Besede štejejo v Google Dokumentih
Googlov ekosistem aplikacij velja za varen, zaupanja vreden in preverjen. Nekaj raziskovalcev na področju varnosti pa je izrazilo nekaj pomislekov glede velikega števila aplikacij iz Tržnica G Suite . Raziskovalci trdijo, da ima več aplikacij dostop do računov Gmail in Drive. Čeprav je to razumljivo, veliko aplikacij komunicira tudi z nerazkritimi zunanjimi storitvami. To bi lahko predstavljalo tvegano priložnost za tajne podatkovne poti od Googlovih računov do nepreverjenih in nerazkritih lokacij ali entitet.
Nedavne raziskave, ki sta jih izvedla Irwin Reyes in Michael Lack iz Two Six Labs, so vključevale obsežno analizo dovoljenj, ki jih zahtevajo neodvisne Googlove aplikacije, navedene na trgu G Suite Marketplace. Dvojica trdi, da je odkrila, da se veliko aplikacij ni pravilno namestilo v testnem Googlovem računu, medtem ko je skoraj polovica zahtevala dovoljenje za komunikacijo z zunanjimi storitvami, kar je ustvarilo most med občutljivimi podatki uporabnika Drive in Gmail ter zunanjim svetom. Za kar nekaj aplikacij je bila podatkovna povezava nejasna in razlogi niso bili odkrito omenjeni.
Nekatere aplikacije Google G Suite Marketplace imajo vprašljive zahteve za dovoljenja in nejasno povezavo z zunanjimi, nerazkritimi storitvami?
Raziskovalca Reyes in Lack sta povedala, da sta z avtomatskim skriptom namestila vseh 1.392 aplikacij, navedenih na G Suite Marketplace, v testnem Google računu. Nadaljevali so s snemanjem dovoljenj, ki jih je zahtevala vsaka aplikacija. Od 1.392 aplikacij, ki so jih preizkusili, jih je 405 propadlo s številnimi napakami. Od preostalih 987 aplikacij, ki jih je bilo mogoče namestiti, je 889 aplikacij zahtevalo dostop do uporabniških podatkov prek Googlovih API-jev. Ni treba posebej poudarjati, da je to sprožilo zahtevo za dovoljenje, ki jo običajno odobri večina uporabnikov.
Zanimivo je omeniti, da je skoraj polovica ali 481 aplikacij iz G Suite Marketplace zahtevala dovoljenje za komunikacijo z zunanjimi storitvami. To je v bistvu omogočilo ustvarjanje navideznega mostu med uporabnikovimi občutljivimi podatki in storitvami Drive in Gmail, ki so bili zunaj Googlovega portfelja. Od teh 481 aplikacij je 21 odstotkov (103 aplikacije) lahko dostopalo do datotek v storitvi Google Drive in komuniciralo z njimi, 17 odstotkov (81 aplikacij) je lahko dostopalo do e-poštnih nabiralnikov in komuniciralo z njimi, 3 odstotke (15 aplikacij) pa je lahko dostopalo do podatkov koledarja in jih uporabljalo.
Tržišče G Suite pripravljeno na #zasebnost škandala raziskovalci opozarjajo aplikacije G Suite, ki imajo dostop do podatkov Drive in Gmail, za katere je ugotovljeno, da komunicirajo z nerazkritimi zunanjimi storitvami. https://t.co/gIWnI3VVNx prek @AlisterBrenton #security #infosec pic.twitter.com/bkeGZYBfVv
- Alister Brenton (@AlisterBrenton) 2. junij 2020
Pomembno je dodati, da ima več dodatkov upravičene razloge za povezavo z varnimi zunanjimi storitvami. Raziskovalci pa trdijo, da so ugotovili, da neprijetno veliko število aplikacij ni imelo jasnega razloga za vzpostavitev povezave z zunanjimi storitvami.
Zaskrbljujoče je omeniti, da uporabniki nimajo vpogleda v to, katero zunanjo storitev lahko komunicirajo aplikacije G Suite. Poleg tega ni podatkov o naravi in namenu komunikacije. Uporabniki imajo na voljo samo opise aplikacij in pravilnike o zasebnosti, ki jih razvijalci aplikacij prostovoljno priskrbijo, da poskušajo razumeti razlog, namen in naravo komunikacije aplikacije G Suite Marketplace in zunanje storitve.
Google strogo ne izvaja omejitev, ki veljajo za 'nepreverjene' aplikacije?
Razen komunikacije z zunanjimi storitvami so raziskovalci trdili, da obstaja še eno vprašanje, ki zadeva postopek pregleda G Suite Marketplace ali njegovo pomanjkanje. Postopek pregleda je obvezen za vse aplikacije, ki so predložene na tržnico. Postopek postane še bolj strog in dolgotrajen za aplikacije, ki izvajajo klice API, ki jih Google uvrsti med občutljive ali omejene.
Postopek pregleda aplikacij, ki izvajajo občutljive klice API, lahko traja od 3 do 5 dni. Medtem lahko aplikacije, ki opravljajo klice z omejenim API-jem ali komunicirajo s podatki uporabnika v Gmailu ali Google Drive, trajajo od 4 do 8 tednov.
Da bi začasno obšel tako dolgotrajen postopek pregleda in odobritve, Google razvijalcem aplikacij dovoljuje, da na G Suite Marketplace aplikacije uvrstijo med »nepreverjene«. Google zgolj udari opozorilno nalepko v obliki celostranskega sporočila, ki opozori uporabnike na nevarnost namestitve potencialno nevarne aplikacije, ki še ni bila opravljena skozi postopek pregleda. Obstaja še ena omejitev, ki poskuša omejiti »nepreverjene« aplikacije G Suite na samo 100 namestitev.
-Raziskovalci so analizirali 1.392 neodvisnih aplikacij G Suite
-Našli so 481 aplikacij, ki se povezujejo z zunanjimi storitvami
- 103 od njih je imelo popoln dostop do storitve Google Drive
- 81 je imel popoln dostop do Gmaila
- 15 jih je imelo popoln dostop do Google Koledarja pic.twitter.com/NJzbUShzPy- Catalin Cimpanu (@campuscodi) 2. junij 2020
Vendar raziskovalci trdijo, da so ugotovili, da so številne nepreverjene aplikacije pridobile več kot 100 uporabnikov, ko so čakale na pregled. To močno nakazuje, da Google namerno sprošča strogo omejitev '100 novih uporabnikov'.
Takšne prakse ali slabo izvajanje pravil lahko zlahka povzročijo nalaganje zlonamernih aplikacij v trgovino z izključnim namenom zbiranja podatkov od Googlovih uporabnikov. Večina uporabnikov Googlovega paketa G Suite je iz podjetniškega sektorja. To znatno poveča tveganje za vdore v socialni inženiring in podobne napade.
Raziskovalci predlagajo, da postopek premaknete ali poiščete in podelite dovoljenje iz namestitvenega postopka na čas, ko aplikacije dejansko prvič dejansko potrebujejo posebno dovoljenje. Zahtevek Reyes in Lack, ki prehaja z dovoljenj za čas namestitve na dovoljenja za čas izvajanja, bistveno izboljša možnosti, da uporabniki opazijo sumljive aplikacije in dovoljenje dovolijo nazaj ali zavrnejo.
Oznake google
