Falha de segurança no Gmail
Este texto podia ser breve, resumindo-se aos pontos 2 e 4. Mas para quê simplificar se se pode complicar? :-) Bom, os parágrafos 2 e 4 são para os apressados e os restantes para os curiosos.
1. Introdução
Dei por uma falha de segurança que afecta os utilizadores que acedam ao Gmail usando o Chrome ou qualquer outro browser que mantenha um histórico de páginas visitadas com amostras de texto.
2. Breve descrição
Usando a funcionalidade do Chrome "Search your history" (Procurar no seu histórico), o browser inclui nos resultados da pesquisa pedaços de texto de mensagens do Gmail, mesmo depois de o utilizador ter terminado a sessão. Isto permite que quem tenha acesso ao computador leia pedaços de mensagens que, supostamente, seriam confidenciais.
3. Descrição técnica
As páginas cujo endereço (URL) comece por https são páginas que se pretendem seguras e, por essa razão, depois de o utilizador deixar uma tal página, os browsers não guardam em disco o seu conteúdo. Por outro lado, as páginas com URL começado por http são páginas sem informação sensível. Por isso o browser guarda-as em disco para que, num próximo acesso, o browser não precise de descarregar os items que não tenham mudado (fotografias, texto, etc.).
Páginas como as de homebanking, sites de compras e de email devem estar associadas a endereços https ou então, estando acessíveis por http, devem dar instruções explícitas ao browser para não as guardar em disco.
No caso do Gmail, quem aceder ao mail pelos endereços http://gmail.com ou http://www.gmail.com virá o conteúdo das mensagens que escrever acessível pelo mecanismo de pesquisa do Chrome. Isto constitui uma falha de segurança. Acedendo ao mail por um destes URL, primeiro chega-se à página de autenticação, a qual tem um URL começado por https. Mas depois de inseridas as credenciais, todas as páginas do Gmail têm URL começado por http, tornando-as passíveis de ser guardadas para uso futuro por parte do browser. Mas acendendo ao Gmail pelo endereço https://mail.google.com, as páginas seguintes continuam a estar em endereços começados por https e, como tal, não serão arquivadas pelo browser.
4. Forma de contornar o problema
Para contornar o problema, aceda ao email sempre pelo endereço https://mail.google.com (no Chrome, digitar também o https:// ).
5. Teste prático
Seguem-se os passos para reproduzir o problema.
a) Primeiro, limpar todo o histórico.
b) De seguida entrar no mail com o endereço https://mail.google.com (digitar também o https://) Enviar um email como por exemplo da figura:
assunto: Loose secrets
mensagem: Don't write if reading is out of question.
c) Terminar a sessão do Gmail e clicar no ícone 
para abrir um novo separador. Na caixa de pesquisa à direita procurar o texto Loose. A pesquisa não deve devolver resultados.
d) Volte a entrar no mail mas pelo endereço http://gmail.com. Responda à mensagem anterior com: Well, are loose secrets important?
e) Termine novamente a sessão do mail e volte a abrir um separador. Volte a pesquisar o texto Loose e repare como agora a pesquisa devolve texto do mail.
6. Conclusões
O Gmail já foi dado pela Google como um produto estável há algum tempo. Claro que isto nunca impediu que os problemas existissem na mesma. Neste caso, a gravidade do problema depende do que esta inconfidência revelar e a quem o revelar. Imagine que está num local público e dados privados seus são revelados. Ou que o seu email é tornado público. Ou simplesmente, que uma mensagem comprometedora, como esta que preparei na imagem do lado, cai nas mãos erradas!
Há ainda um pormenor adicional. Repare-se que na versão do Gmail em que se entra pelo https não há anúncios mas estes já existem quando se entra pelo http. Isto é compreensível, já que os endereços https não podem incluir conteúdos exteriores ao próprio domínio, como seriam os anúncios que a google disponibiliza através do seu servidor de anúncios (mas que tem outro endereço).
Finalmente, é muito fácil corrigir este problema. Basta na página do mail instruir o browser para não arquivar conteúdos das páginas do mail. Algo que se faz desde o tempo dos primeiros browsers. Esquecimento? É possível. Se bem que é um erro básico.
Adenda 19-07-2009
Reportei a falha de segurança ao Google. É de correcção realmente fácil, logo espero que a corrijam rapidamente.
1. Introdução
Dei por uma falha de segurança que afecta os utilizadores que acedam ao Gmail usando o Chrome ou qualquer outro browser que mantenha um histórico de páginas visitadas com amostras de texto.
2. Breve descrição
Usando a funcionalidade do Chrome "Search your history" (Procurar no seu histórico), o browser inclui nos resultados da pesquisa pedaços de texto de mensagens do Gmail, mesmo depois de o utilizador ter terminado a sessão. Isto permite que quem tenha acesso ao computador leia pedaços de mensagens que, supostamente, seriam confidenciais.
3. Descrição técnica
As páginas cujo endereço (URL) comece por https são páginas que se pretendem seguras e, por essa razão, depois de o utilizador deixar uma tal página, os browsers não guardam em disco o seu conteúdo. Por outro lado, as páginas com URL começado por http são páginas sem informação sensível. Por isso o browser guarda-as em disco para que, num próximo acesso, o browser não precise de descarregar os items que não tenham mudado (fotografias, texto, etc.).
Páginas como as de homebanking, sites de compras e de email devem estar associadas a endereços https ou então, estando acessíveis por http, devem dar instruções explícitas ao browser para não as guardar em disco.
No caso do Gmail, quem aceder ao mail pelos endereços http://gmail.com ou http://www.gmail.com virá o conteúdo das mensagens que escrever acessível pelo mecanismo de pesquisa do Chrome. Isto constitui uma falha de segurança. Acedendo ao mail por um destes URL, primeiro chega-se à página de autenticação, a qual tem um URL começado por https. Mas depois de inseridas as credenciais, todas as páginas do Gmail têm URL começado por http, tornando-as passíveis de ser guardadas para uso futuro por parte do browser. Mas acendendo ao Gmail pelo endereço https://mail.google.com, as páginas seguintes continuam a estar em endereços começados por https e, como tal, não serão arquivadas pelo browser.
4. Forma de contornar o problema
Para contornar o problema, aceda ao email sempre pelo endereço https://mail.google.com (no Chrome, digitar também o https:// ).
5. Teste prático
Seguem-se os passos para reproduzir o problema.
a) Primeiro, limpar todo o histórico.
b) De seguida entrar no mail com o endereço https://mail.google.com (digitar também o https://) Enviar um email como por exemplo da figura:assunto: Loose secrets
mensagem: Don't write if reading is out of question.
c) Terminar a sessão do Gmail e clicar no ícone para abrir um novo separador. Na caixa de pesquisa à direita procurar o texto Loose. A pesquisa não deve devolver resultados.
d) Volte a entrar no mail mas pelo endereço http://gmail.com. Responda à mensagem anterior com: Well, are loose secrets important?
e) Termine novamente a sessão do mail e volte a abrir um separador. Volte a pesquisar o texto Loose e repare como agora a pesquisa devolve texto do mail.6. Conclusões
O Gmail já foi dado pela Google como um produto estável há algum tempo. Claro que isto nunca impediu que os problemas existissem na mesma. Neste caso, a gravidade do problema depende do que esta inconfidência revelar e a quem o revelar. Imagine que está num local público e dados privados seus são revelados. Ou que o seu email é tornado público. Ou simplesmente, que uma mensagem comprometedora, como esta que preparei na imagem do lado, cai nas mãos erradas!Há ainda um pormenor adicional. Repare-se que na versão do Gmail em que se entra pelo https não há anúncios mas estes já existem quando se entra pelo http. Isto é compreensível, já que os endereços https não podem incluir conteúdos exteriores ao próprio domínio, como seriam os anúncios que a google disponibiliza através do seu servidor de anúncios (mas que tem outro endereço).
Finalmente, é muito fácil corrigir este problema. Basta na página do mail instruir o browser para não arquivar conteúdos das páginas do mail. Algo que se faz desde o tempo dos primeiros browsers. Esquecimento? É possível. Se bem que é um erro básico.
Adenda 19-07-2009
Reportei a falha de segurança ao Google. É de correcção realmente fácil, logo espero que a corrijam rapidamente.
Se as pessoas não usassem o Cromo, perdão, o Chrome nunca teriam este problema.
Por exemplo, mesmo que o acesso seja HTTP e não HTTPS, no Firefox 3.5+, as passwords assim como o histórico são armazenadas em SQLlite e obrigaria qualquer hacker de meia-tijela a hackar primeiro o computador e não somente o browser.
Bem apanhado, J. Isto reforça o que se diz do Chrome.
Pode ser que um dia destes escreva um tutorial de segurança em browsers. Hoje não me apetece. LOL