Google Drive abre backdoor para contas do Google

Os clientes desktop do Windows e do Mac OS X para o serviço de armazenamento Google Drive abrem um backdoor para os usuários de contas do Google que poderia permitir acesso a e-mails, contatos e entradas de calendário do Drive.

A ferramenta sync inclui um link “Visit Google Drive on the web” que abre a interface web do Drive no navegador padrão e automaticamente loga o usuário.  Um pouco problemático é o fato de essa sessão poder ser usada para trocar para outros serviços do Google, como Gmail e Calendar.

Mesmo que o usuário explicitamente faça o log out dos sites do Google, o cliente do Drive abre uma nova sessão sem a necessidade de senha. Os clientes desktop só solicitam credenciais de login apenas uma vez, quando eles são instalados pela primeira vez.

O grande problema do backdoor é quando um usuário compartilha sua conta com outros ou em computadores não protegidos por senha. O link também torna muito simples o acesso a contas do Google de um usuário por trojans.

Mesmo com a autenticação de dois passos do Google não protege os usuários do acesso baseado nesses clientes. Para contas com esse tipo de autenticação, o cliente ainda vai logar em contas de usuários, desde que o código tenha sido inserido quando o cliente foi configurado pela primeira vez. Usuários que desejam continuar utilizando os clientes devem se assegurar de que ninguém mais consegue acessar suas contas em seus sistemas.

Com informações de The H