Este texto podia ser breve, resumindo-se aos pontos 2 e 4. Mas para quê simplificar se se pode complicar? :-) Bom, os parágrafos 2 e 4 são para os apressados e os restantes para os curiosos.
1. Introdução
com amostras de texto
2. Breve descrição
3. Descrição técnica
https
http
4. Forma de contornar o problema
https://mail.google.com
5. Teste prático
https://mail.google.com
Loose
Loose
6. Conclusões
Adenda 19-07-2009
Dei por uma falha de segurança que afecta os utilizadores que acedam ao Gmail usando o Chrome ou qualquer outro browser que mantenha um histórico de páginas visitadasUsando a funcionalidade do Chrome "Search your history" (Procurar no seu histórico), o browser inclui nos resultados da pesquisa pedaços de texto de mensagens do Gmail, mesmo depois de o utilizador ter terminado a sessão. Isto permite que quem tenha acesso ao computador leia pedaços de mensagens que, supostamente, seriam confidenciais.As páginas cujo endereço (URL) comece porsão páginas que se pretendem seguras e, por essa razão, depois de o utilizador deixar uma tal página, os browsers não guardam em disco o seu conteúdo. Por outro lado, as páginas com URL começado porsão páginas sem informação sensível. Por isso o browser guarda-as em disco para que, num próximo acesso, o browser não precise de descarregar os items que não tenham mudado (fotografias, texto, etc.).Páginas como as de homebanking, sites de compras e de email devem estar associadas a endereços https ou então, estando acessíveis por http, devem dar instruções explícitas ao browser para não as guardar em disco.No caso do Gmail, quem aceder ao mail pelos endereços http://gmail.com ou http://www.gmail.com virá o conteúdo das mensagens que escrever acessível pelo mecanismo de pesquisa do Chrome. Isto constitui uma falha de segurança. Acedendo ao mail por um destes URL, primeiro chega-se à página de autenticação, a qual tem um URL começado por https. Mas depois de inseridas as credenciais, todas as páginas do Gmail têm URL começado por http, tornando-as passíveis de ser guardadas para uso futuro por parte do browser. Mas acendendo ao Gmail pelo endereço https://mail.google.com, as páginas seguintes continuam a estar em endereços começados por https e, como tal, não serão arquivadas pelo browser.Para contornar o problema, aceda ao email sempre pelo endereço(no Chrome, digitar também o https:// ).Seguem-se os passos para reproduzir o problema. a) Primeiro, limpar todo o histórico. b) De seguida entrar no mail com o endereço(digitar também o https://) Enviar um email como por exemplo da figura:assunto: Loose secretsmensagem: Don't write if reading is out of question. c) Terminar a sessão do Gmail e clicar no íconepara abrir um novo separador. Na caixa de pesquisa à direita procurar o texto. A pesquisa não deve devolver resultados. d) Volte a entrar no mail mas pelo endereço http://gmail.com. Responda à mensagem anterior com: Well, are loose secrets important? e) Termine novamente a sessão do mail e volte a abrir um separador. Volte a pesquisar o textoe repare como agora a pesquisa devolve texto do mail. O Gmail já foi dado pela Google como um produto estável há algum tempo. Claro que isto nunca impediu que os problemas existissem na mesma. Neste caso, a gravidade do problema depende do que esta inconfidência revelar e a quem o revelar. Imagine que está num local público e dados privados seus são revelados. Ou que o seu email é tornado público. Ou simplesmente, que uma mensagem comprometedora, como esta que preparei na imagem do lado, cai nas mãos erradas!Há ainda um pormenor adicional. Repare-se que na versão do Gmail em que se entra pelo https não há anúncios mas estes já existem quando se entra pelo http. Isto é compreensível, já que os endereços https não podem incluir conteúdos exteriores ao próprio domínio, como seriam os anúncios que a google disponibiliza através do seu servidor de anúncios (mas que tem outro endereço).Finalmente, é muito fácil corrigir este problema. Basta na página do mail instruir o browser para não arquivar conteúdos das páginas do mail. Algo que se faz desde o tempo dos primeiros browsers. Esquecimento? É possível. Se bem que é um erro básico.Reportei a falha de segurança ao Google. É de correcção realmente fácil, logo espero que a corrijam rapidamente.
Categorias
Entidades
Este texto podia ser breve, resumindo-se aos pontos 2 e 4. Mas para quê simplificar se se pode complicar? :-) Bom, os parágrafos 2 e 4 são para os apressados e os restantes para os curiosos.
1. Introdução
com amostras de texto
2. Breve descrição
3. Descrição técnica
https
http
4. Forma de contornar o problema
https://mail.google.com
5. Teste prático
https://mail.google.com
Loose
Loose
6. Conclusões
Adenda 19-07-2009
Dei por uma falha de segurança que afecta os utilizadores que acedam ao Gmail usando o Chrome ou qualquer outro browser que mantenha um histórico de páginas visitadasUsando a funcionalidade do Chrome "Search your history" (Procurar no seu histórico), o browser inclui nos resultados da pesquisa pedaços de texto de mensagens do Gmail, mesmo depois de o utilizador ter terminado a sessão. Isto permite que quem tenha acesso ao computador leia pedaços de mensagens que, supostamente, seriam confidenciais.As páginas cujo endereço (URL) comece porsão páginas que se pretendem seguras e, por essa razão, depois de o utilizador deixar uma tal página, os browsers não guardam em disco o seu conteúdo. Por outro lado, as páginas com URL começado porsão páginas sem informação sensível. Por isso o browser guarda-as em disco para que, num próximo acesso, o browser não precise de descarregar os items que não tenham mudado (fotografias, texto, etc.).Páginas como as de homebanking, sites de compras e de email devem estar associadas a endereços https ou então, estando acessíveis por http, devem dar instruções explícitas ao browser para não as guardar em disco.No caso do Gmail, quem aceder ao mail pelos endereços http://gmail.com ou http://www.gmail.com virá o conteúdo das mensagens que escrever acessível pelo mecanismo de pesquisa do Chrome. Isto constitui uma falha de segurança. Acedendo ao mail por um destes URL, primeiro chega-se à página de autenticação, a qual tem um URL começado por https. Mas depois de inseridas as credenciais, todas as páginas do Gmail têm URL começado por http, tornando-as passíveis de ser guardadas para uso futuro por parte do browser. Mas acendendo ao Gmail pelo endereço https://mail.google.com, as páginas seguintes continuam a estar em endereços começados por https e, como tal, não serão arquivadas pelo browser.Para contornar o problema, aceda ao email sempre pelo endereço(no Chrome, digitar também o https:// ).Seguem-se os passos para reproduzir o problema. a) Primeiro, limpar todo o histórico. b) De seguida entrar no mail com o endereço(digitar também o https://) Enviar um email como por exemplo da figura:assunto: Loose secretsmensagem: Don't write if reading is out of question. c) Terminar a sessão do Gmail e clicar no íconepara abrir um novo separador. Na caixa de pesquisa à direita procurar o texto. A pesquisa não deve devolver resultados. d) Volte a entrar no mail mas pelo endereço http://gmail.com. Responda à mensagem anterior com: Well, are loose secrets important? e) Termine novamente a sessão do mail e volte a abrir um separador. Volte a pesquisar o textoe repare como agora a pesquisa devolve texto do mail. O Gmail já foi dado pela Google como um produto estável há algum tempo. Claro que isto nunca impediu que os problemas existissem na mesma. Neste caso, a gravidade do problema depende do que esta inconfidência revelar e a quem o revelar. Imagine que está num local público e dados privados seus são revelados. Ou que o seu email é tornado público. Ou simplesmente, que uma mensagem comprometedora, como esta que preparei na imagem do lado, cai nas mãos erradas!Há ainda um pormenor adicional. Repare-se que na versão do Gmail em que se entra pelo https não há anúncios mas estes já existem quando se entra pelo http. Isto é compreensível, já que os endereços https não podem incluir conteúdos exteriores ao próprio domínio, como seriam os anúncios que a google disponibiliza através do seu servidor de anúncios (mas que tem outro endereço).Finalmente, é muito fácil corrigir este problema. Basta na página do mail instruir o browser para não arquivar conteúdos das páginas do mail. Algo que se faz desde o tempo dos primeiros browsers. Esquecimento? É possível. Se bem que é um erro básico.Reportei a falha de segurança ao Google. É de correcção realmente fácil, logo espero que a corrijam rapidamente.