中国邮箱网讯 10月9日消息，为了保护使用者连线安全，建立连线时使用 HTTPS 是必然之选，但即使用了 HTTPS 也不是无忧无虑。最近发现即使用户透过 HTTPS 连线至 Microsoft 帐户页、Outlook.com 或 Onedrive.com 时，仍会泄漏用户的唯一标式符（unique identifier），其他人可从中获得姓名和个人头像。
用 CID 偷取用户名称和个人头像
虽然有使用 HTTPS，但唯一标式符，即 CID 仍然会外泄。原因是 CID 是以 DNS lookup 的一部份传送，DNS lookup 会寻找储存了个人资料的服务器地址，CID 也是加密连线初始化的一部份，所以，当用户透过电脑或移动设备连接服务时，CID 就可以追踪用户个人资料。
外国媒体 Ars Technica 做了一次实验，证实了这个方法。从与 Microsoft 帐户页、Outlook.com 或 Onedrive.com 连线截获的封包（packet）中，可以看到 DNS lookup 请求是以 cid-[用户的 CID ].users.storage.live.com 呈现。在 TSL 进行“交握”（handshake）交换资料时，CID 也会在 Server Name Indication（SNI）中显示。
CID 可以获得用户的个人头像；透过 OneDrive 也可以获得用户的展示名称。如果人们以 CID 读取于 Microsoft Live 服务的元数据（Metadata），也可以得到帐户的建立和最后登入日期，相同的元数据也可以泄露 Live Calendar 的资料。微软指他们已经知道这件事，并准备回应。
Microsoft sites expose visitors’ profile info in plain text
（本文由 Unwire Pro 授权转载）
RSS订阅
