یک نام پوشه چقدر می‌تواند خطرناک باشد؟
چهار دسته خطری که هر پلتفرم فایل باید جلویش را بگیرد، به زبان ساده، و کاری که ابردرایو در نسخه‌ی 2026.10.9 برای هر کدام کرده است.
نام یک پوشه به نظر بی‌خطرترین چیز دنیاست. اما در یک پلتفرم فایل، همین نام به مسیری روی دیسک سرور تبدیل می‌شود و گاهی به ابزارهایی که در پس‌زمینه فایل‌ها را فشرده یا تبدیل می‌کنند هم سپرده می‌شود. اگر نرم‌افزار به این نام بیش از اندازه اعتماد کند، یک رشته‌ی کوچک از نویسه‌ها می‌تواند کاربر را از فضای خودش بیرون ببرد.
بیشتر خطرهای یک پلتفرم فایل از همین جنس‌اند: جایی که نرم‌افزار چیزی را که از بیرون می‌آید، باور می‌کند. این یادداشت چهار دسته از این خطرها را به زبان ساده توضیح می‌دهد و می‌گوید ابردرایو در نسخه‌ی 2026.10.9 (سبزپوشان) با هر کدام چه می‌کند.
این تغییرها حاصل بازبینی داخلی خود ماست. همه‌ی سرویس‌های ابردرایو بازبینی شدند، هر یافته پیش از رفع روی یک سرور آزمایشی زنده بررسی شد و رفع‌ها در همین نسخه آمده‌اند.
۱. فایل‌ها بیرون از جای خودشان نمی‌روند
پیمایش مسیر یعنی کسی با نامی ساختگی، مثلاً نامی که با «..» (یعنی «یک پوشه بالاتر») از پوشه‌ی خودش بالا برود، نرم‌افزار را وادار کند فایلی را بیرون از جای مجازش بخواند یا بنویسد. راه دیگرش پیوند سیستمی است: میان‌بُری روی دیسک که ظاهرش یک پوشه‌ی معمولی است ولی به جای دیگری اشاره می‌کند.
برای یک پلتفرم فایل این خطر جدی است، چون فایل‌های چند کاربر روی یک سرور کنار هم‌اند. مرز میان فضای شما و فضای همکارتان فقط یک قاعده در نرم‌افزار است.
ابردرایو حالا هر نام پوشه‌ای را که بخواهد با «..» از درایو شما بیرون برود، رد می‌کند؛ نامی که فقط دو نقطه در خودش دارد، مشکلی ندارد. مرحله‌ای هم که پوشه‌های رمزگذاری‌شده را قفل و باز می‌کند، پیوندهای سیستمی را نمی‌پذیرد. دسته‌ی دیگری از همین خطر به ابزارهای پس‌زمینه برمی‌گردد: وقتی نام یک پوشه به ابزاری مثل ابزار کپی پوشه یا ساخت پیش‌نمایش داده می‌شود، نباید بتواند به‌جای «نام» مثل «دستور» خوانده شود. این مسیر هم بسته شده است.
۲. جلسه‌ی کاری و رمز شما مال شماست
وقتی وارد می‌شوید، مرورگرتان یک توکن ورود می‌گیرد: کارتی دیجیتال که به سرورها می‌گوید «این درخواست از طرف همین کاربر است». هر کس این کارت را داشته باشد، تا وقتی معتبر است، جای شما کار می‌کند.
پس اولین قاعده این است که توکن فقط به جایی برود که باید برود. در ابردرایو، توکن ورود فقط برای سرورهای خود ابردرایو فرستاده می‌شود و یک پیوند دست‌کاری‌شده نمی‌تواند آن را به نشانی دیگری بکشاند.
قاعده‌ی دوم درباره‌ی پایان جلسه‌ی کاری (session) است. دو رفتار حالا روشن‌اند:
خروج از یک دستگاه، فقط همان دستگاه را بیرون می‌برد. اگر روی رایانه‌ی دفتر خارج شوید، گوشی‌تان وارد می‌ماند. این همان چیزی است که از دکمه‌ی خروج انتظار دارید.
تغییر یا بازیابی رمز، دستگاه‌های دیگر را هم بیرون می‌برد، اما نه در همان لحظه. معمولاً کسی رمزش را عوض می‌کند که نگران است کس دیگری آن را دانسته باشد. از آن لحظه، هر دستگاه دیگری که با رمز قدیمی وارد شده بود دیگر نمی‌تواند ورودش را تمدید کند و وقتی ورود فعلی‌اش تمام شود، حداکثر ظرف سه روز، بیرون می‌رود.
کدهای پیامکی هم قاعده‌ی خودشان را دارند. یک کد چندرقمی را با حدس زدن پشت سر هم می‌شود پیدا کرد، اگر سرور تعداد حدس‌ها را نشمارد. حالا تعداد حدس برای هر کد محدود است، حتی وقتی حدس‌ها هم‌زمان و یک‌جا برسند. تغییر شماره‌ی تلفن حساب هم رمز عبور را می‌خواهد. دلیلش ساده است: شماره‌ی تلفن راه ورود و بازیابی حساب است و کسی که برای چند دقیقه به مرورگر باز شما دسترسی پیدا کرده، نباید بتواند آن را به شماره‌ی خودش عوض کند.
۳. سرور فریب نمی‌خورد که جای دیگری را صدا بزند
سرورها هم با هم حرف می‌زنند. وقتی کاری در پس‌زمینه تمام می‌شود، یک سرویس به سرویس دیگر خبر می‌دهد؛ به این خبر وب‌هوک می‌گویند. وقتی فایلی را از یک پیوند یا یک سرویس ابری وارد می‌کنید، این سرور است که می‌رود و فایل را می‌آورد.
خطر اینجاست: جعل درخواست از سمت سرور (SSRF) یعنی کسی سرور را وادار کند به‌جای او نشانی‌ای را صدا بزند که خودش به آن دسترسی ندارد، مثلاً سرویسی که فقط داخل شبکه‌ی سازمان در دسترس است. سرور داخل شبکه است و به همه‌جا راه دارد؛ اگر هر نشانی‌ای را که به او داده شود صدا بزند، به یک در پشتی تبدیل می‌شود.
ابردرایو حالا سه کار می‌کند:
وب‌هوک‌های میان سرورها فقط به میزبان‌های تأییدشده فرستاده می‌شوند. خبرهایی که سرویس‌های ابردرایو برای هم می‌فرستند حالا امضا دارند و دروازه‌ی ورودی عمومی راه رسیدن آن‌ها از بیرون را می‌بندد.
وارد کردن فایل از یک پیوند یا سرویس ابری، پیش از هر دانلودی یک کاربر واردشده و معتبر لازم دارد. سرور برای درخواستی بی‌صاحب جایی نمی‌رود.
نقطه‌های ارتباطی داخلی سرویس‌ها، که فقط برای گفت‌وگوی خود سرویس‌ها با هم ساخته شده‌اند، در دروازه‌ی ورودی بسته‌اند و از بیرون در دسترس نیستند. پنل‌های مدیریتی سرور هم پشت رمز عبورند.
۴. پیوندها و پوشه‌های قفل‌شده
دو جا هست که انتظار کاربر روشن است و نرم‌افزار باید دقیقاً همان کار را بکند.
اول، پیوندهای اشتراکی یک حساب بسته‌شده. وقتی کارمندی می‌رود و مدیر حسابش را غیرفعال یا حذف می‌کند، پیوندهایی که آن حساب ساخته بود ممکن است هنوز در ایمیل‌ها و گفت‌وگوهای بیرون از سازمان باشند. حالا با غیرفعال یا حذف شدن حساب، همه‌ی پیوندهای اشتراکی آن یک‌جا خاموش می‌شوند. لازم نیست کسی تک‌تک آن‌ها را پیدا کند.
دوم، پوشه‌های رمزگذاری‌شده. پوشه‌ای که با رمز قفل شده، تا وقتی قفل است نباید چیزی از خودش لو بدهد. نه فقط محتوای فایل‌ها: پیش‌نمایش‌ها هم گاهی به‌اندازه‌ی خود فایل حرف می‌زنند. یک تصویر بندانگشتی از صفحه‌ی اول یک قرارداد، کم چیزی نیست. حالا پوشه‌ی رمزگذاری‌شده تا باز نشود، محتوا و پیش‌نمایش‌هایش را کامل پنهان می‌کند.
اگر هر پلتفرم فایلی را ارزیابی می‌کنید
این چهار دسته مختص ابردرایو نیستند. اگر پلتفرم فایل دیگری را برای سازمانتان بررسی می‌کنید، این پرسش‌ها را بپرسید:
اگر نام یک فایل یا پوشه عجیب باشد، نرم‌افزار آن را کجا رد می‌کند؟
خروج از یک دستگاه چه چیزی را پایان می‌دهد، و تغییر رمز چه چیزی را؟
سرور به چه نشانی‌هایی اجازه دارد درخواست بفرستد؟
با رفتن یک کارمند، پیوندهایی که ساخته بود چه می‌شوند؟
جواب خوب به این پرسش‌ها معمولاً کوتاه است. جواب مبهم، خودش یک جواب است.
یادداشت نسخه‌ی 2026.10.9 در راهنمای ابردرایو آمده است.