Googles G Suite-apps, der kommunikerer og muligvis deler G-Drive- og Gmail-data med ukendte eksterne tjenester?

Googles appøkosystem betragtes som sikkert, pålideligt og verificeret. Et par sikkerhedsforskere har dog rejst et par bekymringer over et stort antal apps fra G Suite Marketplace. Forskerne hævder, at flere apps har adgang til Gmail- og Drive-konti. Selvom dette er forståeligt, kommunikerer mange af appsne også med ukendte eksterne tjenester. Dette kan udgøre en risikabel mulighed for hemmelige datastier fra Google-konti til ikke-verificerede og ikke-afslørede placeringer eller enheder.

Nylig undersøgelse udført af Irwin Reyes og Michael Lack fra Two Six Labs involverede omfattende analyse af tilladelser, der blev anmodet om fra tredjeparts Google-apps, der er anført på G Suite Marketplace. Duoen hævder, at de opdagede, at mange af apps ikke kunne installeres korrekt på en test-Google-konto, mens næsten halvdelen anmodede om tilladelse til at kommunikere med eksterne tjenester, hvilket skabte en bro mellem en brugers følsomme Drive- og Gmail-data og omverdenen. For en hel del apps var dataforbindelsen uklar, og årsagerne blev ikke nævnt åbent.

Nogle Google G Suite Marketplace-apps har tvivlsomme anmodninger om tilladelser og uklar forbindelse til eksterne, ikke-afslørede tjenester?

Forskerne Reyes og Lack sagde, at de brugte et automatiseret script til at installere alle de 1.392 apps, der er anført på G Suite Marketplace på en test-Google-konto. De fortsatte med at registrere de tilladelser, som hver af de apps anmodede om. Fra de 1.392 apps, de testede, mislykkedes 405 med adskillige fejl. Fra de resterende 987 apps, der kunne installeres, krævede 889 apps adgang til brugerdata via Google API'er. Det er overflødigt at tilføje, dette udløste en anmodning om tilladelse, som de fleste brugere normalt giver.

Det er bekymrende at bemærke, at næsten halvdelen eller 481 apps fra G Suite Marketplace anmodede om tilladelse til at kommunikere med eksterne tjenester. Dette tillod i det væsentlige oprettelse af en virtuel bro mellem en brugers følsomme Drive og Gmail-data og -tjenester, der lå uden for Googles portefølje. Af disse 481 apps kunne 21 procent (103 apps) få adgang til og interagere med Google Drive-filer, 17 procent (81 apps) kunne få adgang til og interagere med e-mail-indbakker, og 3 procent (15 apps) kunne få adgang til og interagere med kalenderdata.

Det er vigtigt at tilføje, at flere tilføjelsesprogrammer har legitime grunde til at oprette forbindelse til sikre eksterne tjenester. Forskerne hævder imidlertid, at de opdagede, at et ubehageligt stort antal apps ikke så ud til at have en klar grund til at oprette forbindelse til eksterne tjenester.

Det er bekymrende at bemærke, at brugerne ikke har nogen indsigt i, hvilken ekstern tjeneste G Suite-apps muligvis kommunikerer. Derudover er der ingen oplysninger om kommunikationens art og formål. Brugere har kun appbeskrivelser og fortrolighedspolitikker frivilligt leveret af appudviklerne for at forsøge at forstå årsagen, formålet med og karakteren af ​​kommunikationen med en G Suite Marketplace-app og en ekstern tjeneste.

Google implementerer ikke strengt begrænsninger, der er pålagt "ubekræftede" apps?

Bortset fra kommunikationen med eksterne tjenester hævdede forskere, at der var endnu et problem med G Suite Marketplace's gennemgangsproces eller manglen på det. Gennemgangsprocessen er obligatorisk for alle apps, der sendes til markedet. Processen bliver endnu strengere og længere for apps, der foretager API-opkald, som Google klassificerer som enten følsomme eller begrænsede.

Gennemgangsprocessen for apps, der foretager følsomme API-opkald, kan variere fra 3 til 5 dage. I mellemtiden kan apps, der foretager "Begrænsede" API-opkald eller interagerer med en brugers Gmail- eller Google Drev-data, tage mellem 4 og 8 uger.

For midlertidigt at omgå en så lang gennemgangs- og godkendelsesproces tillader Google appudviklere at liste apps som "ikke-verificerede" på G Suite Marketplace. Google slår blot en advarselsetiket i form af en helsidesmeddelelse, der advarer brugerne om faren ved at installere en potentielt farlig app, der endnu ikke er gennemgået sin gennemgangsproces. Der er endnu en begrænsning, der forsøger at begrænse "ubekræftede" G Suite-apps til kun 100 installationer.

Forskere hævder imidlertid, at de fandt ud af, at mange ubekræftede apps havde fået mere end 100 brugere, da de ventede på at blive gennemgået. Dette tyder stærkt på, at Google bevidst afslapper den "100 nye brugeres" hårde grænse.

Sådan praksis eller dårlig implementering af politikker kan let give anledning til, at ondsindede apps uploades i butikken med det ene formål at indsamle data fra Google-brugere. Størstedelen af ​​Googles G Suite-pakkebrugere kommer fra virksomhedssektoren. Dette øger risikoen for social engineering-hack og lignende angreb betydeligt.

Forskerne foreslår at flytte processen eller søge og give tilladelse fra installationsproceduren til det tidspunkt, hvor apps faktisk har brug for særlig tilladelse for første gang. Reyes og Lack-krav, der flytter fra tilladelser til installationstid til runtime-tilladelser, forbedrer betydeligt chancerne for, at brugere bemærker mistænkelige apps og backtrack eller nægter at give tilladelse.