Познавательная история об уязвимости Gmail от Дэвида Айри

[@Butylski]

ничего удивительного. в любой почте можно найти разного рода уязвимости

[@G0rnap5chtickn3R]

Вполне согласен, уязвимости есть вообще у всего, но этот пример — это как будто узнать, что дверь лексуса можно открыть с пинка так же, как дверь запорожца.

[@Butylski]

двери лексуса несанкционированно открывают чаще, чем двери запорожца ;) это ведь всего лишь железо, а почтовые сервисы - детища людей, всем свойственно ошибаться, даже программистам.

[@chaRRge]

А те же машины разве не являются детищами людей (технологов, дизайнеров, проектировщиков)? Я согласен, что их собирают не люди, но на начальных стадиях разработки ошибки ТОЖЕ возможны.

[@vlaskin]

В гугле тоже работают обычные люди (как это ни странно :)))) Которые тоже ошибаются..

[@nekt]

Или шифровать важную корреспонденцию. Правда не знаю, реально ли это делать через веб-интерфейс :)

[@pietrovich]

угу и просить чтобы вам все корреспонденты слали почту тоже шифрованную... нереал.

[@somebody]

1. Срочно полез проверять свои фильтры :)
2. Пользуйтесь IMAP.
3. Каким именно образом заделана брешь? Как вообще (вебмастеру) можно защититься от подобных атак?

[@G0rnap5chtickn3R]

Защита может быть разной: проверять, откуда пришел запрос, отказаться от сессий вообще, принимать какой-нибудь уникальный хэш, итд. Какой метод использовали в гугле — понятия не имею, к исходникам у меня доступа нет :) Просто было сказано, что залатали.

[@Virtual_GOD]

а чем поможет отказ от сессий? и где будет храниться уникальный ключ?

[@G0rnap5chtickn3R]

К примеру, вписывать в форму, отсылающую запрос, хидденами логин и хэш времени последней авторизации. Отказ от сессий и кукисов для особо секьюрных узлов — старое доброе (зашифрованное) sessionid GET/POST параметром :)

[@Virtual_GOD]

"К примеру, вписывать в форму, отсылающую запрос, хидденами логин и хэш времени последней авторизации"
получается, что эти параметры нужно будет таскать еще и во всех урлах.
"Отказ от сессий и кукисов для особо секьюрных узлов — старое доброе (зашифрованное) sessionid GET/POST параметром"
выходит, что от сессий все-таки не отказываемся :) просто страшный идентификатор будет таскаться в урлах, а не лежать в куках :)

[@G0rnap5chtickn3R]

получается, что эти параметры нужно будет таскать еще и во всех урлах.

Зачем их таскать? Они и так есть на каждой странице, просто для верификации вставлять их в конкретную форму.

выходит, что от сессий все-таки не отказываемся :) просто страшный идентификатор будет таскаться в урлах, а не лежать в куках :)

Отказываемся от сессии как от объекта, который в любых условиях позволяет зайти без повторной авторизации, как массив данных она вполне годится.

[@rengo]

Ага, в ЖЖ так сделано. По крайней мере в админ-консоли (http://www.livejournal.com/admin/console…)...

[@dm9]

Проверка referrer — со своего сайта, или нет.

[@Virtual_GOD]

да не. так не получится. реферрера изменить не проблема :)

[@dm9]

Не согласен. Указанный хак возможен только если нормальный пользователь сабмитит форму на сайт А с сайта Б (взломанного, или хакерского), и при том на сайе А работает живая сессия. Подчёркиваю, что пользователь это должен сделать нормальный, которого ломают. И у него нормальный браузер, который отдаёт referrer. А у себя на машине хакер может хоть все заголовки поменять — ему то не поможет хакнуть пользователя.

[@Virtual_GOD]

да нет. вы путаете, я могу сделать запрос к серверу gmail на стороне клиента, со всеми необходимыми хидерами.

[@dm9]

Поясните, пожалуйста. Мы ведь про веб? То есть никаких exe-фалов пользователь не запускал, только чистый веб. Тут не то что заголовки, но cross-site restrictions ещё победить надо для начала. Флеш, что ли, умеет заголовки как-то менять и посылать запрос на другой сервер?

[@dm9]

Нет, вряд ли. Я, конечно, с флешем мыло общался, но это совсем противоречит здравому смыслу...

[@Virtual_GOD]

да вот как раз флэшом и можно :)

[@CheFF]

Хм. Никогда не имет домена, но разве можно его просто так украсть? Т.е. домен это не такая штука, которую взял, стащил, положил в карман и требуешь за нее деньги. Он же находится у фирмы-регистратора.

Это как украсть счет в банке и сказать - он теперь мой. Если хочешь что бы он был твой, плати мне)

[@jartashi]

К сожалению, с доменами все намного хуже, чем со счетом в банке (заблокировал кредитку и все). Т.е. вернуть его в принципе наверно можно, но весьма небыстро.

[@Lain_13]

В FireFox для этого и многого другого есть расширение CustomizeGoogle.

[@olegkrasnov]

У меня всю жизнь жмыл по https работает.

[@Hitryi_Pryanik]

Мораль проста: юзайте почтовый клиент и IMAP.

По поводу потери доменов нужно просто договоры заключать с регистратором. Тогда без подписанной мною доверенности на передачу домена никто его не уведёт.

[@absolvo]

Второе слово статьи - исправьте опечатку )

[@G0rnap5chtickn3R]

done )

[@diamant]

Спасибо!
Хотя у меня гмайл на собственном домене и post на gmail ни к чему бы не привёл (кроме случая адресной атаки), полезно знать о такой возможности взлома.
Постараюсь открывать важные сайты в отдельном браузере (не зря ж у меня их четыре штуки установлено).

[@pudovkin]

параноик;)
с доменом аналогично.

[@kostya_g]

А будь это МС, тут бы 99% комментов было бы негативных...

[@almaz]

да ;) или после косяка майл.ру рекомендовали использовать косяки гэмайл ;)