I sistemi di abbreviazione degli URL (URL shortening) sono comodi e popolari, tanto che molti servizi ne fanno uso: grazie a loro, per esempio, un chilometrico indirizzo di Google Maps può essere riassunto in pochi caratteri.

Il guaio è che tutto ciò non è un bene per la sicurezza. Ad affermarlo sono due ricercatori della Cornell Tech, i quali hanno condotto studi per 18 mesi su alcuni tra i sistemi di URL shortening più usati: quello offerto da Microsoft per OneDrive e Bing Maps (che si appoggiano a bit.ly) e quello offerto da Google Maps.

Nei mesi di studio, i ricercatori hanno analizzato milioni di link, scoprendo che le loro brevità e prevedibilità sono un punto debole per la sicurezza dei dati a cui puntano, poiché è facile analizzarli con un attacco brute force.

In particolare, un'analisi di 100 milioni di indirizzi bit.ly ha permesso di scoprire quanto sia semplice individuare i file presenti nel cloud e accedervi: una semplice scansione degli indirizzi ha permesso di raggiungere oltre 1,3 milioni di file conservati su OneDrive e Google Drive e di individuare quelli accessibili tramite account "aperti" (il 7% di quelli individuati), ossia posti in directory per le quali chiunque ha i diritti di lettura e scrittura.

È facile capire come una situazione del genere possa rappresentare un pericolo per la sicurezza: chiunque potrebbe caricarvi contenuti pericolosi, che verrebbero automaticamente sincronizzati con gli altri dispositivi dell'utente.

Anche gli indirizzi abbreviati di Google Maps hanno i loro problemi. Nel campione di URL accorciati da goo.gl, i ricercatori hanno trovato oltre 23 milioni di URL Google Maps, il 10% dei quali permetteva di conoscere le indicazioni per spostarsi da un luogo all'altro e, in base a queste informazioni, risalire a specifici account Google. Dal punto di vista della privacy c'è di che preoccuparsi, poiché in questo modo è stato possibile ottenere l'indirizzo di casa degli utenti.

I dettagli delle scoperte sono descritti non solo nella ricerca pubblicata ma anche nel blog Freedom to Tinker.

Intanto, Microsoft non offre più il servizio di URL shortening legato a OneDrive, anche se nega che questa decisione sia legata a preoccupazioni circa la sicurezza, e Google ha aumentato la lunghezza del token degli indirizzi Google Maps portandola da 11 a 12 caratteri.