Я программист / айтишник в небольшой переводческой компании. Я только что разослал нашим переводчикам по всему миру электронные письма с уникальными URL-адресами, по которым они могли зайти на наш сайт и обновить свой пароль. например: http://mysite.com/update/080F9326-491D-11E0-B806-D028DFD72085
Уникальный URL-адрес дает любому, кто его перехватит, полный доступ; поэтому я зашифровал все электронные письма с помощью PGP (в нашей базе данных есть открытый ключ для каждого переводчика).
Вот что странно:
Ссылки были открыты слишком быстро, чтобы попасть в предполагаемых получателей; Я точно знаю, что мой друг-переводчик из Ливана не ПОЛУЧИЛ электронное письмо, когда его ссылка была открыта.
Кто-нибудь видел что-нибудь подобное?
Вот что я бы сделал и проверил:
(все это зависит от того, насколько вы параноик и насколько на самом деле конфиденциальны данные, переведенные для следующей ueber-web-facebook-flash-игры, не так конфиденциальны, как, скажем, переводы для юридических лиц, которые планируют международный налет на наркотики и необходимость распространения информации)
(извините, но отправка незащищенного URL-адреса с помощью GPG примерно такая же, как отправка защищенного URL-адреса в виде открытого текста - скриптовые детишки найдут этот материал - также защита на стороне сервера, по моему опыту, более ценна для бизнеса, так как вы иметь больше контроля)
У меня был друг, который очень гордился тем, что постоянно использовал PGP для всех своих почтовых преобразований. До тех пор, пока он не узнал, что случайно экспортировал свой закрытый ключ и все время отправлял его вместо открытого ключа - смешно в то время, но никогда не знаешь, что тебя поражает (теперь это был не я, мне далеко лень шифровать свои письма с помощью PGP и объяснять это клиентам, я обычно использую какой-нибудь зашифрованный ZIP-файл или что-то еще, что могут использовать люди без технических знаний без объяснения причин)
Установите одноразовые пароли для своих переводчиков. Отправьте им новинки по обычной почте.
Кроме того, я предполагаю, что у вас есть письменное согласие на то, чтобы не разглашать материалы, и вы абсолютно уверены, что это не случайно кто-то с каким-то техническим образованием написал скрипт для получения зашифрованных писем и автоматически выполняет некоторые другие действия.
Также (опять же) любая возможность того, что у кого-либо из получателей есть субподрядчики, которые выполняют фактическую работу, и почта пересылается (возможно, с ключом, необходимым для ее расшифровки)
И последнее, но не менее важное: есть такая вещь, как мобильный доступ. Вы звонили всем, чтобы убедиться, что это не действительный доступ откуда-то, чего вы не ожидали?