ستساعدك المقالة التالية: جوجل تقوم بسد الثغرة الأمنية لـ GMail
جوجل تقوم بسد الثغرة الأمنية لـ GMail
قامت شركة Google بإصلاح ثغرة أمنية في خدمة Google GMail، وهي خدمة بريد الويب ذات الدعوة المجانية بسعة 1 جيجابايت فقط. سمح الخلل الأمني في Google Gmail للمتسللين بالقدرة على تسجيل الدخول إلى حساب GMail الخاص بالمستخدم مع الحاجة فقط إلى معرفة اسم المستخدم الخاص به. من الواضح أن أحد المتسللين يمكنه استخدام رابط XSS مشفر سداسي عشري لسرقة ملف تعريف الارتباط الذي يستخدمه عضو GMail لحفظ اسم المستخدم وكلمة المرور الخاصة به على جهاز الكمبيوتر الخاص به. يفيد السجل أن أحد المتسللين “قد يستخدمه لاحقًا لتعريف نفسه لـ Gmail باعتباره المالك الأصلي لحساب البريد الإلكتروني بغض النظر عما إذا تم تغيير كلمة المرور لاحقًا أم لا.”
لا توجد حاليًا أي حالات لاستغلال الثغرة الأمنية من قبل أحد المتسللين، وقد قامت Google بعمل سريع لسد الثغرة في خدمة البريد الإلكتروني التجريبية الخاصة بها قبل الحصول على أي أخبار سيئة تتعلق بالأمان. نانا، يضيف المنشور الذي كشف قصة ثغرة GMail Security أن “الخلل الذي اكتشفه Goldshlagger وتم اختباره عدة مرات من قبل هيئة تحرير Nana أظهر معدل نجاح مثير للقلق. ومن أجل عدم تعريض مالكي صناديق البريد للخطر بشكل أكبر، سنكشف فقط أن العملية تعتمد على خرق أمني في مصادقة هوية الخدمة. فهو يتيح للمتسلل “انتزاع” ملف تعريف الارتباط الخاص بالضحايا (ملف مزروع في كمبيوتر الضحية يستخدم للتعرف عليه) باستخدام رابط يبدو بريئًا (والذي يوجه إلى موقع Gmail نفسه). بمجرد سرقته، يسمح ملف تعريف الارتباط هذا للمتسلل بتعريف نفسه على أنه الضحية، دون الحاجة إلى كلمة مرور. وحتى لو قام الضحية بتغيير كلمة المرور الخاصة به بعد ذلك، فلن يكون هناك جدوى.
“يقوم النظام بالمصادقة على المتسلل باعتباره الضحية، باستخدام ملف تعريف الارتباط المسروق. وبالتالي لا توجد كلمة مرور متضمنة في عملية المصادقة. وأوضح جولدشلاغر لـ Nana أنه يمكن للضحية تغيير كلمة المرور الخاصة به عدة مرات كما يحلو له، لكن ذلك لن يمنع المتسلل من استخدام صندوقه.
المزيد من نانا:
تكون الأمور أسوأ عدة مرات عندما يتعلق الأمر بخدمة مثل Gmail. إلى جانب الضربة الواضحة لصورة Google التي تبدو نظيفة، فإننا ننظر هنا إلى تهديد كبير لأي شخص يلجأ إلى Gmail باعتباره صندوق بريده الإلكتروني الرئيسي. يقول جولدشلاغر: “نظرًا لأن Gmail يوفر مساحة تخزينية تبلغ غيغابايت، وهي أكبر بعدة مرات من معظم خدمات البريد الأخرى المستندة إلى الويب، فإن المستخدمين نادرًا ما يحذفون أي مراسلات قديمة”. “والنتيجة هي كمية هائلة من البريد المتراكم في صناديق المستخدمين، والتي تتضمن في كثير من الأحيان إشعارات مصرفية وكلمات مرور ومستندات خاصة وملفات أخرى يريد المستخدم نسخها احتياطيًا. ومن يستحوذ على هذه البيانات، يمكنه حرفيًا الاستيلاء على حياة الضحية وهويتها”.
