A szavak száma a Google Dokumentumokban
A Google alkalmazás-ökoszisztémáját biztonságosnak, megbízhatónak és ellenőrzöttnek tekintik. Néhány biztonsági kutató azonban felvetett néhány aggodalmat a G Suite Marketplace . A kutatók azt állítják, hogy számos alkalmazás fér hozzá a Gmail és a Drive-fiókokhoz. Bár ez érthető, sok alkalmazás kommunikál a nyilvánosságra nem hozott külső szolgáltatásokkal is. Ez kockázatos lehetőséget jelenthet a Google-fiókokból származó, ellenőrzött és nyilvánosságra nem hozott helyekre vagy entitásokra irányuló titkos adatutakra.
Irwin Reyes és Michael Lack (Two Six Labs) által végzett legújabb kutatás kiterjedt a G Suite Marketplace-en felsorolt, harmadik féltől származó Google-alkalmazások által kért engedélyek átfogó elemzésére. A duó állítása szerint felfedezték, hogy számos alkalmazást nem sikerült megfelelően telepíteni a tesztelő Google-fiókba, míg majdnem fele engedélyt kért a külső szolgáltatásokkal való kommunikációhoz, hidat teremtve a felhasználó érzékeny Drive- és Gmail-adatai és a külvilág között. Jó néhány alkalmazás esetében nem volt egyértelmű az adatkapcsolat, és az okokat nem említették nyíltan.
Néhány Google G Suite Marketplace-alkalmazás megkérdőjelezhető engedélykérelmekkel rendelkezik, és nem világos a külső, nyilvánosságra nem hozott szolgáltatásokkal való kapcsolat?
Reyes és Lack kutatók elmondták, hogy egy automatizált szkript segítségével telepítették a G Suite Marketplace-en felsorolt 1392 alkalmazást egy tesztelő Google-fiókra. Folytatták az egyes alkalmazások által kért engedélyek rögzítését. Az általuk tesztelt 1392 alkalmazásból 405 bukott meg számos hibával. A fennmaradó 987 telepíthető alkalmazás közül 889 alkalmazáshoz volt szükség hozzáférésre a felhasználói adatokhoz a Google API-k segítségével. Felesleges hozzáfűzni, ez egy engedélykérést váltott ki, amelyet a felhasználók többsége általában megad.
Fontos megjegyezni, hogy a G Suite Marketplace majdnem fele vagy 481 alkalmazása engedélyt kért a külső szolgáltatásokkal való kommunikációhoz. Ez lényegében lehetővé tette virtuális híd létrehozását a felhasználó érzékeny Drive-ja és a Google portfólióján kívül eső Gmail-adatok és -szolgáltatások között. E 481 alkalmazás 21 százaléka (103 alkalmazás) férhet hozzá a Google Drive-fájlokhoz, és kölcsönhatásba léphet velük, 17 százalékuk (81 alkalmazás) hozzáférhet az e-mail postafiókjaihoz, és 3 százalékuk (15 alkalmazás) hozzáférhet a naptáradataihoz, és kölcsönhatásba léphetnek velük.
A G Suite Marketplace a #magánélet botrány, a kutatók figyelmeztetik azokat a G Suite-alkalmazásokat, amelyek hozzáférnek a Drive és a Gmail adatokhoz, amelyek a nyilvánosságra nem hozott külső szolgáltatásokkal kommunikálnak. https://t.co/gIWnI3VVNx keresztül @AlisterBrenton #Biztonság #infosec pic.twitter.com/bkeGZYBfVv
- Alister Brenton (@AlisterBrenton) 2020. június 2
Fontos hozzáfűzni, hogy több kiegészítőnek is megalapozott oka van a biztonságos külső szolgáltatásokhoz való csatlakozásra. A kutatók azonban azt állítják, hogy kellemetlenül nagy számú alkalmazást fedeztek fel, úgy tűnik, nincs egyértelmű okuk arra, hogy kapcsolatot teremtsenek külső szolgáltatásokkal.
Fontos megjegyezni, hogy a felhasználók nem tudják, hogy a G Suite-alkalmazások mely külső szolgáltatásokat kommunikálják. Ezenkívül nincsenek információk a kommunikáció jellegéről és céljáról. A felhasználók csak alkalmazásleírásokkal és adatvédelmi irányelvekkel rendelkeznek, amelyeket az alkalmazásfejlesztők önként adnak meg, hogy megpróbálják megérteni a G Suite Marketplace alkalmazás és egy külső szolgáltatás kommunikációjának okát, célját és jellegét.
A Google nem hajtja végre szigorúan az „igazolatlan” alkalmazásokra vonatkozó korlátozásokat?
A külső szolgáltatásokkal folytatott kommunikáció mellett a kutatók azt állították, hogy van még egy, a G Suite Marketplace felülvizsgálati folyamatával vagy annak hiányával kapcsolatos kérdés. Az ellenőrzési folyamat kötelező a piacra beküldött összes alkalmazás számára. A folyamat még szigorúbbá és hosszadalmasabbá válik azoknak az alkalmazásoknak, amelyek API-hívásokat indítanak, amelyeket a Google érzékenynek vagy korlátozottnak minősít.
Az érzékeny API-hívásokat kezdeményező alkalmazások felülvizsgálati folyamata 3-5 napig terjedhet. Eközben azok az alkalmazások, amelyek „korlátozott” API-hívásokat indítanak, vagy interakcióba lépnek a felhasználó Gmail- vagy Google Drive-adataival, 4-8 hétig tarthatnak.
Az ilyen hosszadalmas felülvizsgálati és jóváhagyási folyamat ideiglenes megkerülése érdekében a Google lehetővé teszi az alkalmazásfejlesztők számára, hogy az alkalmazásokat „nem ellenőrzöttként” tüntessék fel a G Suite Marketplace-en. A Google csupán egy figyelmeztető címkét csap át egy egész oldalas üzenet formájában, amely figyelmezteti a felhasználókat egy potenciálisan veszélyes alkalmazás telepítésének veszélyére, amely még nem ment keresztül a felülvizsgálati folyamaton. Van még egy korlátozás, amely megpróbálja a „nem ellenőrzött” G Suite-alkalmazásokat csak 100 telepítésre korlátozni.
-A kutatók 1392 G Suite harmadik féltől származó alkalmazást elemeztek
- 481 olyan alkalmazást találtak, amely külső szolgáltatásokhoz csatlakozik
- ebből 103-nak teljes hozzáférése volt a Google Drive-hoz
- A 81-nek teljes Gmail-hozzáférése volt
- 15 teljes hozzáféréssel rendelkezett a Google Naptárhoz pic.twitter.com/NJzbUShzPy- Catalin Cimpanu (@campuscodi) 2020. június 2
A kutatók azonban azt állítják, hogy sok ellenőrizetlen alkalmazás több mint 100 felhasználót szerzett a felülvizsgálatukra várva. Ez határozottan arra utal, hogy a Google szándékosan enyhíti a „100 új felhasználó” korlátot.
Az ilyen gyakorlatok vagy az irányelvek nem megfelelő végrehajtása könnyen kártékony alkalmazások feltöltését eredményezheti az áruházba, kizárólag azzal a céllal, hogy adatokat gyűjtsön a Google-felhasználóktól. A Google G Suite csomaghasználóinak többsége a vállalati szektorból származik. Ez jelentősen megnöveli a social engineering hackek és hasonló támadások kockázatát.
A kutatók azt javasolják, hogy helyezzék át a folyamatot, vagy kérjék és adják meg az engedélyt a telepítési eljárásból arra az időre, amikor az alkalmazásoknak először van szükségük külön engedélyre. A Reyes és a Lack követelés, a telepítési idejű engedélyekről a futási engedélyekre való áttérés jelentősen javítja annak esélyét, hogy a felhasználók észreveszik a gyanús alkalmazásokat, és visszalépnek vagy megtagadják az engedélyek megadását.
Címkék Google
