Žodžiai skaičiuojami „Google“ dokumentuose
„Google“ programų ekosistema laikoma saugia, patikima ir patikrinta. Tačiau pora saugumo tyrėjų išreiškė keletą susirūpinimų dėl daugybės programų iš „G Suite Marketplace“ . Tyrėjai teigia, kad kelios programos turi prieigą prie „Gmail“ ir „Drive“ paskyrų. Nors tai suprantama, daugelis programų taip pat bendrauja su neatskleistomis išorinėmis tarnybomis. Tai gali būti rizikinga galimybė slaptiems duomenų keliams iš „Google“ paskyrų į nepatikrintas ir neatskleidžiamas vietas ar subjektus.
Naujausiuose tyrimuose, kuriuos atliko Irwinas Reyesas ir Michaelas Lackas iš dviejų šešių laboratorijų, buvo atlikta išsami leidimų, kurių prašė trečiųjų šalių „Google“ programos, nurodytos „G Suite Marketplace“, analizė. Duetas teigia atradęs, kad daugelio programų nepavyko tinkamai įdiegti bandomojoje „Google“ paskyroje, o beveik pusė paprašė leidimo bendrauti su išorinėmis tarnybomis, sukuriant tiltą tarp vartotojo jautrių Disko ir „Gmail“ duomenų ir išorinio pasaulio. Daugeliui programų duomenų ryšys buvo neaiškus, o priežastys nebuvo paminėtos atvirai.
Kai kurios „Google G Suite Marketplace“ programos turi abejotinų leidimų užklausų ir neaiškų ryšį su išorinėmis, neatskleidžiamomis paslaugomis?
Tyrėjai Reyesas ir Lackas teigė, kad naudodami automatinį scenarijų bandomojoje „Google“ paskyroje įdiegė visas 1 392 programas, išvardytas „G Suite Marketplace“. Jie pradėjo įrašyti kiekvienos programos prašomus leidimus. Iš 1392 jų išbandytų programų 405 nepavyko su daugybe klaidų. Iš likusių 987 programų, kurias buvo galima įdiegti, 889 programoms reikėjo prieigos prie vartotojo duomenų per „Google“ API. Nereikia nė pridurti, kad tai sukėlė leidimo užklausą, kurią paprastai suteikia dauguma vartotojų.
Pažymėtina, kad beveik pusė arba 481 „G Suite Marketplace“ programa paprašė leidimo bendrauti su išorinėmis tarnybomis. Tai iš esmės leido sukurti virtualų tiltą tarp vartotojo jautriojo Disko ir „Gmail“ duomenų bei paslaugų, kurios nebuvo „Google“ portfelyje. Iš šių 481 programų 21 proc. (103 programos) galėjo pasiekti ir sąveikauti su „Google“ disko failais, 17 proc. (81 programa) galėjo pasiekti ir sąveikauti su el. Pašto dėžutėmis, o 3 proc.
„G Suite Marketplace“ parengtas a #privatumas skandalas, tyrėjai įspėja „G Suite“ programas, turinčias prieigą prie Disko ir „Gmail“ duomenų, kurie randa ryšį su neatskleistomis išorinėmis tarnybomis. https://t.co/gIWnI3VVNx per @AlisterBrenton # saugumas #infosec pic.twitter.com/bkeGZYBfVv
- Alisteris Brentonas (@AlisterBrenton) 2020 m. Birželio 2 d
Svarbu pridurti, kad keli priedai turi teisėtų priežasčių prisijungti prie saugių išorinių paslaugų. Tačiau mokslininkai teigia atradę nemaloniai daug programų neatrodė aiškios priežasties užmegzti ryšį su išorinėmis paslaugomis.
Pažymėtina, kad vartotojai neturi supratimo, kokią išorinę paslaugą gali perduoti „G Suite“ programos. Be to, nėra informacijos apie bendravimo pobūdį ir tikslą. Vartotojai turi tik programų aprašymus ir privatumo politiką, kuriuos savanoriškai pateikia programų kūrėjai, norėdami suprasti „G Suite Marketplace“ programos ir išorinės paslaugos bendravimo priežastį, tikslą ir pobūdį.
„Google“ griežtai neįgyvendina „nepatvirtintoms“ programoms taikomų apribojimų?
Be bendravimo su išorinėmis tarnybomis, tyrėjai teigė, kad yra dar viena problema, susijusi su „G Suite Marketplace“ peržiūros procesu arba jo nebuvimu. Peržiūros procesas yra privalomas visoms programoms, pateiktoms rinkoje. Procesas tampa dar griežtesnis ir ilgesnis programoms, atliekančioms API skambučius, kuriuos „Google“ klasifikuoja kaip neskelbtinus arba ribotus.
„Sensitive API“ skambučių programų peržiūros procesas gali trukti nuo 3 iki 5 dienų. Tuo tarpu programos, kurios skambina „Ribotais“ API skambučiais arba sąveikauja su vartotojo „Gmail“ ar „Google“ disko duomenimis, gali trukti nuo 4 iki 8 savaičių.
Norėdami laikinai apeiti tokį ilgą peržiūros ir patvirtinimo procesą, „Google“ leidžia programų kūrėjams „G Suite“ prekyvietėje surašyti programas kaip „nepatvirtintas“. „Google“ tik užklijuoja įspėjamąją etiketę viso puslapio pranešimo forma, įspėjančia vartotojus apie galimą pavojingos programos įdiegimo pavojų, kuris dar neperžiūrėtas. Yra dar vienas apribojimas, kuriuo bandoma apriboti „nepatvirtintas“ „G Suite“ programas tik iki 100 įdiegimų.
Tyrėjai išanalizavo 1392 „G Suite“ trečiųjų šalių programas
-Jie rado 481 programėlę, jungiančią prie išorinių paslaugų
- 103 iš jų turėjo visišką „Google“ disko prieigą
- 81 turėjo visišką „Gmail“ prieigą
- 15 turėjo visišką prieigą prie „Google“ kalendoriaus pic.twitter.com/NJzbUShzPy- Catalinas Cimpanu (@campuscodi) 2020 m. Birželio 2 d
Tačiau tyrėjai tvirtina, kad laukdami, kol jie bus peržiūrėti, daugelis nepatikrintų programų įgijo daugiau nei 100 vartotojų. Tai primygtinai rodo, kad „Google“ tyčia švelnina griežtą „100 naujų vartotojų“ ribą.
Tokia praktika ar netinkamas politikos įgyvendinimas gali lengvai paskatinti į parduotuvę įkelti kenkėjiškas programas, kurių vienintelis tikslas yra rinkti duomenis iš „Google“ vartotojų. Dauguma „Google G“ paketų naudotojų yra iš verslo sektoriaus. Tai žymiai padidina socialinės inžinerijos įsilaužimų ir panašių išpuolių riziką.
Tyrėjai siūlo perkelti procesą arba ieškoti leidimo nuo diegimo procedūros iki to laiko, kai programoms pirmą kartą reikia specialaus leidimo. „Reyes“ ir „Lack“ pretenzijos, pereinant nuo leidimų įdiegti laiką prie leidimų vykdymo metu, žymiai pagerina vartotojų galimybes pastebėti įtartinas programas ir grįžti arba atsisakyti suteikti leidimą.
Žymos google
