KiszivĂĄroghatott volna a vilĂĄg Ăśsszes Gmail-cĂ­me

EgĂŠszen mostanĂĄig bĂĄrki megszerezhette a vilĂĄg Ăśsszes Gmail-fiĂłkjĂĄnak cĂ­mĂŠt: egy izraeli biztonsĂĄgi kutatĂł szerint az egĂŠszhez nem kellett mĂĄs, mint egy weboldal cĂ­mĂŠnek okos mĂłdosĂ­tĂĄsa ĂŠs rengeteg tĂźrelem.

Oren Hafif olyan hibĂĄt talĂĄlt (ĂŠs segĂ­tett befoltozni) a Google rendszerĂŠben, amivel tĂśbb milliĂł, ha nem az Ăśsszes gmailes cĂ­mhez lehetett hozzĂĄjutni mindĂśssze pĂĄr nap alatt. A trĂźkkel nem fĂŠrhetett hozzĂĄ jelszavakhoz vagy mĂĄs ĂŠrzĂŠkeny adatokhoz, de mĂĄr a lista is elĂŠg mondjuk spammelĂŠshez vagy adathalĂĄszathoz. A bug tĂśbb ĂŠve lĂŠtezhetett.

A hibához a kutató a Gmail egyik kevésbé ismert szolgáltatását használta ki, amellyel hozzáférést adhatunk más felhasználóknak saját fiókunkhoz. Halif rájött, hogy egyszerűen át lehet írni az URL-jét azoknak az oldalaknak, amik akkor jelennek meg, ha valaki elutasította a hozzáférést fiókjához. Az oldalon megjelent emailcíme is, az URL átírásával lekérdezett oldalakon pedig mások címeit találta. A folyamatot automatizálta, így két óra alatt több mint 37 ezer emailcímhez jutott hozzá. Egy idő után a Google robotok elleni védelme letiltotta a kutatót, de könnyedén kijátszotta a tiltást is.

Trustwave tesztelőjeként dolgozó szakértő szerint a lekérdezés a végtelenségig folytatható, így elméletileg az összes fiókhoz hozzá lehet jutni. Ráadásul nemcsak a gmail.com végződésű emailcímekhez, hanem minden vállalkozás saját doménes, Gmail-fiókot használó címeihez is, köztük a google.com-osokhoz is.

A Google először nem fizetett a kutatónak a szokásos, jó indulatú hekkereknek járó díjazás szerint, aztán meggondolták magukat, és 500 dollárral jutalmazták a biztonsági rés felfedezését. A Google szóvivője azóta bejelentette, hogy befoltozták a rést.

index