Zu den Wegen, Bilder auf seinen Flickr-Account hochzuladen, gehört auch der Upload per Email. Die an eine zufällig generierte Mail-Adresse geschickten Bilder werden dabei direkt dem eigenen Konto hinzugefügt. Dummerweise waren diese Emailadressen aber relativ leicht zu erraten.
Ein High-School-Schüler namens Jazzy fand heraus, wie die Emailadressen gebildet werden und beschrieb seine Vorgehensweise dabei auch in seinem Blog. Er konnte zwar keine gültigen Mailadressen direkt aus Flickr extrahieren, aber eine Upload-Adresse lässt sich bei Flickr beliebig oft neu generieren – was der Schüler auch tat.
Die Bildungsregel für Upload-Mailadressen
Dabei bemerkte er, dass die Adressen immer aus der Kombination von zwei Wörtern und einer dazwischengestellten Zahl zwischen 0 und 100 generiert wurden. Mit einem Python-Scripts erstellte Jazzy über Nacht über 20.000 dieser Upload-Adressen und stieß bei der Analyse auf Wörter, die sich auffällig häufig wiederholten.
Dabei kamen nur 935 unterschiedliche Wörter zur Erstellung der Mailadressenzum Einsatz. Insgesamt hätten diese sich mit den Ziffern zu läppischen 87,5 Millionen einzigartigen Mail-Adressen kombinieren lassen. Der Punkt ist aber: Bei ca. 50 Millionen Flickr-Accounts hätte sich so theoretisch bei jedem zweiten Versuch eine gültige Upload-Adresse finden lassen.
Flickr hat schon reagiert
Flickr hat die Schwachstelle nach dem Hinweis des Entdeckers schon geschlossen und eine „nette Belohnung“ gezahlt. An neu erzeugte Upload-Mailadressen des Bilderdienstes werden seitdem eine weitere Zufallszahl und ein weiteres Wort angehängt. Das vergrößert den Pool an möglichen Email-Adressen beträchtlich…
