インターネット上のファイルは全くリンクを張らなくても存在がバレるものですか

質問

レンタルサーバーに、ファイルなり、CGIなり置いたとします。
自分だけがアクセスする目的で誰にもURLを教えなかったとして、
それでも容易に他者はそのファイルの存在を知ってしまうものでしょうか？（万人にとって容易とはいえなくても、知識・ツールなど一定の準備ができている人にとっては容易というケースも考慮したいです）

認証は使えない場合で考えたいです。

.htaccessの設定などで、うまく知られないようにできますか？
それだけでは無理なのでしょうか？

例えば、
●限られたプロフェッショナルがもともとそのサーバーを標的にしていた場合ならバレる
●いつの間にか検索結果などに表示されている可能性がある
など、レベル的にもいろいろあると思います。
こういったことにお詳しい方がいらっしゃれば、
お教え下さい。

自分しかURLを知らない前提なので、オフラインで人づてに知れ渡ることは無いという前提です。
あと、レンタルサーバー自体の情報漏洩もないものとします。

回答No.3

rumi_ です☆（@rumi_） · ベストアンサー

> すると、ファイルを作って置いてあるだけであれば、基本的にしらみつぶし的に探さない限り、存在を知ることはないという認識でも大丈夫でしょうか。

Google など一般の検索エンジンは、リンクをたどってファイルやサイトの構造を検出するシステムですから、前記のような特殊な条件下を除けば原則的にはないと考えていいと思います。

> また、httpsであれば、この点では心配がなくなるということなのかと考えていますが、これは正しい認識でしょうか。

パケットそのものを暗号化すれば、よりセキュリティは高まる、ということはできるでしょう。
お使いのレンタルサーバーが SSL 対応か確認してみてください。

お礼

大変よくわかりました。
ありがとうございます。

おかげ様で方向性が見えてきました。
httpsを利用すれば、極度に恐れることもないのかなと考えています。

回答No.2

rumi_ です☆（@rumi_）

> 例えば、
> ●限られたプロフェッショナルがもともとそのサーバーを標的にしていた場合ならバレる

認証を突破してサーバ内に侵入されてしまった、というケースを除いて考えてみると、ファイル名/ディレクトリ名なり CGI のパラメータなりを総当り的に予想して見つけ出すことは可能かもしれませんね。
技術のある人なら手作業でなくプログラムを書いてやってしまうでしょう。

> ●いつの間にか検索結果などに表示されている可能性がある

特殊なケースとしてはサイトに Namazu とか msearch とかの前文検索システムを置いて、リンクを貼られていないファイルが検索されてしまった、というケースです。そういうのを設置する場合は見られて困るファイルなりディレクトリなりを検索対象から外す設定が必要ですね。

> htaccessの設定などで、うまく知られないようにできますか？
> それだけでは無理なのでしょうか？

他の回答者さんも書いているように、IP アドレスなり Referer なり User-Agent なりでアクセスを制限する方法はあります。
.htaccess を使った基本認証もありますが、パスワードを平文転送するのでセキュリティが磐石ではないことを知っておきたいものです。（下記サイト参考）

[Studying HTTP] HTTP Authorization
http://www.studyinghttp.net/auth

それと、サーバのログは普段からこまめにチェックしておきたいですね。

補足

お返事ありがとうございます！
詳しいご説明で、イメージがつかめてきました。

すると、ファイルを作って置いてあるだけであれば、基本的にしらみつぶし的に探さない限り、存在を知ることはないという認識でも大丈夫でしょうか。

今思いつく心配としては、レンタルサーバーのポートを流れるデータを盗聴していれば（これはできるこのなのか？という疑問もありますうが）、頻繁にアクセスされるファイルは、ファイル名とか内容がつつぬけなのかなということです。

また、httpsであれば、この点では心配がなくなるということなのかと考えていますが、これは正しい認識でしょうか。

httpsがこの点で大丈夫であれば、大事なファイルやセキュリティを考慮すべきCGIなどはhttps経由でのみアクセスするということを遵守すれば、安全性が高いと考えてよいのでしょうか。

回答No.1

Donotrely

自分がグローバル固定でアクセスし、そのIPアドレス以外ははねるように設定すれば、
とりあえず中は見られないんじゃないでしょうか？

お礼

ひとりで悩んでいるところへお返事を頂き、大変心強い思いを致しました。
貴方のお返事をきっかけに他の方からもアドバイスを頂き、
最終的に自分なりに納得しています。
どうもありがとうございました。

補足

お返事ありがとうございます！
今回考えてるケースでは、携帯端末なので、グローバル固定は無理だと思うんです。（その認識からまちがってますか？）
ブラウザではないあるアプリケーションを通じてhttpでやりとりしたいのです。
（今調べてみたら）このアプリからhttpsでもアクセスできました。(できないと思いこんでいました。）基本認証に対応する機能は無いようです。

WEBサイト内のファイルは、httpsで接続してきたときだけ見られるようにって、設定できるんでしたっけ？
あ、これは調べてみます。

頂いたお答えから察するところ、ファイルの存在自体は知られてしまうのは当然ということかと思いましたが、やはりそうなのでしょうか。

結局、今思いつく限りでは、通常のファイルはWEBサイトの配下の外において、CGIに認証機能も持たせ、httpsでアクセスするようにし、CGI経由でファイルをはき出させる感じが安全なのかなと思っています。