Un bug trasforma Gmail in un distributore di spam.

Di Guido Sintoni.

Mytech, 13/5/2008.

http://www.mytech.it/news/articolo/idA028001071225.art

Una vulnerabilità di Gmail, il servizio gratuito di posta elettronica offerto da Google e ormai perennemente in beta (ma questo sembra essere un vezzo di tutti i software targati Big G, che tutto sembrano essere tranne che versioni non ancora definitive), rischia di trasformarlo in un distributore di spam involontario ancorché molto efficiente.

Autore della scoperta è l'Information Security Research Team (INSERT), un gruppo di ricerca brasiliano che nel proprio bollettino al riguardo spiega il problema in dettaglio. Si tratta di un attacco di tipo man-in-the-middle che permette a un potenziale spammer di inviare messaggi di posta attraverso i mailserver di Google, aggirandone i sistemi di autenticazione e il tetto massimo di 500 destinatari per messaggio.

In un attacco di tipo man-in-the-middle, l'attaccante si inserisce tra due parti in comunicazione senza che esse sappiano della sua presenza; l'attaccante deveessere in grado di osservare e intercettare il transito dei messaggi tra le due vittime. La vulnerabilità di Gmail è acuita dal fatto che i sistemi di filtraggio della posta indesiderata ritengono legittimi, pressoché nella totalità dei casi, i messaggi provenienti da Google;

certo, oltre al filtraggio della provenienza della posta elettronica (quindi per IP) viene effettuata anche l'analisi dei contenuti, ma un eventuale messaggio non desiderato inviato dai server Google passa indenne un primo, rilevante, punto di controllo. Lo confermano i risultati di un test condotto dai ricercatori di INSERT, che hanno inviato lo stesso messaggio di spam dapprima con un proprio IP e successivamente attraverso un server Google sfruttandone la vulnerabilità sopra esposta: nel primo caso la maggior parte dei sistemi antispam (con quelli di Yahoo e Hotmail su tutti) ha fatto il proprio dovere, nel secondo caso no.

Google non ha rilasciato commenti al riguardo, ma c'è da pensare che Big G sia già al lavoro per ovviare al bug dei propri mailserver: anche perché sfruttare open relay messi involontariamente a disposizione da Google è il sogno di ogni spammer che si rispetti.

Guido Sintoni.