Уязвимость в службах Google открыла путь для рассылки писем от лица компании

Уязвимость в службах Google открыла путь для рассылки писем от лица компании

Хакер из Армении обнаружил в Google Apps серьезную ошибку безопасности, эксплуатация которой позволяла извлекать электронные адреса пользователей и отсылать им чрезвычайно правдоподобные уведомления от имени административной группы.



Для демонстрации специалист создал особую страницу в сервисе Blogspot. Любому авторизованному владельцу учетной записи Google достаточно было лишь посетить эту страницу - на его адрес в Gmail незамедлительно поступало письмо, практически неотличимое по своим техническим параметрам от легитимных сообщений компании.


Ведущий технологический консультант Sophos Грэм Клалей, комментируя инцидент в корпоративном блоге, отметил, что поддельные письма, отправленные посредством эксплуатации этой уязвимости, отличаются от обычных фишинговых отправлений: в них не просто указан аутентичный адрес отправителя (noreply@google.com), но и имеются вполне легитимные заголовки. Даже если пользователь усомнится и решит проверить параметры сообщения, то он обнаружит, что письмо отправлено с сервера maestro.bounces.google.com, и у него имеется подпись google.com - иными словами, уведомление будет выглядеть весьма убедительно.


Технические особенности выявленного изъяна и прочую подробную информацию хакер публиковать не стал. В письме редакции Интернет-ресурса TechCrunch он заявил, что не хочет предавать такие сведения огласке. По его словам, он пытался сообщить о проблеме непосредственно в Google, но компания никак не отреагировала на его обращение; это несколько странно, поскольку поисковый гигант некоторое время назад объявил о готовности выплачивать вознаграждения за поиск уязвимостей в своих онлайн-сервисах.


Впрочем, теперь Google подтвердила наличие ошибки безопасности в интерфейсе Google Apps Script API и заявила, что в настоящее время она уже устранена.


"Уязвимость в Google Apps Script API, позволявшая автоматически отсылать письма авторизованным пользователям Gmail без их на то разрешения, в случае, если они посещали определенным образом сформированную веб-страницу, была оперативно исправлена", - говорится в официальном заявлении компании. - "Сайт, демонстрировавший данную уязвимость, был нами немедленно удален, а спустя непродолжительное время мы отключили и сам опасный функционал. В случае обнаружения новых потенциальных проблем безопасности просим сообщать об этом на почтовый адрес security@google.com".


Softpedia

Россиянам могут выставлять счета за зарубежный трафик даже без VPN

В России обсуждают отдельную тарификацию международного мобильного трафика. Идея, судя по документам Минцифры и комментариям отраслевых экспертов, связана с попытками ограничить использование VPN. Но есть нюанс: отличить VPN от обычного зарубежного трафика технически не так просто.

Эксперты, опрошенные «Фонтанкой», указывают на главную проблему: любой VPN — это международный трафик, но не любой международный трафик — это VPN.

Пользователь может просто открыть иностранный сайт, зайти в репозиторий Open Source, воспользоваться зарубежной библиотекой или даже обратиться к российскому ресурсу, а маршрут пакетов всё равно пройдёт через другие страны.

Например, трафик из Новосибирска к российскому сервису при определённых условиях может идти через Казахстан, Китай или Монголию. Маршрутизация зависит от множества факторов, и у пакетов данных нет понятного флажка гражданства.

Из-за этого отдельная плата за международный трафик может затронуть не только пользователей VPN. Под ударом рискуют оказаться жители приграничных регионов, разработчики, компании, использующие зарубежные сервисы, и обычные пользователи, у которых трафик неожиданно ушёл по внешнему маршруту.

Минцифры подтвердило, что механизм дополнительной тарификации международного трафика действительно находится в проработке. Пока речь идёт о мобильных сетях; про проводной интернет в ответе ведомства ничего не сказано. Конкретные параметры, включая лимиты и стоимость, ещё не определены.

Ранее обсуждался вариант с лимитом в 15 ГБ международного трафика в месяц. Всё, что выше, могло бы оплачиваться отдельно. Однако операторы попросили отсрочку: биллинговые системы не готовы быстро и точно учитывать такой трафик для миллионов абонентов.

В отрасли также не до конца понимают, что именно считать международным трафиком. Некоторые российские сервисы используют зарубежные IP-адреса или иностранные CDN, а часть пользователей направляет весь трафик через VPN без раздельного туннелирования. В таком случае формально зарубежным может стать почти весь интернет.

Остаётся открытым и вопрос, что делать при превышении лимита: снижать скорость, автоматически списывать деньги или отключать доступ. Без ясных правил такая схема может превратиться в неприятный сюрприз для абонентов.

Ранее Наталья Касперская объяснила, почему борьба с VPN только раззадорит разработчиков.

RSS: Новости на портале Anti-Malware.ru