Don & his commentators defaced Studivz again: die Äonen dauernde Rumrechnerei um die verschlüsselten IDs kann man sich nun schenken, dank eines weiteren Programmierproblems: die intern offensichlich bislang verwendete Variable “id” für den numerischen Index war anstelle der Variable “ids” über die URL adressierbar. Damit waren dann Zugriffe möglich wie …
http://www.studivz.net/profile.php?id=4 (Dennis Bemman, der Coder)
http://www.studivz.net/profile.php?id=5 (Ehssan Dariani, der Pusher)
http://www.studivz.net/profile.php?id=6 (Lukasz Gadowski, der Business Angel)
… und obwohl »es praktisch unmöglich ist, bei StudiVZ an ein nicht-öffentliches Bild zu kommen«, funktionierten alternativ …
http://www.studivz.net/showpeoplealbums.php?ids=w8V
http://www.studivz.net/showpeoplealbums.php?id=4
… womit sich der Aufwand auf max. 1.000.000 Aufrufe relativiert. Zumindest theooretisch.
Gut, kaum war es öffentlich, hat man in Berlin am lebenden Patienten operiert und diese Möglichkeit unterbunden. Pfffew, noch mal gutgega… Halt, was ist das?
Kommentar von michi, 28.11.2006, 16:09
Projekt: Berechnung von verschluesselten IDs zurueck zu numerischen IDs
— REIN ZUR ANSCHAUUNG —
Aaaalso, fangen wir mal mit einem Zitat aus dem allzu vertrauenswuerdigen Blog an:
“Die Suche nach einem beliebigen Code, wie beispielsweise Ev4M21/Z3uP7KA-5819,
der Zahlen und Buchstaben enthält, viele Millionen Jahre benötigen. Die
Kombination des von uns verwendeten Codes ist bedeutend komplexer als die
Kombination aus PIN und TAN beim Online Banking”
Ehrlich? Nein, denn dann sollten wir schleunigst zum Protest gegen die Banken aufrufen!
[…]
Als naechstes stellte ich durch die Betrachtung einer groesseren Menge von IDs fest, dass es nur __32__ verschiedene Moeglichkeiten je Zeichen gibt: qVgT8z3L0Bnc2Rw7X19khS4Y56MjDpfx – nicht mehr und nicht weniger. Der Zeichenraum ist somit _MASSIV_ kleiner als behauptet, da nicht a-z A-Z 0-9 (62 Moeglichkeiten) verwendet werden. Somit sinken auch
die “viele Millionen [benoetigten] Jahre” um die IDs ggf. durchzutesten. Im Vergleich:
5 Zeichen mit je 62 Moeglichkeiten (62^5): 916.132.832 Variationen (optimum)
5 Zeichen mit je 32 Moeglichkeiten (32^5): 33.554.432 Variationen (VZ)
[…] Aber was nun? Toll Zahl, bringt insoweit nichts – aber wir wollen ja auf die
361889 kommen. Also teilen wir doch einfach mal!
102417461 / 361889 = 283.007941662
[…]
Zuerst wandelt man die ids wie oben beschrieben in eine Dezimalzahl, teilt anschliessend durch die ermittelte magische StudiVZ-Zahl 283 – und schneidet nur noch die Nachkommastellen ab.
Tada, schon ist das System, das “komplexer als die Kombination aus PIN und TAN beim Online Banking”… hmm.. als blankes Zahlenspiel enttarnt.
Bei den Bildern wird uebrigens auf gleiche Weise gezaehlt, in den Alben ebenfalls. Versuchts mal selbst mit Eurer ID oder Alben/Bildern – es wird stimmen.
Ich fass mir echt an meinem Kopf wenn ich solch ein PR-Humbuck vom VZ lesen muss…..
Mit bestem Gruss aus Regensburg,
Michi
P.S.: es beruht _komplett_ auf Beobachtungen, ist also fuer jedermann nachvollziehbar.
Ich hab’s nicht nachvollzogen (PHP-Beispielcode existiert) — aber mir zumindest scheint die Aussage »bedeutend komplexer als die Kombination aus PIN und TAN beim Online Banking« nur noch bedingt haltbar.
Wie schrieb es doch jemand an der Blogbar? »Die Welt ist gut. Alles ist schön! Will jemand gruscheln?«