Google прокомментировала скандал с просмотром почты Gmail пользователей

Google прокомментировала скандал с просмотром почты Gmail пользователей

Google прокомментировала скандал с просмотром почты Gmail пользователей

Google ответила на негативную реакцию, с которой пользователи встретили информацию о том, что их электронные письма в сервисе Gmail могут просматривать разработчики сторонних приложений. В своем блоге интернет-гигант подробно изложил принцип работы со сторонними разработчиками программного обеспечения.

Корпорация убеждает пользователей, что ее сотрудники тщательно проверяют сторонние приложения, чтобы убедиться, что они запрашивают только необходимые данные и правдоподобно себя позиционируют.

«Вы можете посетить страницу Security Checkup, чтобы посмотреть, какие разрешения вы предоставили сторонним приложениям. Там же можно отозвать эти разрешения», — пишет корпорация.

«У многих пользователей сложилось ложное представление о том, что Google просматривает их почту. Официально заявляем, что корпорация не читает Gmail-письма пользователей. Исключением являются случаи, когда сами пользователи просят расследовать утечки и предоставляют нам доступ», — заключила компания.

Все началось с опубликованного на этой неделе отчета The Wall Street Journal, в котором газета сообщила, что разработчики сторонних приложений просматривают электронную почту пользователей.

Знакомый с ситуацией источник заявил, что сотрудники компании Return Path прочитали около 8 000 электронных писем пользователей, что помогло обучить программное обеспечение компании.

Такими же методами грешила компания Edison Software, которая разрабатывает мобильное приложение, помогающее читать и организовывать электронную почту. Сотрудники Edison Software лично просмотрели электронные письма сотен пользователей для создания новой функции.

Оказывается, что подобный сбор данных для  некоторых компаний — стандартная практика. Инженеры eDataSource, по словам ее руководителя, также просматривали электронные письма при создании и улучшении программных алгоритмов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В ExpressVPN для Windows устранили уязвимость слива IP за считаные дни

ИБ-команда ExpressVPN опубликовала информацию об уязвимости, закрытой в Windows-клиенте версии 12. Возможность раскрытия IP-адреса пользователя возникает при установке RDP-соединения на порту 3389.

Уведомление о найденной уязвимости было подано 25 апреля в рамках программы bug bounty, запущенной для ExpressVPN. К 30 апреля вышла сборка 12.101.0.45 с исправлениями; фикс разошелся по всем каналам распределения, получил одобрение автора находки, и к концу июня тикет был официально закрыт.

В появлении проблемы был повинен отладочный код, по недосмотру оставшийся в промышленных сборках VPN-клиента для Windows с 12.97 по 12.101.0.2-beta. Из-за этого трафик на порту 3389/TCP (его также использует RDP) не попадал в VPN-туннель с предусмотренным шифрованием.

В итоге IP юзера ExpressVPN и факт RDP-подключения к конкретному серверу могли быть слиты интернет-провайдерам и другим обитателям сети. История посещения сайтов при этом не раскрывалась, компрометация шифрования трафика тоже была невозможна.

Эксплойт уязвимости возможен лишь в том случае, когда автор атаки о ней знает и удастся спровоцировать трафик на порту 3389 — к примеру, заставить намеченную жертву зайти на вредоносный сайт из-под VPN.

Данная угроза актуальна для организаций: RDP в основном используется в корпоративном окружении.

Полтора года назад в ExpressVPN была устранена другая уязвимость раскрытия информации. Реализация функции раздельного туннелирования привнесла баг, из-за которого на сторону сливались DNS-запросы пользователей и, как следствие, история посещения веб-ресурсов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru