Android 一鍵登入 Google 功能，讓企業和個人曝露在危險中

加好友 · 發表於 2013-8-7 07:24

馬上加入Android 台灣中文網，立即免費下載應用遊戲。

您需要登錄才可以下載或查看，沒有帳號？註冊

x

【全新格式】

暑假時間較長，能馬上提供最新資訊給各位。
但新聞並不是很多，所以畫蛇添足做了美化。
希望大家會喜歡

登錄/註冊後可看大圖

【新聞內容】

Android 中潛危機四伏，現在又有消息指出方便的一鍵登入 Google 功能，將讓企業和個人曝露在安全風險中。

在 Android 中，使用者可在利用 Google 帳號登入系統後，就自動登入各式 Google 服務。不過根據一位資安研究者在 Defcon 會議中的說法，這個功能有可能被惡意程式利用，讓駭客可以取得使用者的 Google 帳號權限。

這個功能稱為「weblogin」，它會產生一組獨特的安全代符（token），以在 Google 網站直接使用設定在系統中的資訊取得認證。根據資安研究者 Craig Young 在會議中表示，Weblogin 可以讓使用者有更好的使用體驗，不過可能對隱私和個人與企業 Google 帳號的資訊安全造成風險。

Craig Young 創造了一個證明用的惡意程式，實作了駭客可以竊取 weblogin 的安全代符，並將其傳送給攻擊者，接著他就可以利用這個安全代符透過瀏覽器偽裝是受害者，以登入 Google Apps、Gmail、Google Drive、Google Calendar、Google Voice 和其他 Google 服務。而且多數知名的 Android 資安軟體都無法偵測到這個漏洞。

Craig Young 將其所創造的程式偽裝成 Google Finance 的股票觀察軟體，並在 Google Play 上架，不過在程式描述中，清楚地指出這是惡意程式，任何使用者都不應該安裝它。

在安裝期間，這個程式會要求在裝置上尋找帳號、使用帳號和連接網路的許可，一旦執行，它會顯示另一個要求，希望能存取以 weblogin 開頭，並包含 finance.google.com 的網址。Craig Young 表示第二個要求並未透露太多資訊，大多數使用者會接受這個要求。

如果使用者接受了要求，就會產生一個 weblogin 安全代符，使用者可以自動登入 Gogole Finance 網站。不過同時這個安全代符也已經透過加密連線送到攻擊者所控制的伺服器上。問題是這個安全代符不但可以用在 Google Finance 上，也適用於所有 Google 服務。

攻擊者接著可以利用這個安全代符登入所有 Google 服務，包含 Google Play，這也表示攻擊者可以遠端安裝程式到使用者的裝置。同時也可以登入任何支援 Google 帳號登入的第三方服務。

如果受害者是 Google Apps 網域的管理者，攻擊者可以入侵整個公司的 Google Apps 運作，例如為其他使用者重設密碼、建立或修改權限和角色、建立或修改郵件寄送清單，甚至創造具管理者權限的新使用者。

這個安全問題已在 2 月提交給 Google，而該公司正開始阻擋一些攻擊者可以進行的工作。例如利用安全代符登入 Google 服務的攻擊者無法使用 Google Takeout 以備份下載整個 Google 帳號的資料，也無法新增 Google Apps 使用者。不過 Craig Young 表示仍有一些方式可以達成後者的工作。

Craig Young 的程式會顯示權限要求是因為他使用了標準的 Android api 以獲得安全代符。如果該程式利用解鎖方式獲得裝置上的 root 權限，就不需要使用者的確認就可以獲得安全代符。

該程式登上 Google Play 近一個月才有使用者回報其為惡意程式。在這期間，這個程式並未讓 Google Play 掃瞄惡意程式的機制 Bouncer 掃瞄到。如果被掃瞄到了，Bouncer 也未將其標記為惡意程式。Craig Young 表示這讓人懷疑 Bouncer 的可靠性。

Craig Young 表示企業不應該讓 IT 管理者利用具 Google Apps 網域管理身份的 Google 帳號登入自己的 Android 裝置。而使用者應該注意要求裝置中的帳號存取權限的程式，並應該在確認要求時，否決任何具有「weblogin」和使用者帳號字樣的權限。

而 Google 應該提供 Google Apps 網域所有者拒絕透過 weblogin 登入 Google Apps 的選項。而且應該讓 weblogin 的確認訊息更明確，以讓使用者清楚他們到底有什麼功能。

登錄/註冊後可看大圖

【文章來源】

:http://www.pcworld.com/article/2045903/android-oneclick-google-authentication-method-puts-users-businesses-at-risk.html

【相關文章】

本文章無相關文章連結，(施工中。。。)

【特此聲明】

文章大部份都來自對岸，文章內有“國內、我國” 等敏感字體皆為疏忽，請至下方留言會有獎賞。
文章有些影片為優酷，造成部份瀏覽器和手機無法觀看。如有網友找到Youtube且分享者也有獎賞。

【評分美德】

評分是美德，轉貼新聞雖然不累，但您評分應該也不累
評分是系統給的，即使只有1幫助，轉貼者會很欣慰的

【非常感謝】

一幫助=少揍一次!

登錄/註冊後可看大圖

加好友 · 發表於 2013-8-7 23:51

補充一點：
其實在公共場合使用wifi的時候，
要是有駭客也和你同個網域(白話就是和你同基地台)的話他也能偷到你的token
然後接下來就像這篇新聞這樣了

文章中一直強調"網域所有者"
但我前面補充的那一點是所有人只要在公共空間使用wifi都有可能遇到
希望Google可以修好...

[其他] Android 一鍵登入 Google 功能，讓企業和個人曝露在危險中

馬上加入Android 台灣中文網，立即免費下載應用遊戲。

評分

相關帖子

評分

瀏覽過的版塊

警告：您的Adblck已啟用