Blogue a Théodule !: Les réductions d’URLs et la sécurité

vendredi 14 octobre 2016

Les réductions d’URLs et la sécurité

Pendant que ѠOOT, vous prévient qu’il faut faire attention à ce que vous voyiez sur vos navigateur WEB : Ce que vous voyez, n’est pas forcément, ce que vous croyez
Voici un article autour des réducteurs d’URLs et les problèmes de sécurité qui peuvent se poser.
Les services de réducteurs d’URLs (ou URL Shortener / TinyURL en anglais) sont des services WEB qui permettent de créer des adresses WEB courtes pointant vers d’autres adresses.
Ces services se sont multipliés après que des les réseaux sociaux comme Twitter qui limitent le nombre de caractères ont vu le jour.

Table des matières [masquer]

Les réducteurs d’URLs

Pour bien comprendre ce que ce sont les réducteurs d’URLs, voici un exemple : http://bit.ly/2dIGZiF
Il s’agit d’un lien court commençant toujours par le même domaine lié aux services de réductions d’URLs utilisés qui va pointer vers un autre lien WEB.
Dans l’exemple ci-dessous, vous allez être redirigé vers http://www.malekal.com
En clair, le service de réductions d’URLs génèrent une clé unique qui va pointer vers l’adresse WEB souhaitée.
L’intérêt recherché et d’éviter d’avoir des adresses WEB à rallonge, cela peut permettre de rendre le texte plus lisible, bien qu’on peut utiliser des liens hypertexte.
Sur certains réseaux sociaux, cela peut aussi permettre de gagner en nombre de caractères.
Voici quelqu’uns des services de réductions d’URLs les plus connus :

bit.ly
goo.gl (de Google)
t.co (de Twitter)
tinyurl.com
ow.ly
lc.cx

En outre, ces services de réductions d’URLs offrent des possibilités de suivi utilisateurs (ou tracking utilisateur).
Ces statistiques peuvent être publiques, c’est notamment le cas de Google Shorter (http://goo.gl/XXXX => http://goo.gl/XXXX.info).

Enfin certains services peuvent afficher un encart publicitaire avant de rediriger le visiteur vers le contenu souhaité.
Voici un liste :

CashFly.com
CashFly
Bc.vc
AdFa.st
Adfoc.us
Ity.im
ReduceLnk.com
Bee4.biz
LinkBucks.com

Etant donné que ces services permettent de gagner de l’argent avec les publicités, ces derniers sont fortement utilisés sur des sites illégaux (Téléchargements illégaux, cracks etc).
On trouve toute forme d’utilisation malveillant pour obtenir du clic… comme le spam sur les forums, des adwares etc.

Les réducteurs d’URLs ne servent pas à masquer une adresse WEB au bout qui se veut privée. Partez du principe que l’adresse est publique et peut-être retrouvée par des scans ou via les statistiques publics.

et la sécurité ?

Comme évoqué dans le paragraphe précédent, les réducteurs d’URLs ne servent pas à masquer des ULs.
Seulement, certains service, comme de stockage en ligne (Cloud) peuvent en utiliser.
C’est notamment le cas d’Hubic d’OVH qui publie les documents publiquement.
De ce fait, il est probablement possible de scanner des URLs pour découvrir des URLs réduites actives et lire du contenu probablement privé mis en ligne publiquement.

Le second point problématique posent ces réductions d’URLs est relativement évident.
Ils masquent la destination finale. On ne sait pas sur quoi on va tomber avant d’avoir cliqué dessus.
Heureusement, il existe des extensions pour les navigateurs WEB qui permettent de révéler le lien WEB final.
Ainsi vous pouvez savoir vers quel lien, vous serez amener si vous cliquez sur l’URL réduite.
Vérifier bien le domaine, cela peut mettre à la puce à l’oreille, si le lien est malicieux ou non.
En cas de doute, abstenez-vous.

Pour Google Chrome, vous pouvez installer l’extension LinkPeelr
Pour Mozilla Firefox, vous avez l’extension Simple URL Extender

LinkPeelr révèle le lien final simplement en passant la souris dessus.

linkpeelr_reveler_contenu_reduction_url_2

Pour Simple URL Extender, un clic droit sur le lien est nécessaire afin de révéler le lien WEB.

Pour les réducteurs d’URLs, du type adf.ly qui charge une publicité avant de donner la main pour aller sur le contenu souhaité.
Passez simplement la souris sur le bouton afin de vérifier le lien WEB.