🔵ENS Baş Geliştiricisi, Kimlik Avcılarının Google'ın Resmi Uyarılarını Taklit Etmesine İzin Veren Güvenlik Açığını Ortaya Çıkardı
DeThings'in 17 Nisan tarihli haberine göre, https://t.co/B7bzY2vhgG'nin bildirdiğine göre, ENS Baş Geliştiricisi Nick Johnson, özellikle yakın zamanda düzeltilen OAuth güvenlik açığından yararlanan, karmaşık bir kimlik avı saldırısını ortaya çıkardı. Johnson'ın açıklamasına göre, saldırganlar öncelikle alıcının hesabının bir mahkeme celbi soruşturmasına dahil olduğunu iddia eden, Google'ın hukuk departmanından gelmiş gibi görünen sahte e-postalar gönderiyor. Bu e-postalar, gerçek DKIM dijital imzalarına sahip ve Google'ın resmi no-reply alan adından gönderildiği için Gmail'in spam filtrelerini kolayca atlayabiliyor. Johnson, sahtekarlığın güvenilirliğinin, sahte bir destek portalına bağlanan https://t.co/HP7vhtKBzb köprüsüyle önemli ölçüde arttığına dikkat çekiyor. Bu sahte Google oturum açma sayfası iki büyük güvenlik açığını ortaya çıkarıyor: Birincisi, Google Sites platformunun rastgele komut dosyalarının yürütülmesine izin vermesi, bu da suçluların kimlik bilgilerini çalmak için sayfalar oluşturabilmesini sağlıyor; ikincisi ise OAuth protokolünün kendisinde bir kusur bulunması.
Johnson, Google'ın başlangıçta bu güvenlik açığını "tasarımın beklendiği gibi çalışması" olarak görmesini kınadı ve bu güvenlik açığının ciddi bir tehdit oluşturduğunu vurguladı. Daha da kötüsü, sahte portalın https://t.co/HP7vhtKBzb gibi güvenilir bir alan adını paravan olarak kullanması, kullanıcıların tetikte olma durumunu büyük ölçüde azaltıyor. Ek olarak, Google Sites'ın kötüye kullanım bildirme mekanizması yetersiz olduğundan, yasa dışı sayfaların zamanında kapatılması zorlaşıyor. Kamuoyu baskısı altında Google sonunda bir sorun olduğunu kabul etti. Johnson daha sonra Google'ın OAuth protokolündeki kusuru düzeltmeyi planladığını doğruladı. Güvenlik uzmanları, kullanıcıları tetikte olmaya, herhangi bir beklenmedik yasal belgeye şüpheyle yaklaşmaya ve kimlik bilgilerini girmeden önce web adresinin gerçekliğini dikkatlice doğrulamaya çağırıyor.