CLAMOROSO BUCO IN GMAIL E LA POSTA E' COMPROMESSA

zeusnews.it, 25\11\2008

Si contano le prime vittime di un attacco che non è ancora di massa ma può
essere tentato da un malintenzionato senza troppe difficoltà. Alcuni utenti
si
sono viste sottrarre la posta e i domini che avevano registrato. Per il
momento non si parla di patch.

Ed ora, un po' di pubblicità

Un post sul blog
Geek Condition
 ha rivelato un problema in Gmail che, sebbene non così facilmente
sfruttabile, pone a rischio ogni casella di posta.

L'autore del post - che si fa chiamare Brandon - ha preferito non spiegare
nel dettaglio come sfruttare la vulnerabilità, ma ha dato un'idea molto
chiara
del funzionamento. A essere coinvolti sono i filtri.

"Quando si crea un filtro, viene inviata una richiesta ai
server
 di Google. La richiesta è fatta nella forma di una Url con molte
variabili".

"Per ragioni di sicurezza" - continua Brandon - "il browser non mostra
tutte le variabili contenute nell'Url". Solo che per ottenerle, in realtà è
sufficiente
il plug-in per Firefox Live Http Headers.

Ottenendo le variabili necessarie, un pirata informatico può creare filtri
sugli account altrui senza che i legittimi proprietari lo vengano a sapere,
e
fare in modo - per esempio - che la loro posta venga dirottata al proprio
indirizzo.

L'attaccante deve impossessarsi di due variabili chiave: ik, che è
l'equivalente del nome utente (ottenibile con un'operazione "complessa ma
possibile")
e la variabile at, che può essere ottenuta semplicemente facendo visitare
alla vittima una pagina contenente del codice malevolo al fine di sottrarre
il
cookie Gmail_At, che contiene le stesse informazioni della variabile at.

Per difendere i propri utenti, Google può far sì che la variabile at
"scada" dopo ogni richiesta, e non dopo ogni sessione, mentre gli utenti
stessi devono
controllare i propri filtri e assicurarsi che non ci sia nulla di strano.
Inoltre, l'estensione per Firefox NoScript permette loro di mettersi al
riparo
da questo attacco.

Questa tecnica non è solo teorica: è già stata usata per sottrarre alcuni
domini registrati con GoDaddy ai legittimi proprietari. Come Brandon
ricorda nel
proprio post, la migliore strategia difensiva è la prudenza.
fonte:
http://www.zeusnews.it/index.php3?ar=stampa&cod=8765