濫用OAuth令牌的Google Docs釣魚攻擊讓攻擊者能夠完全訪問用戶的Gmail帳戶和聯(lián)系人。谷歌在一小時內(nèi)制止了該攻擊，禁用攻擊者的電子郵件帳戶，并相應(yīng)采取其他保護措施。那么，攻擊者是如何利用OAuth訪問受害者的Gmail帳戶的？
Nick Lewis：Google一向以其也基礎(chǔ)架構(gòu)的安全性為傲，稱它在保護基礎(chǔ)架構(gòu)方面表現(xiàn)非常好。這個安全基礎(chǔ)設(shè)施意味著Google及其客戶只需要解決應(yīng)用程序的安全問題即可，這使得開發(fā)人員的工作變得更為容易。這給開發(fā)者、甚至用戶帶來應(yīng)用層的安全。
在最近發(fā)生的Google Docs釣魚攻擊中，Google的安全基礎(chǔ)設(shè)施被繞過，導(dǎo)致大量用戶帳戶受攻擊。這一攻擊是通過一個名為Google Docs的應(yīng)用程序進行的，企圖欺騙用戶信任其實Google合法提供的，可能有多達(dá)100萬Gmail用戶受到此次攻擊的影響。
該攻擊給消費帳戶造成極大的影響，且對于使用Google Docs的企業(yè)來說，影響更不可小覷，如果一些企業(yè)將敏感的企業(yè)數(shù)據(jù)存儲在Google Docs中則更為如此。
京公網(wǎng)安備 11010502049343號