Problemi di phishing per Google

Si rincorrono le dimostrazioni di una vulnerabilità dell'architettura condivisa dalle web application di BigG. Gli utenti potrebbero fornire a sconosciuti le proprie password senza neppure rendersene conto

Roma – Non è l’ennesimo caso di Cross Site Scripting (XSS), ma qualcosa di diverso: l’infrastruttura di Google, quella che regge alcuni dei servizi più usati del web, da Gmail a Maps, soffre di un errore nel design che la rende potenziale vittima dei malviventi che vivono di phishing. E che potrebbero rubare all’ignaro navigatore le sue credenziali di accesso senza neppure dover infettare un sito: basterebbe sfruttare assieme quanto ospitato direttamente sui server di BigG.

La vulnerabilità, se così si può definire, che affligge i server di BigG è stata mostrata per la prima volta lo scorso venerdì da Adrian Pastor sulle pagine di GNUCITIZEN : in breve, chiarisce l’esperto, è possibile “mostrare una pagina non ufficiale con l’indirizzo giusto nella address bar”. Una differenza sostanziale rispetto al phishing tradizionale, che maschera al meglio una URL contraffatta dietro qualche assonanza: in questo caso l’indirizzo è quello autentico, ma la pagina è tutto meno che quella originale.

Gmail farlocca servita tramite Google Images

Per farlo, non c’è bisogno di utilizzare chissà quale carattere speciale in modo da mettere in ginocchio il codice di un servizio o di infettare un server con chissà quale artificio: le difese contro la contraffazione delle URL non reggono, e anche il navigatore più attento potrebbe cascare in un tranello costruito a regola d’arte. Con la grafica giusta non ci sarebbe modo di distinguere la pagina originale da una farlocca: non cambierebbe neppure l’indirizzo mostrato nella barra. Google, informata del problema, sarebbe al lavoro per risolverlo.

Un altro esperto di sicurezza, Aviv Raff, definisce l’intera faccenda un “errore di sicurezza strutturale per web application cross-domain”: in altre parole Google non avrebbe curato a dovere la modalità con la quale le sue web application possono interagire tra di loro – per essere ad esempio richiamate all’interno di un altro servizio allo scopo di integrarne le informazioni – finendo per aprire una breccia all’interno della quale i malintenzionati potrebbero infilarsi per cercare di violare gli account degli utenti.

Raff spiega di aver segnalato il problema a BigG lo scorso aprile, di aver ricevuto rassicurazioni sull’avvio di una procedura di indagine per individuare il problema, ma di non aver poi più saputo nulla su come l’intera vicenda si era evoluta. Evidentemente, come dimostra il proof-of-concept pubblicato nelle stesse ore su GNUCITIZEN , il problema non è stato tuttavia ancora risolto: da qui la decisione di optare per un approccio full disclosure.

Luca Annunziata

Google News servite attraverso Maps

La tua email sarà utilizzata per comunicarti se qualcuno risponde al tuo commento e non sarà pubblicato. Dichiari di avere preso visione e di accettare quanto previsto dalla informativa privacy

  • Giobar scrive:
    Peccato per la copertura Wind
    Lo si può usare con USIM (256 KB) TIM che è molta più coperta!!!
  • enola scrive:
    Peccato per la copertura wind
    HSDPA ! ma la maggior parte dei punti di accesso wind non permette nemmeno di fare una banale videochiamata 3G! non me ne voglia Wind di cui sono affezionato utilizzatore Milanese (con 7 euro oltre all'adsl 20Mb, mi da 2,5 GB di traffico mensili) ma la maggior parte delle volte si viaggia su rete GPRS a velocità di 7kb ...per altro la copertura è ottima su tutto il territorio, in montagna dove telecom latita, wind c'è.
  • Cippo Lippo scrive:
    Su quale NetBook puntare?
    ok la domanda non è delle migliori, ma attualmente tra i netbook in commercio su quale si dovrebe puntare a pari prestazioni? chi li sta facendo meglio? asus acer msi..-----------------------------------------------------------Modificato dall' autore il 13 ottobre 2008 16.33-----------------------------------------------------------
    • foo scrive:
      Re: Su quale NetBook puntare?
      Sto tenendo d'occhio il mercato. Allo stato attuale valuterei msi wind u100 o asus eeepc 1000, che ancora non vedo in giro. A novembre esce il samunsung nc10 che non pare niente male, ha una tastiera migliore del wind e ha la batteria 6 celle.Per ora io rimango fermo fino al 2009 e aspetto di vedere qualche tablet e magari gli schermi a 11-12", visto che la microsoft ha rilassato i vincoli sulle licenze oem.
  • Ste scrive:
    innovazione minima ma utile
    Il processore potrebbe essere una innovazione significativa...se arriverà.Riguardo alla connettività HDSPA integrata è invece una piccola cosa, che però è molto molto comoda. Anche se con le tariffe UMTS italiane non so quanto sarà sfruttabile in pratica.Per il resto il 120 sarà praticamente identico al 100, sia come design che come contenuti fondamentali. Cioè non un nuovo modello, ma un semplice step evolutivo.PS: se ci mettessero la batteria a 6 celle di serie...quella si che sarebbe una innovazione gradita!!!Detto questo io ho il 100 e devo dire che va che è una meraviglia!
    • 0verture scrive:
      Re: innovazione minima ma utile
      ùAnche se con le tariffe UMTS italiane non
      so quanto sarà sfruttabile in
      pratica.Tariffe e copertura soprattutto.La banda 3G dovrebbe essere diffusa laddove l'adsl via cavo non arriva invece guarda caso in quei posti si viaggia in 2G (cioè < 56k ~ 40kbps)
    • Enjoy with Us scrive:
      Re: innovazione minima ma utile
      - Scritto da: Ste
      Il processore potrebbe essere una innovazione
      significativa...se
      arriverà.
      Riguardo alla connettività HDSPA integrata è
      invece una piccola cosa, che però è molto molto
      comoda. Anche se con le tariffe UMTS italiane non
      so quanto sarà sfruttabile in
      pratica.
      Per il resto il 120 sarà praticamente identico al
      100, sia come design che come contenuti
      fondamentali. Cioè non un nuovo modello, ma un
      semplice step
      evolutivo.
      PS: se ci mettessero la batteria a 6 celle di
      serie...quella si che sarebbe una innovazione
      gradita!!!

      Detto questo io ho il 100 e devo dire che va che
      è una
      meraviglia!Non poi tanto piccola quella del modem UMTS già integrato, vuoi mettere la comodità di non avere chiavette sporgenti? Vuoi mettere anche il risparmio? La soluzione integrata costa meno della somma netbook + chiavetta UMTS!Il vero problema di questo Wind è l'impiego ancora di HD convenzionali, meno resistenti agli urti e più ingombranti e pesanti degli SSD. Dovrebbero cercare poi di introdurre anche uno schermo touch, anzi meglio ancora, potrebbero eliminare la tastiera ed inserire uno schermo multitouch con feedback tattile, potrebbero ridurre ulteriormente ingombri e peso!
      • 0verture scrive:
        Re: innovazione minima ma utile
        Preferisco mille volte un disco tradizionale ad un SSD economico.
        • Enjoy with Us scrive:
          Re: innovazione minima ma utile
          - Scritto da: 0verture
          Preferisco mille volte un disco tradizionale ad
          un SSD
          economico.Su un Desktop senza alcun ombra di dubbio su un Netbook ultraportatile le prestazioni passano in secondo piano e trovo molto più sicuro l'SSD, i nuovi SSD economici di Intel poi hanno prestazioni nettamente superiori a quelle di qualsiasi HD!
          • 0verture scrive:
            Re: innovazione minima ma utile
            Ricorda che stiamo parlando di giocattolini che noi utenti finali, comprensivi di tasse e ricarichi vari, paghiamo pochissime centinaia di euro.Andando a ritroso, segando i vari sovraprezzi, arriviamo ad un punto dove ogni singolo componente (cpu esclusa) difficilmente supera la decina di euro.Gli SSD che dici te, nuovi, sicuri e veloci costano più di tutti i modelli di eee e wind disponibili messi assieme.A tutti gli effetti, l'unico notebook che dovrebbe avere degli ssd validi è proprio l'air che costa oltre 3000 euro.
  • God bless America scrive:
    Resta il fatto che
    con questi prezzi stanno uccidendo la rivoluzione che vive dietro ad aggeggini di questo tipo....
  • Fra Martino scrive:
    mis
    il mis? ora pere il mis ha il suo portatile? ma oggi non si chiama an?
  • Cippo Lippo scrive:
    NetBook adsl e P2P
    mi sorge una domanda. ma questi portatili come si comportano con le connessioni veloci e con il p2p?hanno abbastanza potenza per gestire e sfruttare a pieno connessioni e scambio di files multipli?-----------------------------------------------------------Modificato dall' autore il 13 ottobre 2008 01.03-----------------------------------------------------------
    • 0verture scrive:
      Re: NetBook adsl e P2P
      Il p2p come possiamo gestirlo noi itagliani è pienamente alla portata di un PIII qualunque...
      • Enjoy with Us scrive:
        Re: NetBook adsl e P2P
        - Scritto da: 0verture
        Il p2p come possiamo gestirlo noi itagliani è
        pienamente alla portata di un PIII
        qualunque...Ho un P4 2.80 Ghz, nessun problema anche a 250Kb/s
    • carobeppe scrive:
      Re: NetBook adsl e P2P

      hanno abbastanza potenza per gestire e sfruttare
      a pieno connessioni e scambio di files
      multipli?Stai scherzando vero? Io il Wind U100 lo uso con Illustrator, Photoshop ed Office 2007 in contemporanea su schermo multiplo(con 2 GB di ram ed XP, vedi http://www.enriconeri.it/uploads/screenshot_msiwind.JPG ), nessun problema! Del resto solo un folle userebbe un netbook per il p2p, che senso ha quando la Intel fa delle stupende schede madri con atom integrato che consumano pochissimo e su ebay ci sono quintali di Pentium III che aspettano di essere comprati per uso p2p...
      • carobeppe scrive:
        Re: NetBook adsl e P2P
        - Scritto da: m00f
        Beh il P3 consuma parecchio per uso p2pEcco questa è una cosa di cui vorrei parlare, anche se siamo paurosamente OT. Siccome ero intenzionato a cambiarlo proprio per un discorso consumi, cosa mi conviene prendere, tenendo conto che quel PC non viene spento da novembre 2004? L'uso che deve fare è:- Server ftp- Server web per uso personale- P2P- Server di stampa locale- Server remote desktop di Windows 2003- Server VNC- Server DHCP- Saltuariamente server TeamspeakDevono girarci sopra tre utenti (Administrator, User e Guest) in contemporanea con Windows Server 2003. Attualmente è un PIII 733 con 512 di ram e 250 GB di hard disk Maxtor, VGA Matrox Millennium G400 AGP, scheda di rete RTL8139 ed alimentatore da 250W (no floppy, no DVD ecc ecc, no scheda audio), ed è una configurazione sufficiente per quel che deve fare, tuttavia mi pare che consumi troppo! MI stava frullando per la testa di sostituirlo con una di quelle mobo della intel con processore atom integrato...-----------------------------------------------------------Modificato dall' autore il 13 ottobre 2008 10.55-----------------------------------------------------------
      • Cippo Lippo scrive:
        Re: NetBook adsl e P2P
        ma infatti la mia domanda sul fatto se questi netbook riescono ad usare tutta la banda adsl (in specifico alice 20 down e 1 up) era poi legata al consumo elettrico. mia madre vorrebbe prendersi un netbook per se per navigarci su internet, ho fatto un giro e avevo visto un acer o asus entrambi 1.60GHz, 512KB L2, 533MHz FSB RAM 1024MB.io ho un P4 Core 2 Quad Q6600 @ 2400 MHz 4gb RAM senza contare sv e vari hd, allora pensavo che per risparmiare un bel pò di energia potevo usare il netbook, ma appunto poi mi è sorto il dubbio che non riuscirebbe a gestire a pieno una connessione 20/1-----------------------------------------------------------Modificato dall' autore il 13 ottobre 2008 11.07-----------------------------------------------------------
        • m00f scrive:
          Re: NetBook adsl e P2P
          sono certo che ce la fa, ovviamente non sperare di gestire 2000 connessioni contemporaneamente come potresti fare con il Q6600
      • Paguro scrive:
        Re: NetBook adsl e P2P
        60W alla fine è come la lampadina che uso per rischiarare il mio opaco posto di lavoro, e non è tanto..Però sparatevi questo: http://www.aleutia.com/products/e2with80gb.htmlCredo che sia mooolto meno :PIn generale, ricordiamoci questa perla di saggezza: non basta che un pc sia vecchio per consumare poco :)
        • Cippo Lippo scrive:
          Re: NetBook adsl e P2P
          - Scritto da: Paguro
          60W alla fine è come la lampadina che uso per
          rischiarare il mio opaco posto di lavoro, e non è
          tanto..ma esiste un programma per sapere quanto sta consumando il proprio pc? che ti faccia una stima, in base all'utilizzo in tempo reale del pc, di quanto consumerai approssimativmente in un'ora?
  • 0verture scrive:
    Cosa s'intende con "sarà disponibile" ?
    In generale cosa intendono i produttori quando fanno queste promesse ?Il primo Wind avrebbe dovuto uscire a metà luglio e la prima volta che sono riuscito a vederne uno dal vivo in un negozio era fine agosto.Tutt'ora è un terno al lotto trovarlo in pronta consegna.Il Samsung NC10 che dovrebbe essere un Wind all'ennesima potenza come design e soprattutto batteria, dovrebbe uscire in questi giorni ma BT Shop parla di novembre e negli Auchan è atteso per i primi di dicembre.Adesso di nuovo MSI torna alla carica con un Wind + HSDPA, parla di fine dell'anno ma poi non è che dovrò aspettare pasqua per vederne uno ?
    • carobeppe scrive:
      Re: Cosa s'intende con "sarà disponibile" ?

      non è che dovrò aspettare pasqua per vederne uno?Facile... la distribuzione di MSI fa schifo e, o sei nel giro oppure ti succede come a me che ci sono voluti 2 mesi e mezzo per averlo. Però, credimi, del mio U100 sono soddisfatto all'ennesima potenza, davvero un ottimo prodotto!
Chiudi i commenti