Google negeert ontwerpfout in webapplicaties
Door een ontwerpfout in Google's webapplicaties is het voor aanvallers mogelijk om via een klein probleempje in bijvoorbeeld Google Maps, toegang te krijgen tot Gmail of Google Apps accounts, maar ook het omzeilen van de de browser's Same Origin Policy behoort tot de mogelijkheden. Zes maanden geleden ontdekte de Israëlische beveiligingsonderzoeker Aviv Raff dat Google.com te maken heeft met een 'cross-domain web-application sharing security design flaw'. Verschillende Google webapplicaties zijn via subdomeinen van Google.com benaderbaar. Een probleem in het ene subdomein is op het andere te misbruiken.
Ondanks het feit dat Raff het probleem een half jaar geleden kenbaar maakte, is het nog steeds niet verholpen. Een andere beveiligingsonderzoeker, Adrian Pastor, heeft vandaag een proof-of-concept exploit gepubliceerd waarbij het mogelijk is om via frame injection de ene Google dienst zich voor de ander uit te laten geven. De aanval gebruikt de ontwerpfout van Raff om het slachtoffer te laten geloven dat hij zich op een legitieme inlogpagina bevindt. Aangezien de exploit van Pastor vandaag online verscheen en Google niets van zich laat horen, hoopt Raff dat zijn full-disclosure Google dwingt om actie te ondernemen.
Het is soms de enige manier om serieus genomen te worden.
Ik begrijp de actie van Raff heel goed en kan me voorstellen dat hij zich erg alleen voeld in zijn strijd.
Ik pleit voor richtlijnen omtrent full-disclosure en steun voor de klokkenluiders.
Greetingz,
Jacco
Wie open source gebruikt omdat het zo veilig zou zijn, maar wel Google vertrouwt en er vrolijk mee werkt, heeft zijn voordeur op slot maar de keukendeur wijd open staan.
Wie open source gebruikt omdat het zo veilig zou zijn, maar wel Google vertrouwt en er vrolijk mee werkt, heeft zijn voordeur op slot maar de keukendeur wijd open staan.
Pffft, is er ooit aangetoond dat het IRL echt gebruikt wordt ?
Het wekelijkse Google is evil verhaaltje door de FUD mennekes, get a life !
Dit lijkt me op zich nogal logisch aangezien je 1 Google account heb.
Het punt is natuurlijk wel dat als er ergens in de Google diensten een fout zit, ze zo bij al je conversaties kunnen komen...
Echter hebben ze het ook over een iframe, ik vraag me dan ook af hoe beïnvloed het iframe het gedrag van de server?
Aangezien ik een Android gebruiker ben, vind ik toch wel belangrijk dat Google veilig blijft/word.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.