Kako je (bilo) moguće zaobići Google-ovu dvostepenu verifikaciju i preoteti korisnički nalog

Vesti, 26.02.2013, 07:31 AM

Istraživači firme Duo Security otkrili su kako da na jednostavan način zaobiđu Google-ovu dvostepenu verifikaciju i to pomoću šifre za aplikaciju.

Naime, da bi dvostepena verifikacija bila dostupna svim korisnicima Gmail-a, Google-ovi inženjeri su napravili nekoliko kompromisa, a jedan od njih je „Application-Specific Password“, šifra koju korisnik kreira i koristi za svaku aplikaciju koja ne podržava dvostepenu verifikaciju, kao što su Adium, Apple Mail, Thunderbird, iCal i druge.

Problem je u tome što ASP, uprkos onome što bi se moglo pretpostaviti iz naziva, zapravo ne ograničava pristup korisnika samo određenim podacima ili servisima. Ustvari, ASP se može iskoristiti za prijavljivanje na skoro svaki Google servis i za pristup privilegovanim interfejsima naloga, na način kojim se zaobilazi dvostepena verifikacija, kažu istraživači.

A doći do korisničkog ASP-a nije naročito teško.

Analizirajući mehanizam automatskog prijavljivanja na web na Androidu, istraživači su otkrili način kako da ga iskoriste bez korišćenja Android uređaja. Oni su postavili proksi za presretanje sa prilagođenim CA sertifikatom da bi nadgledali mrežni saobraćaj između Android emulatora i Google-ovih servera i potom anlizirali zahtev koji se šalje kada se emulatoru doda Google nalog, pri čemu se koristi ASP.

Oni su otkrili da je zahvaljujući propustu dovoljno korisničko ime, ASP i zahtev za https://android.clients.google.com/auth, da bi se prijavili na bilo koji Google servis bez zahteva za dvostepenu verifikaciju.

Kada upadne u nalog, napadač može promeniti email adresu za oporavak lozinke, poništiti žrtvinu glavnu lozinku i isključiti dvostepenu verifikaciju.

Istraživači su detalje o ovom propustu dostavili Google-u, nakon čega je kompanija uklonila ovaj propust što se dogodilo prošle nedelje. Sada, čak i ako bi napadač uspeo da se domogne korisnikovog ASP-a, koristeći malver za to ili MitM napad, šteta koju on može prozrokovati je ograničena jer je nalog pod kontolom vlasnika koji može poništiti kompromitovani ASP. Google sada proverava kako se korisnik identifikovao, tako da je pristup sigurnosnim podešavanjima naloga moguć jedino ako korisnik najpre unese korisničko ime i lozinku, a potom dostavi i drugi traženi element identifikacije.