Gmail’in 1,8 milyar kullanıcısına yeni bir güvenlik uyarısı verildi

Bir siber güvenlik mühendisi tarafından izlenir Chris PlummerDolandırıcılar, Gmail’i sahte ticari markalarının yasal olduğuna ikna etmenin bir yolunu buldu. Ve bunu yaparken, onay işareti sisteminin Gmail kullanıcılarına aşılaması gereken güveni kullanarak.

Plummer, “Gönderen, son kullanıcıların güveneceği, gmail’in onaylı onay damgasını taklit etmenin bir yolunu buldu” diye açıklıyor. “Bu mesaj Facebook hesabından İngiltere netblock’a, oradan da O365’e gitti. Bununla ilgili hiçbir şey yasal değil.”

Plummer, Google’ın keşfini başlangıçta “kasıtlı davranış” olarak reddettiğini ve bununla ilgili tweet’leri viral hale gelmeden önce şirketin hatayı kabul ettiğini bildirdi. Google, Plummer’a yaptığı açıklamada şunları yazdı:

“Daha yakından baktıktan sonra, bunun aslında SPF’deki genel bir zayıflık gibi görünmediğini fark ettik. Bu yüzden bunu yeniden açıyoruz ve uygun ekip neler olup bittiğine daha yakından bakıyor.”

Karışıklık için tekrar özür dileriz ve ilk yanıtımızın sinir bozucu olabileceğini anlıyoruz. Buna daha yakından bakmamız için bize baskı yaptığınız için çok teşekkür ederiz!

Değerlendirmemiz ve bu sorunun gidişatı konusunda sizi bilgilendirmeye devam edeceğiz.

Saygılarımızla, Google Güvenlik Ekibi”

tesisatçı Öne Çıkanlar Google, hatayı şu anda “devam eden” bir “P1” (yüksek öncelikli) düzeltmesi olarak listeledi.

Plummer’a yalnızca sorunu keşfettiği için değil, aynı zamanda Google’ın sorunu kabul etmesi için yaptığı çabalar için de büyük bir övgü var. Bununla birlikte, Google sorunu düzeltene kadar, Gmail’in onay işareti doğrulama sistemi bozuk kalır ve bilgisayar korsanları ve spam gönderenler, tam olarak mücadele etmesi gereken şeye sizi kandırmak için sistemi kullanır. Uyanık olmak.

06/05 Güncellemesi: Güvenlik araştırmacıları, Gmail’in onay işareti doğrulama sisteminin nasıl kandırıldığını ve diğer e-posta hizmetlerine nasıl uygulandığını anlamaya başlıyor. içinde Blog yazısıHata ayıklayıcı Jonathan Rudenberg, hack’i Gmail’de kopyalayabildiğini açıkladı ve şunları söyledi:

Gmail BIMI uygulaması sadece gerektirir SPF eşleştirmek DKIM imzası Herhangi bir alandan olabilir. Bu, BIMI özellikli bir alanın SPF kayıtlarında abone olunan veya yanlış yapılandırılan herhangi bir posta sunucusunun, Gmail’in tam BIMI işleme özelliğini kullanan bir sahtekarlık vektörü olabileceği anlamına gelir…

BIMI, çok karmaşık ve kırılgan bir e-posta paketinde tek bir yanlış yapılandırmaya dayalı süper güçlü kimlik avına olanak sağladığı için mevcut durumdan daha kötü.”

Rudenberg, BIMI uygulamalarının diğer büyük e-posta hizmetlerindeki sonuçlarını da yayınlayarak şunları söyledi:

• iCloud: DKIM’in şu adresten etki alanıyla eşleştiğini doğru şekilde doğrular:
• Yahoo: BIMI’yi yalnızca son derece saygın toplu iletilerle ele alır
• Fastmail: Kötü ama aynı zamanda Gravatar’ı da destekliyor ve her ikisi için de aynı işlemi kullanıyor, bu nedenle etki minimum düzeyde
• Apple Mail + Fastmail: tehlikeli muameleye açık

Evet, bu, Apple Mail ve Fastmail kullanıcılarının, Gmail ile aynı işaret sistemini çalıştırmasalar bile dikkatli olmaları gerektiği anlamına gelir. Güvenlik topluluğundan bu güvenlik açığına çok kritik bir yanıt geldi ve bunun olmasına nasıl izin verildiği ve Gmail’in doğrulama yönteminin ne kadar kötü uygulandığı hakkında sorular soruldu. Google’ın bir an önce düzeltmeye ihtiyacı var.

06/06 Güncellemesi: Google basın ekibi, Gmail doğrulama hack’i hakkında daha fazla ayrıntı vermek için benimle iletişime geçti:

“Bu sorun, kötü tarafların şu anda olduğundan daha fazla güvenmesine olanak tanıyan bir üçüncü taraf güvenlik açığından kaynaklanmaktadır. Kullanıcıları güvende tutmak için, gönderenlerin mesaj meta durumu marka göstergelerine (mavi) hak kazanmak için daha sağlam DKIM kimlik doğrulama standardını kullanmalarını şart koşuyoruz. onay işareti) ), bir Google sözcüsü açıkladı

Google ayrıca isteyen herkes için aşağıdaki bağlantıyı sağlamıştır. DKIM hakkında daha fazla bilgi. Ayrıca sözcü, düzeltmenin “hafta sonuna kadar tamamen uygulanacağını” doğruladı.

Bu sorunun hızlı bir şekilde tanımlanması ve çözülmesi şüphesiz iyi bir şeydir. Bununla birlikte, Google’ın kolayca kötüye kullanılabilecek bir üçüncü taraf hizmetinin üzerine bir doğrulama sistemi oluşturmanın suçunu kabul etmesi gerektiğini belirtmek gerekir. noktası birçok monitör Geçen hafta hack’i başarıyla kopyalayan Jonathan Rodenberg’in çalışmasına yanıt olarak.

Sorunu çözdüğü ve Google’ı bu sorunu tanımaya zorladığı için Chris Plummer’a, hack’i kopyaladığı için Rudenberg’e ve şimdi de hızlı yanıt verdiği için Google’a teşekkür ederiz. Tanım gereği, doğrulanmış verici sistemi su geçirmez olmalı veya aktif olarak tehlikeli hale gelmelidir.

Söylemeye gerek yok, Google artık bunu ikinci denemede doğru yapmak için muazzam bir baskı altında çünkü her bilgisayar korsanı ve dolandırıcı yeni çözümler arıyor olacak. Benim tavsiyem: hiçbir e-postaya körü körüne güvenmeyin, tetikte olun, sezginizi kullanın ve bağlantılara tıklamayın veya herhangi bir şüpheli mesajı yanıtlamayın.

___

Gordon’u takip et Facebook

Forbes hakkında daha fazlası

Forbes’tan daha fazlasıGoogle, Chrome’da bir hafta içinde ikinci Zero Day güvenlik açığını yamalarile Gordon Kelly