Archivio » 2004 » novembre » giovedì 4 »

Sicurezza: per Google riparazioni urgenti

Scritto da Guido Sintoni

Bug più o meno gravi in parte rimediati (Gmail e Desktop Search) ma rimane il problema di cross site scripting» Sicurezza in primo piano

La forza di Google? La pubblicità mirata, ovvero l’esposizione di banner congruenti con la tipologia di ricerca impostata dall’utente. La sua debolezza? La pubblicità mirata, ovvero la possibilità che ai contenuti generati si sovrapponga quello arbitrario di un attaccante. Protezione cercasi! Va da sé che il cross site scripting (introduzione di codice arbitrari nella sessione di esplorazione di un sito Web aperta da un utente, all’insaputa di quest’ultimo) è un problema acuito dalle vulnerabilità che da qualche tempo a questa parte molti browser palesano, ma stavolta pare che sia tutta farina del sacco di Google.
Così, almeno, sostiene un intraprendente quattordicenne sulle pagine del proprio sito Web.
Il problema è relativo al googlesyndication.com, utilizzato per la pubblicità mirata: le proof of concept dello scopritore non lasciano spazio ad equivoci. La sezione “User Feedback” del sistema di pubblicità di Google e consente ad un attaccante di iniettare il proprio contenuto (proveniente da server esterni) nella pagina generata. Condizione perché ciò si verifichi è che nel browser Web sia attivato il supporto JavaScript.
Eppure, al momento in cui scriviamo, Google non ha preso posizione in materia; bisogna sottolineare come non sia chiaro se l’autore della scoperta abbia pubblicato i risultati prima di notificare l’azienda o abbia agito come da prassi, dando il tempo di correggere i bug prima di pubblicare le proof of concept. E non sembra che si tratti della boutade di un ragazzo annoiato: del caso si è occupato anche l’autorevole Netcraft.

Un’altra possibile spiegazione è che l’azienda di Mountain View abbia concentrato i propri sforzi sulla correzione di alcuni bug su Gmail e Google Desktop, due tecnologie dichiaratamente non pronte all’uso in produzione i cui bug recentemente emersi sono stati prontamente corretti. Ed è curioso sottolineare che, se quello di Gmail (la possibilità di autenticarsi senza password in determinate circostanze) è stato segnalato da un israeliano, pare proprio che quello di Google Desktop (era possibile di modificare i contenuti delle ricerche effettuate con script caricati da server esterni) sia stato scoperto dallo stesso quattordicenne che ha identificato i problemi di googlesyndication.com.