Ошибка в Gmail может раскрыть миллионы пользовательских адресов

О достаточно серьезной (хотя и малозаметной) ошибке в популярном почтовом сервисе Google, затрагивающей интересы множества пользователей, сообщают сетевые СМИ. По информации от исследователя Орена Хафифа (Oren Hafif), который и обнаружил данную уязвимость, ее полномасштабное использование может сделать достоянием гласности практически все адреса Gmail, причем, времени на это уйдет не так уж и много. Конечно, знание одного только адреса без пароля к аккаунту не позволяет копаться в электронной переписке жертвы, но может использоваться для рассылки спама, фишинговых атак и т.д.

Выявленный господином Хафифом эксплойт использует малоизвестную функцию Gmail, позволяющую отказаться от делегированного доступа к аккаунту другого пользователя. Достаточно немного изменить настройки URL страницы, которая появляется при этом, и там демонстрируется адрес какого-то иного почтового ящика. Автоматизировав процесс посредством утилиты DirBuster, израильский исследователь выявил 37 000 адресов Gmail всего за два часа, а в принципе процесс мог бы продолжаться до раскрытия всех адресов почтовой службы Google, благо требуется на это несколько дней или максимум недель.
Обнаружив указанный сбой, господин Хафиф как законопослушный гражданин написал в Google, и корпорация в конечном итоге вознаградила его внимательность премией в $500. Кроме того, интернет-гигант подтвердил устранение данной уязвимости, правда, неясно, воспользовался ли ошибкой еще кто-то, ведь она могла присутствовать в Gmail годами.

Google разбирается со случаем кражи 5 млн паролей к ящикам Gmail

10.09.2014

Накануне появилась информация о том, что в интернете опубликована база логинов и паролей к 4,9 миллиона почтовых ящиков Gmail. Это уже третий подобный скандал за последнюю неделю вслед за появлением информации о том, что скомпрометировано 4,5 миллиона почтовых аккаунтов Mail.ru.

МОСКВА, 10 сен — РИА Новости. Американская интернет-корпорация Google разбирается со случаем возможной кражи почти 5 миллионов логинов и паролей к почтовым ящикам принадлежащего ей сервиса электронной почты Gmail, заявили РИА Новости в пресс-службе компании.

Накануне появилась информация о том, что в интернете опубликована база логинов и паролей к 4,9 миллиона почтовых ящиков Gmail. В частности, сообщение об этом было размещено на форуме Bitcoin Security. Это уже третий подобный скандал за последнюю неделю вслед за появлением информации о том, что скомпрометировано 4,5 миллиона почтовых аккаунтов Mail.ru и более 1 миллиона почтовых ящиков "Яндекса".

"Google постоянно разрабатывает новые уровни безопасности для защиты аккаунтов наших пользователей. Наши специалисты сейчас разбираются, что произошло в данном случае", — сказали в пресс-службе Google.

Создатель Android Энди Рубин уходит из Google

Создатель мобильной операционной системы Android Энди Рубин покидает Google, оставляя ей лидерство на самом быстрорастущем рынке. Как сообщает издание The Wall Street Journal, обе стороны уже подтвердили уход. Что касается дальнейшего трудоустройства Рубина, то он запустит «инкубатор для стартапов, заинтересованных в создании аппаратных продуктов». Других подробностей пока не сообщается.
Отметим, что новости об уходе Энди Рубина из Google следуют менее чем через два года после того, как он уступил роль лидера команды Android и начал принимать участие в других проектах Google, в том числе проектах по созданию робототехники. Тогда бразды правления перешли Сундару Пичаи, который возглавляет команду Android и по сегодняшний день.

Напомним, что в 2000 году Энди Рубин стал со-основателем компании Danger, которая является автором популярного смартфона T-Mobile Sidekick. В 2003 году он ушел из Danger, Inc. и стал со-основателем Android, Inc., на которую сразу же обратила внимание Google и через 2 года выкупила ее.

Google: «хищение вручную» более опасно, чем автоматический захват системы

Тщательно продуманные атаки, совершенные вручную и нацеленные на определенного пользователя, являются наиболее эффективными.

По данным исследования, проведенного специалистами компании Google, далеко не все злоумышленники при похищении финансовых данных пользователей используют автоматические боты. Как оказалось, наиболее эффективными и наносящими больший ущерб являются тщательно продуманные атаки, совершенные вручную и нацеленные на определенного пользователя.
Исследователи проанализировали инциденты хищения учетных записей пользователей с использованием различных сервисов Google за период с 2011 по 2014 годы. Рассматривались методы, которые применяли преступники для получения доступа к аккаунтам и способы их эксплуатации и монетизации.
Для удобства исследования специалисты определили понятие «хищение вручную» (manual hijack) как инцидент, где мошенник в течение длительного времени эксплуатирует учетную запись жертвы для получения финансовой выгоды. Как выяснилось, такие инциденты случаются достаточно редко – всего по девять в день, что не так много, учитывая многомиллионную аудиторию Google.
Тем не менее, такие атаки наносят гораздо больше ущерба, чем массовые автоматические хищения данных учетных записей пользователей. В большинстве случаев для получения учетных данных пользователя преступники использовали фишинговые сообщения электронной почты и фиктивные web-сайты. Что интересно, вход в порядка 20% учетных записей был совершен менее чем через 30 минут после похищения учетных данных. Как правило, преступникам хватало 3 минут, для того чтобы изучить учетную запись и решить, стоит ли она дальнейшей компрометации.
Для того чтобы определить «ценность» учетной записи, мошенники ориентировались на слова «банк», «денежный перевод» или «инвестиция». При этом преступники блокировали доступ к аккаунту для его законного владельца.
Как отмечают в Google, полученные данные были использованы для реализации изменений в системах и настройках безопасности компании.

YouTube полностью перешел с Flash на HTML5. Пользователи раздражены

Крупнейший видеохостинг YouTube, принадлежащий корпорации Google, отказался от использования Adobe Flash в качестве технологии для воспроизведения видео в веб-браузерах по умолчанию. Место Flash заняла технология HTML5, сообщил в блоге хостинга руководитель технических работ в YouTube Ричард Лейдер (Richard Leider).

Google около пяти лет назад ввела в YouTube наряду с Flash поддержку HTML5. Однако, если пользователь желал получать видео именно в формате HTML5, до сих пор ему для этого приходилось проходить по ссылке YouTube.com/HTML5.
Компания не делала HTML5 стандартом по умолчанию из-за некоторых присутствующих в нем ограничений. Наиболее важным из них было отсутствие поддержки метода Adaptive Bitrate (ABR), рассказал Лейдер. ABR позволяет сократить время буферизации при медленном соединении и открывать большее количество видеороликов одновременно за счет автоматической адаптации параметров видео, таких как разрешение и битрейт. По данным YouTube, ABR позволил сократить время буферизации на 50% в среднем и на 80% — в перегруженных сетях.

Помимо отсутствия поддержки ABR, в HTML5 были и другие недочеты. «Последние четыре года вместе с разработчиками браузеров их устранили, и теперь YouTube использует тег HTML5 по умолчанию в Chrome, IE 11, Safari 8 и бета-версиях Firefox», — сообщил Лейдер.
Пользователи нововведение YouTube восприняли неоднозначно. Трое из них в комментариях к записи сослались на баг в Google Chrome, возникающий при обработке тега video . Он заключается в том, что браузер создает два HTTP-запроса при открытии видео, один из которых висит до тех пор, пока пользователь не закроет вкладку. Это приводит к тому, что при открытии большого количества вкладок с видео, видео на новых вкладках не начинает грузиться, пока не будут закрыты другие вкладки (с подвисшими запросами). «Вы не оставляете нам другого выбора, кроме как перейти на Firefox, так как такая работа браузера раздражает», — написал в комментариях Дэвин МакКейб (Devin McCabe).

Технология Flash позволяет создавать анимацию на веб-сайтах. Она была разработана компанией Macromedia, а в 2005 г. эта компания была приобретена корпорацией Adobe Systems (разработчиком Photoshop и других популярных программ для работы с графикой).
В последние годы многие компании стали отказываться от поддержки Flash в своих продуктах, включая Microsoft (в Internet Explorer для Windows 8) и Google (в Android). Считается, что толчком к таким решениям послужило открытое письмо бывшего главы Apple Стива Джобса (Steve Jobs), опубликованное им в 2010 г. В письме Джобс объяснил, что они не добавляют поддержку Flash в мобильную платформу iOS из-за того, что она слишком медленно работает, потребляет много энергии и содержит большое количество уязвимостей.

Язык разметки веб-страниц HTML5 лишен этих недостатков, прежде всего, потому что это открытая технология, разрабатываемая совместно большим количеством компаний (в их число входят и Google, и Apple). Технология Flash, в свою очередь, является проприетарной, закрытой. Напомним, что работа над спецификацией HTML5 была завершена в октябре 2014 г.

Google подтвердила планы по созданию оператора беспроводной связи​

Руководитель Google по продуктам Сандар Пичай (Sundar Pichai) заявил в ходе выступления на международной выставке Mobile World Congress 2015 о намерении корпорации создать собственный сервис беспроводной связи. Он подчеркнул, что сервис создаётся в порядке эксперимента, подобно старту выпуска мобильных устройств серии Nexus, которые не стали конкурентами устройствам партнёров Google.
Сервис беспроводной связи Google не будет крупным, поэтому никакой угрозы для таких операторов, как AT&T, Verizon и T-Mobile, не представляет. Его созданием корпорация намерена раскрыть в полной мере возможности для развития, имеющиеся в данном сегменте деятельности.

По словам Пичая, это будет виртуальный оператор сотовой связи (Mobile Virtual Network Operator, MVNO), использующий для оказания услуг под собственным брендом арендованную инфраструктуру другого оператора.

Новый сотовый оператор приступит к работе в ближайшие месяцы. По слухам, Google привлекла для его создания компании Sprint и T-Mobile.
Несмотря на то, что новый сервис будет ограниченным, отметим, что практически любой проект Google потенциально оказывает стимулирующее влияние на развитие отрасли благодаря внедрению новшеств в аппаратной части и программном обеспечении.

Google втихую запустила хостинг репозиториев

Компания Google этого ещё не объявляла, но она уже начала предоставлять заказчикам облачных услуг бесплатный доступ к бета-версии Cloud Source Repositories — нового сервиса для хранения и редактирования исходного кода на постоянно расширяющейся платформе Google Cloud. В каком-то смысле, этот сервис можно назвать альтернативой Github, хотя сравнивать их сложно, ведь Github — это ещё и полноценная социальная сеть для программистов.​

Вряд ли Google всерьёз рассчитывает переманить пользователей у компаний, которые специализируются на хостинге репозиториев, таких как Github и Atlassian (with Bitbucket). Скорее всего, это просто дополнительная опция для удобства нынешних клиентов. Свой хостинг кода у Google уже был, он назывался Google Code, и компания закрывает его с 25 января 2016 года, сославшись на появление в прошлые годы «большого количества лучших проектов, таких как Github и Bitbucket», куда началась массовая миграция разработчиков. Компания признала, что среди оставшихся проектов — большое количество спама, а сервис начали использовать злоумышленники для размещения вредоносного кода. Чтобы не вредить, компания Google решила закрыть хостинг.

Новый сервис более защищён от злоупотреблений, поскольку доступен только для зарегистрированных пользователей Cloud Source Repositories. Это интегрированная часть общей платформы, позволяющей разрабатывать приложения и управлять ими, естественно, с размещением на хостинге Google.

Cloud Source Repositories можно рассматривать и как симметричный ответ на инициативу Amazon, которая открыла похожий сервис CodeCommit ещё в ноябре 2014 года.

У Microsoft отлично работают репозитории в рамках сервиса Visual Studio Online.

Компания Google, тем временем, сообщила о разработке онлайнового дебаггера Google Cloud Debugger, который умеет инспектировать Java-код на работающем сайте, без замедления работы сайта.

Google потеряла пользовательские данные, потому что в дата-центр ударила молния

Заголовок данной публикации напоминает классическое оправдание школьника: «сегодня я не принес домашнюю работу, потому что мою тетрадь вчера съела собака». Однако корпорация Google действительно потеряла около 0,000001% пользовательских данных, потому что 13 августа 2015 года над дата-центром Europe-West1-b прошла гроза, и в здание ударила молния.

Несмотря на современную защиту от непогоды, порой случаются и такие инциденты, ведь ни одна система защиты от молний не дает стопроцентной гарантии. Корпорация Google обнародовала в блоге официальный отчет о случившемся 13 августа ЧП. Согласно документу, расследование было завершено 17 августа и показало, что в 09:19 PDT 13 августа 2015 года в дата-центр ударили четыре молнии. Удары молний привели к кратковременному отключению электроснабжения. Хотя автоматически системы контроля питания быстро справились с проблемой и восстановили подачу энергии, некоторые недавно записанные данные хранились в системах, чувствительных к перебоям электричества. Большая часть данных, после восстановления электроснабжения, была успешно перемещена в надежные места хранения, хотя для этого потребовалось непосредственное вмешательство в процесс людей.

Как показала последующая проверка: около 5% дисков дата-центра показали по крайней мере одну I/O ошибку во время происшествия. В результате оказались частично или полностью утеряны 0,000001% пользовательских данных.

«Вся ответственность за случившееся лежит на Google. Компания уже работает над программой замены оборудования на менее чувствительное к перепадам электропитания», — гласит официальное сообщение.

Google увеличила максимальный размер приложения до 100 МБ​

Корпорация Google анонсирована важное изменение, которое едва не осталось незамеченным на фоне презентации новых смартфонов Nexus и скорого релиза Android Marshmallow. Разработчики Android совсем скоро смогут вздохнуть свободнее: компания увеличила максимальный разрешенный размер загрузочного файла APK для приложений до 100 МБ.

Напомню, что ранее максимальный размер загрузочного APK составлял 50 МБ, и этого явно было недостаточно для многих приложений, в частности, объемных игр. В основном разработчикам приходилось правдами и неправдами ужимать APK-файл до нужного размера, а потом, после установки приложения, скачивать все оставшееся (порой добрую сотню мегабайт), что также являлось не слишком приятным сюрпризом и для пользователей.

Увеличение лимита до 100 МБ должно существенно облегчить разработчикам жизнь. К примеру, официальное приложение Facebook на сегодня «весит» 43,4 МБ. Разработчикам вряд ли удалось бы внедрить в него какую-либо новую, серьезную функцию, не превысив лимит 50 МБ и не прибегнув ко вторичной дополнительной загрузке.

Посочувствовать в данной ситуации можно лишь владельцам старых и маломощных Android-устройств, которые и безо всякого увеличения лимитов, испытывают вечную нехватку места и памяти.