Googles G Suite-appar som kommunicerar och eventuellt delar G-Drive- och Gmail-data med icke avslöjade externa tjänster?

Googles appekosystem anses vara säkert, pålitligt och verifierat. Ett par säkerhetsforskare har emellertid väckt några bekymmer över ett stort antal appar från G Suite Marketplace. Forskarna hävdar att flera appar har tillgång till Gmail- och Drive-konton. Även om detta är förståeligt, kommunicerar många av apparna också med icke avslöjade externa tjänster. Detta kan utgöra ett riskabelt tillfälle för hemliga datavägar från Google-konton till overifierade och icke avslöjade platser eller enheter.

Ny forskning utförd av Irwin Reyes och Michael Lack från Two Six Labs involverade omfattande analys av behörigheter som begärts av tredjepartsappar från Google som listas på G Suite Marketplace. Duon hävdar att de upptäckte att många av apparna misslyckades med att installera korrekt på ett test-Google-konto, medan nästan hälften begärde tillstånd att kommunicera med externa tjänster, skapa en bro mellan en användares känsliga Drive- och Gmail-data och omvärlden. För en hel del appar var dataanslutningen oklar och skälen nämndes inte öppet.

Vissa Google G Suite Marketplace-appar har tvivelaktiga behörighetsbegäranden och otydlig anslutning till externa, oupptäckta tjänster?

Forskarna Reyes och Lack sa att de använde ett automatiskt skript för att installera alla de 1392 appar som listades på G Suite Marketplace på ett test-Google-konto. De fortsatte att spela in behörigheterna som var och en av apparna begärde. Från de 1 392 appar som de testade misslyckades 405 med många fel. Från de återstående 987 apparna som kunde installeras krävde 889 appar åtkomst till användardata via Googles API: er. Det behöver inte läggas till, detta utlöste en begäran om tillstånd som majoriteten av användare vanligtvis beviljar.

Det är oroande att notera att nästan hälften eller 481 appar från G Suite Marketplace begärde tillstånd att kommunicera med externa tjänster. Detta möjliggjorde i huvudsak skapandet av en virtuell bro mellan en användares känsliga Drive och Gmail-data och tjänster som låg utanför Googles portfölj. Av dessa 481 appar kunde 21 procent (103 appar) komma åt och interagera med Google Drive-filer, 17 procent (81 appar) kunde komma åt och interagera med e-postinkorgar, och 3 procent (15 appar) kunde komma åt och interagera med kalenderdata.

Det är viktigt att tillägga att flera tillägg har legitima skäl att ansluta till säkra externa tjänster. Men forskarna hävdar att de upptäckte att ett obehagligt stort antal appar inte verkade ha en tydlig anledning att upprätta en anslutning till externa tjänster.

Det är oroande att notera att användarna inte har någon inblick i vilken extern tjänst G Suite-apparna kan kommunicera. Dessutom finns det ingen information om kommunikationens art och syfte. Användare har endast appbeskrivningar och sekretesspolicyer som frivilligt tillhandahålls av apputvecklarna för att försöka förstå orsaken, syftet och karaktären för kommunikationen med en G Suite Marketplace-app och en extern tjänst.

Google implementerar inte strikt begränsningar som är införda för "icke-verifierade" appar?

Bortsett från kommunikationen med externa tjänster hävdade forskare att det finns ytterligare ett problem med G Suite Marketplaces granskningsprocess eller bristen på den. Granskningsprocessen är obligatorisk för alla appar som skickas till marknaden. Processen blir ännu strängare och längre för appar som gör API-samtal som Google klassificerar som antingen känslig eller begränsad.

Granskningsprocessen för appar som gör känsliga API-samtal kan sträcka sig från 3 till 5 dagar. Under tiden kan appar som gör ”Begränsade” API-samtal eller interagerar med användarens Gmail- eller Google Drive-data ta var som helst mellan 4 och 8 veckor.

För att tillfälligt kringgå en så lång gransknings- och godkännandeprocess tillåter Google apputvecklare att lista appar som ”overifierade” på G Suite Marketplace. Google slår bara en varningsetikett i form av ett helsidesmeddelande som varnar användarna för risken att installera en potentiellt farlig app som ännu inte har gått igenom sin granskningsprocess. Det finns ytterligare en begränsning som försöker begränsa "overifierade" G Suite-appar till bara 100 installationer.

Men forskare hävdar att de fann att många overifierade appar hade fått mer än 100 användare när de väntade på att granskas. Detta tyder starkt på att Google avsiktligt slappnar av "100 nya användare" -gränsen.

Sådan praxis eller dålig implementering av policyer kan lätt ge upphov till skadliga appar som laddas upp i butiken med det enda syftet att samla in data från Google-användare. Majoriteten av Googles G Suite-paketanvändare kommer från företagssektorn. Detta ökar avsevärt risken för socialteknikhackar och liknande attacker.

Forskarna föreslår att man flyttar processen eller söker och beviljar tillstånd från installationsproceduren till den tid appsna faktiskt behöver särskilt tillstånd för första gången. Reyes och Lack-krav, flyttar från installationstid till behörighet, förbättrar avsevärt chansen att användare märker misstänkta appar och backtrack eller nekar att ge tillstånd.