Недостаток в Gmail мог позволить заблокировать учетные записи

Недостаток в Gmail мог позволить заблокировать учетные записи

Команда исследователей обнаружила серьезную уязвимость в Gmail. Злоумышленник, отправив жертве специально созданное сообщение, может закрыть ей доступ к собственному адресу электронной почты.

Эксперты использовали текст Zalgo (тип текста, состоящий из символов и метасимволов — букв, цифр и других символов), содержащий большое количество метасимволов (более 1 000 000), что привело к краху браузера на несколько минут.

После этого эксперты решили провести тот же эксперимент с Gmail, ожидая такого же отказа браузера. Однако результаты оказались более впечатляющими — специально созданной электронное письмо вызвало сбой самого Gmail.

Письмо было доставлено адресату, однако открыть его не удалось — через несколько минут Gmail отключится, показывая сообщение «Error 500». Исследователям удалось найти техническую уловку для обхода блокировки и активирования учетной записи, о чем они сообщили команде Google.

Через несколько недель Google сообщила, что начала работу над этим вопрос.

«Поняв, что благодаря созданному мной письму почтовая система Google перестала работать, я начал беспокоиться о возможных последствиях, которые могла вызвать данная уязвимость. Например, злоумышленник может заблокировать учетные записи», — пояснил Роберто Бинди, так называемый «белый хакер».

«Именно по этой причине мы решили опубликовать информацию об уязвимости уже после того, как Google исправила данный недостаток. Наш выбор был основан на этике, и это отражает кодекс нашей компании», — добавляет господин Бинди.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Трой Хант открыл исходный код Have I Been Pwned

Семь лет назад знаменитый эксперт Трой Хант создал крайне полезный сервис Have I Been Pwned, основная задача которого — предупреждать пользователей о скомпрометированных логинах и паролях. Теперь Хант решил открыть исходный код Have I Been Pwned, что позволит усовершенствовать и дополнить сервис новыми возможностями.

Конечно, не все менеджеры паролей используют базу Троя Ханта, однако множество задействуют API «k-Anonymity», который изначально создавался специально под Have I Been Pwned.

Здесь основная задача разработчиков — донести до пользователей, что их учётные данные утекли, однако сделать это так, чтобы киберпреступники не поняли, какие именно пароли были скомпрометированы. k-Anonymity использует математические модели для сокрытия этой информации от хакеров.

В прошлом году Трой Хант признался, что уже не хочет тащить сервис в одиночку. Создатель Have I Been Pwned мечтает, чтобы его детище получило развитие за счёт сообщества таких же экспертов-энтузиастов.

Сначала специалист пытался продать Have I Been Pwned другой компании, но в итоге сделка не состоялась. Поэтому Хант решил просто открыть исходный код сервиса.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru