تحقیقات جدید نقص امنیتی در سیستم احراز هویت “Sign in with Google” گوگل را فاش کرده که از طریق سوءاستفاده از تغییر مالکیت دامنه امکان دسترسی به داده‌های حساس را فراهم می‌کند. دیلن آیری، مدیرعامل شرکت Truffle Security، اعلام کرد که سیستم OAuth گوگل در برابر خرید دامنه‌های استارتاپ‌های ورشکسته و بازسازی حساب‌های ایمیل کارمندان سابق محافظت نمی‌کند، که این امر امکان ورود به انواع سرویس‌های SaaS از جمله OpenAI ChatGPT، Slack، Notion، Zoom و حتی سیستم‌های منابع انسانی را فراهم می‌آورد.
این آسیب‌پذیری بالقوه داده‌های میلیون‌ها کاربر آمریکایی را در معرض خطر قرار می‌دهد، زیرا مهاجمان می‌توانند با خرید دامنه‌های منقرض شده به اطلاعات حساسی نظیر اسناد مالیاتی، فیش‌های حقوقی، شماره‌های تأمین اجتماعی و اطلاعات بیمه دسترسی یابند. گوگل ابتدا این مسئله را رفتار عادی سیستم اعلام کرد، اما در ۱۹ دسامبر ۲۰۲۴ گزارش باگ را مجدداً بازگشایی کرده و جایزه‌ای ۱۳۳۷ دلاری به کاشف اهدا کرده است. شرکت توصیه می‌کند که مشتریان هنگام بستن حساب‌ها تمام داده‌های کاربری را پاک کنند و توسعه‌دهندگان از فیلد “sub” به عنوان شناسه منحصربه‌فرد کاربر استفاده کنند.
کلمات کلیدی : نقص امنیتی گوگل, Sign in with Google, OAuth گوگل, آسیب‌پذیری امنیتی, تغییر مالکیت دامنه, داده‌های حساس
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.