze rijkdom vergeleken is Oom Dagobert uit je stripboek er niets bij!

Zo lang de wereld nog niet om een of andere zwaarwichtige reden van dat model af wil,
want ook overheden en overheidsdiensten en andere grote commercie profiteren op vele vlakken mee in dit model,
verandert er echt geen steek en is het tegenspel dweilen met alle kranen open.

Die dit niet begrepen hebben en de consequenties niet doorzien, moeten ver weg blijven van elk online device.
Hun hele hebben en houwen ligt dan online al te grabbel.
Het in eneigerlei mate verhinderen kan alleen jijzelf en jijzelf alleen.

luntrus

Anoniem van 10:40 Als je echt verder klikt en een album opent en daarna een afbeelding en dan de afbeeldingsurl kopiërt zul je zien dat je gewoon de afbeelding kunt bekijken in een privévenster of andere browser waar je niet ingelogd bent. Niet goed beveiligd dus....

Ik zie het zelf eerder als een feature toch. Als je ingelogd bent in je eigen Photos omgeving kan je daar foto's plaatsen en dergelijke. Voor elke foto wordt ook een direct te benaderen url geconstrueerd met behulp van een hele lange url. Ik denk ofwel iets random gegenereerd, of mogelijk een of ander hash-algortime of zo, dat heb ik verder niet bekeken.
Hoe dan ook, die url is zo lang dat het onwaarschijnlijk is dat je dat zou kunnen brute-forcen of raden, met andere woorden je moet de exacte URL hebben om dan vervolgens zonder ingelogd te zijn direct die foto te kunnen bekijken.

Dit geeft je de mogelijkheid om op andere locaties (blogs, forums, als avatar etc) je eigen foto's te linken.
Het lijkt me een aardige feature, ik zie ook geen privacy-risico. Er is mogelijk een security-risico maar als je ziet hoe lang die url is dan denk ik dat wel meevalt. Zie hieronder een voorbeeld.

https://lh3.googleusercontent.com/OAw0Dnr-7e2OH3zD7csUfXMTJhAXLwvjcAMCFc37mXlIRmlB97qxt_oSBjAqRvO4auYoS_sO6vUUKDSDOBlRAzCO3ZVaSdarUulSOuFcrnkd5cH9N6vbSDiy6je2facAg6U1h1P24vhEhSKIQnMiYSe8CAVqffbxFDhNiLxgS80rsQZgiAYUgL8o7t2nLL6qJgz9xFq7IBOI2b_U_J48LXgfJGo8jweksfLjy5veBaCGKR3PYMQmSCF2hdgwRUhwFmT_P0FawISyMkRdUM3nOlqqf2QbfkT-kDDYhL28B894ixCEjrtndKZZJSv4FkQdPwAbSP8mht3BbKUwmixbP96K_MnFei_v6yOI5VY-jV5KWtokJ6PRtK4pd2pG8DzCuwlNAD8AgUxzncB40mrodPkS94OwmNTRqh1OO2tllmh7KwR0BGL6_5cbJTiBmPZJsxjVJhQL6gZbmrmJNMS6gMPFujo097swqRIOno-_DHmEbECNWCjEo006vGyZ-871yZBxkEffSe7zuMhj7_ePwrJoGJlJbEIBSkYf_MTSGvccZ_C7Y3qgtl8bCHKXty-Uk6tKcmLV4E1fx5eVlftn9MhWAu7n-6Jho93m0jPZG_ZnFMa9lH8Sx77Miz1tRJx3YnateuzT8bBovAt-_-bal1aPIJIxlOTA63VWAtM_3X1EAIEj39TcqIYaUrw1HA=w588-h1015-no?authuser=0

Ik snap werkelijk niet waarom dat er iedere keer bij gehaald moet worden!
Dit heeft toch HELEMAAL NIKS te maken met de gestelde vraag?

Zo werkt het ook, als je via delen een unieke URL genereert. en niet door de URL door te geven die je krijgt door met de rechtermuisknop op het bestand te drukken.

PEBKAC: Problem Exists Between Keyboard And Chair

Sorry maar net gechecked.... Ik krijg echt geen foto te zien als ik de URL plak in een andere browser. Ik krijg wel heel netjes een login venster te zien.

Ik ben ook heel erg benieuwd waarom je de claim Het gekke is dat dit geen geheim is en dat Google ook weet. baseerd. Het blijkt namelijk al bij meerdere posts hier al ontkracht te worden. Ik constateer exact hetzelfde.
Je vraag moet dus zijn, waarom jij iets anders hebt, dan wij hier hebben.

Toevallig niet een andere browser waar je nog ingelogt bent? Of een andere inprivate/incogneto browser actief, waarin je ingelogd bent. Of toevallig delen volledig open hebt staan (geen idee of dit kan).

Mijn conclusie is echter: USER ERROR, replace user, problem solved.

Resultaat is een pagina om in te loggen:
https://urlscan.io/result/f696e98a-cd69-453f-8c66-ffdf22f77423/

Anders zou dit alsnog een IDOR zijn: https://cheatsheetseries.owasp.org/cheatsheets/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet.html

Kijk anders even deze YouTube video uit april dit jaar, https://youtu.be/hLjht9uJWgw
Zou kunnen dat Google het ondertussen heeft aangepast, heb het zelf nog niet uitgetest

Ik moet gewoon inloggen, of ben ik de enige?

Ik zie het probleem niet. Wat is nu eigenlijk het verschil tussen een moeilijk te raden wachtwoord, en een moeilijk te raden URL? Sterker nog, als de URL iedere keer anders is, zou ik zeggen dat dat zelfs een betere beveiliging is.

Wat is nou het verschil tussen
- https://example.com/photos/myphoto.jpg, beveiligd met gebruikersnaam en wachtwoord (dezelfde voor elke foto), of
- https://example.com/photos/uniek-wachtwoord-voor-elke-foto/myphoto.jpg, zonder vraag om wachtwoord?

Je hebt zelf controle over of je de URL verspreid of niet, net zoals met je wachtwoord.

Je voorbeeld levert een inlogpagina op. Dat lijkt goed te gaan.

Ik zie overigens wel degelijk een privacyrisico. Ooit had ik de gewoonte om zip-bestanden met foto's die ik voor anderen had gemaakt via een link met een random component erin op mijn eigen website aan die anderen te leveren. Als de download geslaagd was verwijderde ik de data weer van mijn webserver.

Op een gegeven moment zag ik in mijn webserverlog dat behalve de geadresseerde (in NL) ook een download vanuit de VS had plaatsgevonden. De geadresseerde bleek de link niet naar iemand anders doorgestuurd te hebben, bleek geen malware op zijn computer te hebben, en uiteindelijk merkte iemand die mee hielp zoeken naar een verklaring op dat in de traceroute naar het IP-adres in de VS dat de download deed een machine van Microsoft zat. Microsoft had toen de feature aan IE (Edge bestond nog niet) toegevoegd om onveilige downloads te blokkeren, en daartoe moeten downloads wel geanalyseerd worden en dus door Microsoft zelf ook gedownload worden. Dat bleek de verklaring te zijn.

Op zich is er nog niets aan de hand als zo'n bestand alleen door een batterij virusscanners wordt gehaald of zoiets. Maar combineer het met iets dat in het nieuws is geweest. Google had de indruk gekregen dat Microsoft in het nog nieuwe Bing zoekresultaten van Google verwerkte. Ze hadden de proef op de som genomen door een nep-zoekresultaat in Google op te nemen. Een totaal idiote zoekterm leverde een zoekresultaat op waar die zoekterm niet in voorkwam. En jawel, na verloop van tijd gaf Bing hetzelfde resultaat bij die term. De verklaring daarvoor bleek te zijn dat Microsoft IE liet monitoren op welke links mensen klikten en daarmee Bing voedde. Omdat Google zijn nep-zoekresultaat had getest in IE was die link in dat mechanisme beland en de koppeling tussen zoekwoord en pagina in Bing opgenomen.

Tien jaar geleden al kon je er niet meer van op aan dat een unieke hyperlink met random inhoud alleen gebruikt zou worden door degene die erover beschikte. Het zou zelfs in zoekresultaten kunnen opduiken. Ik zou er daarom niet van uitgaan dat een URL die privé moet blijven dat ook echt blijft. Het is een voorbeeld van security through obscurity, en daarvan is al heel lang duidelijk dat dat geen goed idee is.

Je bedoelt dat de keyboard kabel rot is? Ik geloof er niks van dat dit een gevolg daarvan zou kunnen zijn.

Daarnaast... Waarom denk je dat je bij choogel ook maar enige vorm van privacy hebt? Ongeacht 'of het zo werkt' als TS beschrijft... blijf gewoon ver van dergelijke bedrijven.

Ik zie een foto van een witte cirkel met een streep doorheen... geen aanmeldscherm.

Inderdaad, daar heb ik me ooit ook wel eens verschrikkelijk aan geergerd.
We hadden toen een server voor dit soort dingen die achter een ADSL lijn zat, dwz maar 1 Mbit/s upload, en het was heel vervelend dat alle (vaak grote) bestanden 2 keer gedownload werden, zowel door de klant als door Microsoft.
Op een gegeven moment heb ik dat Microsoft subnet maar geblokkeerd in de webserver, en hoopte dat dit niet zo leiden tot foutmeldingen bij de legitieme gebruikers.
Volgens mij zit die feature er nog steeds in, maar nu de verbinding glas is maak ik me er niet druk meer om, en dit mechanisme wordt ook nauwelijks meer gebruikt nu er allerlei andere manieren zijn om bestanden te delen.

Firefox 80.0.1
Ik ben ingelogd in mijn Google Photos.
Rechtsklik op een foto van een quiche.
Kies Open link in new private window.
En sta op een inlogscherm. Ga de link niet geven want die zegt aan iedereen dat die in moeten loggen.

Dus een link gemaakt van de foto en deze geopend in een private window tab. Dan kan ik de foto wel bekijken, terwijl rechts bovenin staat Sign In. Maar dat is omdat ik zelf de URL ervan heb.
Terug naar Photos scherm. Kies de quiche weer.
Doe rechtsklikken: open in new tab.
Opent de foto in nieuwe tab.
Kopieer de link van deze foto en plak die in nieuwe tab in de private window.
Paste & Go.
Inlogscherm.

Kopieer de link nogmaals.
Open Chrome 85.0.4183.83
Open New Incognito Window.
Plak link in incognito window, Paste & Go.
Inlogscherm.

U zei?

(Probeer maar https://photos.google.com/photo/AF1QipO3cgFSDRkuT2Zk2ahoAyZ1jJuwd0yj470_OZHF en vertel me de kleur van het bord)

Ik heb de URL ook even geprobeerd. Ik krijg in ieder geval geen foto te zien maar een zwart/wit icoon van een stopbord.

Volgens mij kan je de foto's bekijken als je op EEN google account bent ingelogd, maakt niet uit welke ...

Alvast even dit: google is niet gericht op privacy. Ik geloof best dat de foto's door iedereen toegankelijk is (met een ingelogd account). Zo niet, alsnog opletten met google als je daar persoonlijke gegevens wil uploaden.

En hier gaat je testje dus fout, je hebt gewoon de url gekopieerd, die toont uiteraard een inlogvenster.

Maar het gaat in deze vraag om de AFBEELDINGS url die altijd begint met https://lh3.googleusercontent.com/... enz...

ik heb een 404:

404. That’s an error.

The requested URL was not found on this server. That’s all we know.

Rechtermuisknop op de afbeelding --> Copy image address.
De reeks tekens om de afbeelding mee te identificeren is zo'n 700 tekens lang. Elke positie heeft aan mogelijkheden: 26 kleine letters, 26 hoofdletters, 10 cijfers en nog wat vreemde tekens. Laten we zeggen, voor het gemak: 70 verschillende mogelijke tekens op één positie.

Er zijn dus 70^700 combinaties mogelijk. Een poging om het uit te schrijven: 3.7 × 10^1291. Hoe lang zou je bezig zijn als je probeert een afbeeldings-URL te raden?

De URL wordt tevens via https geserveerd, dus daar valt niets af te lezen. Of je moet in je browser een extensie hebben die dit soort URL-requests logt en opslaat, maar dan zijn je wachtwoorden en CC-gegevens ook niet veilig.

Geachte TS met beperkt begrijpertje en blijkbaar erg bang want anoniem!
Als jij Google vraagt om een link te geven naar een foto van jou, dan zijn ze zo vriendelijk en doen ze dat.
Als jij die wilt delen, mag dat.
Dat je de link zou kunnen raden is onzin.
En jij kunt NOOIT een link krijgen naar een foto van mij.
Ik heb twostep aan staan dus alleen naam en wachtwoord gaat niet werken.
Probeer maar.
En ook bekijken via een ander account gaat niet werken, tenzij de eigenaar jou een link stuurt.

Mijn foto's zijn veilig en foto's die USA onwelgevallig zijn beveilig ik extra met Cryptomator.

Beetje dom ben je wel hè ?
Het grootste probleem zit tussen het Keyboard en de PC. Klopt dat is de gebruiker.

Dit is aan de ene kant correct, maar aan de andere kant missen we toch iets denk ik.

De authenticatie is puur op basis van de URL. Dit lijkt me onveilig dan met een username/password, want:

- Je kunt niet "uitloggen" (als de URL eenmaal is gelekt, blijft hij beschikbaar)

- De URL wordt gecached door proxies

- Als je 1x de URL (fotos) hebt bekeken op een publieke pc, ben je fscked (want history, en zie punt 1 en 2)

Noemen ze dit geen IDOR kwetsbaarheid?

Ben jij gewend dat iedereen de pc-kast achter zijn stoel heeft staan? Ik kan me niet herinneren die opstelling ooit te zijn tegengekomen, en ben dus niet gewend dat gebruikers tussen het toetsenbord en de pc zitten.

De C in PEBKAC staat niet voor Computer maar voor Chair: Problem Exists Between Keyboard And Chair. Dat is waar je de gebruiker aantreft. Tussen het toetsenbord en de pc loopt een kabeltje.

Kennelijk was de Anoniem op wie je reageerde (dat was ik niet) toch niet zo dom als je dacht.

Jij zit als gebruiker tussen je computer en je keyboard?
Ofwel: je kan blind typen met je toetsenbord achter je en je handen op je rug? Ik zou het graag eens komen bekijken :-)

Dit is bewust gedaan. Je hoeft maar een stap in de VS te zetten en ze kunnen met 1 seconde filmmateriaal je identiteit achterhalen die gekoppeld is aan je politieke voorkeur, etc. Je zoekopdrachten doen hun werk :)