Google a confirmat că utilizatorilor Gmail au primit mesaje de securitate eronate
Actualizare mai jos 06/05. Această postare a fost publicată inițial pe 3 iunie
Securitatea Gmail a fost întotdeauna unul dintre cele mai mari puncte de vânzare, dar acum una dintre cele mai importante funcții de securitate noi este folosită în mod activ de hackeri pentru a înșela utilizatorii.
Noul sistem de verificare a expeditorului cu bifă albastră al Gmail — ar trebui să funcționeze
Introdus luna trecută, the Setarea bifă Gmail Evidențiați organizațiile și companiile verificate pentru utilizatori cu o pictogramă albastră de verificare. Ideea este de a ajuta utilizatorii să identifice ce e-mailuri sunt legitime și care sunt trimise de imitatori implicați în escrocherii. Din păcate, escrocii au păcălit sistemul.
Escrocii pirata noul sistem de verificare a expeditorilor Gmail
Inventat de inginerul de securitate cibernetică Chris Plummer, fraudatorii au găsit o modalitate de a păcăli Gmail să creadă că mărcile lor false sunt legitime. Gmail folosește sistemul de bifă pentru a insufla încredere utilizatorilor.
„Expeditorul a găsit o modalitate de a falsifica ștampila de autentificare a @gmail, în care utilizatorii finali vor avea încredere”, explică Plummer. „Mesajul a mers de la contul de Facebook, la UK NetBlock, la O365, la mine. Nimic din asta nu este formal. ”
Plummer raportează că Google a respins descoperirea sa drept „comportament intenționat”, tweet-ul său despre care a devenit viral, iar compania a recunoscut eroarea. Într-o declarație pentru Plummer, Google a scris:
„După ce ne-am uitat îndeaproape, am realizat că aceasta nu pare să fie o vulnerabilitate SPF comună. Așa că redeschidem asta, iar echipa corespunzătoare urmărește îndeaproape ce se întâmplă.
Din nou, ne cerem scuze pentru confuzie, înțelegem că răspunsul nostru inițial poate fi dezamăgitor și vă mulțumim foarte mult pentru că ne-ați împins să analizăm acest lucru!
Vă vom anunța evaluarea noastră și direcția pe care o ia această problemă.
Cu stimă, Echipa de securitate Google”
Plummer Repere Google a enumerat acum această defecțiune ca remediere „P1” (prioritară), care este în prezent „în desfășurare”.
Meritul enorm al lui Plummer nu se datorează doar invenției sale, ci și cât de departe a mers pentru ca Google să recunoască problema. Până când Google o rezolvă, sistemul de verificare cu bifă al Gmail este defect, iar hackerii și spammerii îl folosesc pentru a vă păcăli să faceți exact ceea ce luptați. Fii atent.
Actualizare 06/05: Cercetătorii în domeniul securității încep să înțeleagă cum este păcălit sistemul de verificare cu bifă din Gmail și cum se aplică altor servicii de e-mail. A BlogDepanatorul Jonathan Rutenberg a dezvăluit că a putut replica hack-ul în Gmail, explicând:
„Gmail Implementarea BIMI doar necesar SPF Pentru a se potrivi, Semnătura DKIM Poate fi din orice domeniu. Aceasta înseamnă că un server de e-mail partajat sau configurat greșit în înregistrările SPF ale unui domeniu BIMI activat poate fi un vector pentru trimiterea de mesaje falsificate cu tratamentul complet BIMI ✅ în Gmail…
BIM este mai rău decât starea actuală, deoarece permite phishing-ul super-putere bazat pe o arhitectură defectuoasă la cel mai complex și mai vulnerabil strat de e-mail.
Rutenberg a publicat rezultate pentru implementările BIMI în alte servicii majore de e-mail.
- iCloud: Verifică corect dacă DKIM se potrivește cu domeniul De la
- Yahoo: Conectează numai tratamentul BIMI expediat în vrac cu o reputație ridicată
- Fastmail: Vulnerabil, dar acceptă Gravatar și folosește același tratament pentru ambele, astfel încât vulnerabilitatea este minimă
- Apple Mail + Fastmail: Vulnerabil la tratamente periculoase
Da, asta înseamnă că și utilizatorii Apple Mail și Fastmail ar trebui să fie conștienți, deși nu au activat sistemul de bifă verificat ca Gmail. Vulnerabilitatea a primit un răspuns foarte critic din partea comunității de securitate, ridicând întrebări despre cum s-a întâmplat și cât de prost a fost implementat sistemul de verificare Gmail. Google are nevoie de o remediere în curând.
___
Urmează-l pe Gordon Facebook
Mai multe la Forbes
