DEF CON黑客大年夜會上研究人員暗示，谷歌Android的單點登錄功能“weblogin”很便利，但可能讓企業(yè)的谷歌利用法度遭到威脅。
Tripwire公司高級安然研究人員Craig Young發(fā)現(xiàn)多個報復打擊向量，承諾報復打擊者經由過程一個Android設備進侵到受害者的谷歌云利用法度。這個縫隙也被稱為“weblogin”，Android利用這個令牌來承諾用戶一次性登錄所有谷歌辦事，當報復打擊者獲得這個weblogin令牌后，將可能獲得對拜候域節(jié)制面板的節(jié)制。
Young在DEF CON黑客大年夜會上稱：“我完全可以報復打擊Google Apps，只需要一個令牌?！盰oung此前曾延時了Android若何被用來繞過谷歌的兩步調身份驗證，他暗示，他一向很好奇Android與Google Apps連絡利用的風險標題問題。
Android的weblogin功能根基上是利用cookies來拜候谷歌辦事，而不是暗碼。可是該功能帶來便利的同時，也帶來風險：假定報復打擊者利用它來拜候域節(jié)制面板，那么，報復打擊者便可以重置暗碼，履行“數(shù)據(jù)轉儲”，并下載驅動文件。
“我進行這個令牌研究的啟事是，我一年前采辦了一個Android平板電腦，并發(fā)現(xiàn)Chrome會主動讓我登錄到谷歌的網(wǎng)站，這讓我很是驚訝。那時，我還沒成心想到Google Apps節(jié)制面板可能如許被透露：這真的是一個啟迪，”Young暗示，“我此刻已用了一段時候的Google Apps，老是利用該治理員賬號登岸?！?/P>
在乎想到暗藏的風險后，Young遏制了這類做法，并啟動了其最新研究。Young暗示，避免這類報復打擊的最好編制是避免在Android設備上利用治理員賬戶，并對令牌要求保持思疑立場。旨在可托賴利用商鋪和可托供給商采辦利用法度，并運行殺毒軟件來尋覓根級縫隙操縱。
他暗示：“利用谷歌云計較的企業(yè)需要確保其IT治理員需要由治理員權限來拜候Google Apps節(jié)制面板，而不是從其Android手機，假定從手機登岸，他們需要輸進一個暗碼?！惫雀璞灸暝缧r辰獲知了Young的研究成果，谷歌還沒有對Young的研究做出回應。
Young暗示，“谷歌已解決了一些標題問題，他們奉告我很快會解決這個標題問題，但還沒有解決，他們需要禁止對Google Apps節(jié)制面板的拜候?！?/P>
Young暗示，報復打擊者可能拜候Android用戶的weblogin或令牌，利用根級縫隙操縱或被傳染的利用法度?！叭缓笏麄兛梢园莺蚰愕腉mail，瀏覽所有你的郵件和聯(lián)系人信息，并重置你的賬戶暗碼，這是很可駭?shù)墓ぷ?，你可能都不會心識到他人在利用你的賬戶?！?/P>
即便報復打擊者不克不及獲得治理員手機令牌，他仍然可以獲得weblogin令牌，來拜候Android用戶已拜候的所有文件。Young測試發(fā)現(xiàn)，報復打擊者可以很等閑的在谷歌Play商鋪中植進歹意利用法度。他成立了一個假充的利用法度“Stock Viewer”，售價為150美元，一個月擺布都未被發(fā)現(xiàn)，即便其描述如許寫道“該利用法度供給對你的Google Stock Portfolio的快速拜候，同時完全粉碎你的隱私。假定你想要便利，而不是安然性，這款利用法度就是你的最好選擇。該利用法度今朝正在測試中，不克不及被任何人安裝?！?/P>
該利用法度其實不包含根級縫隙操縱，但Young暗示，假定有的話，他相信谷歌可能已抓住了這個縫隙代碼。即便如斯，Play商鋪和蘋果的利用商鋪其實不是萬無一掉的。事實上，Young指出：“他們并沒有及西寧源代碼審查，他們只是查看二進制格局的東西。所以你不克不及依托谷歌或蘋果來確保利用的安然性?！?/P>