Компания Google исправила в сервисе «Google Фото» уязвимость, раскрывающую геолокационные данные фотографий пользователей. Если говорить точнее, уязвимость позволяла вызвать так называемую утечку по сторонним каналам в браузере.
Атака работает следующим образом. Сначала злоумышленник заманивает жертву на свой web-сайт, где специальный JavaScript-код пытается подключиться к URL-адресам ее личных страниц в учетных записях. Затем он анализирует время, понадобившееся атакуемому сайту на отправку ответов, и размеры самих ответов (даже в случае ответа «access denied») и сопоставляет эти показатели между собой для выявления в учетной записи жертвы определенных артефактов.
Исследователь компании Imperva Рон Масас (Ron Masas) написал JavaScript-код для эксплуатации функции поиска в «Google Фото». Как только пользователь оказывался на вредоносном сайте, используя его браузер в качестве прокси, JavaScript-код отправлял запросы и осуществлял поиск по учетной записи в «Google Фото».
К примеру, Масас использовал поисковый запрос «мои фото в Исландии» с целью выяснить, бывала ли жертва когда-либо в Исландии. Для этого исследователь измерял размер HTTP-ответа и определял время, требуемое сервису на ответ по данному запросу, даже в случае отсутствия в ответе запрашиваемых фотографий. Масас также отправлял в запросе даты, чтобы выяснить наиболее посещаемые жертвой места.
Подобные атаки по сторонним каналам позволяют узнать много частной информации о пользователях, однако они требуют «личного подхода» к каждой жертве и не подходят для массового сбора данных. Тем не менее, такие атаки могут весьма пригодиться злоумышленникам, преследующим конкретную жертву.
В настоящее время уязвимость в «Google Фото» уже исправлена, однако она может затрагивать и другие сервисы, такие как Dropbox, iCloud, Gmail, Twitter и пр. В прошлом месяце аналогичная проблема была исправлена в Facebook.