Google: Falhas no SSO do Android Compromete Contas

Quando se trata de sistema Android, o Google sempre precisa tomar medidas de segurança mais drásticas, de acordo com algumas considerações feitas pelo pesquisador de segurança da Tripwire, Craig Young. Durante sua recente apresentação na Def Con, em Las Vegas, ele demonstrou que uma falha de segurança na função single sign-on do Android (SSO) pode resultar em ataques comprometedores contra as contas dos usuários do Google Apps.






O recurso permite que os usuários possam fazer autenticação em aplicativos de terceiros usando as suas credenciais da conta do Google, sem realmente revelá-las. O sistema gera um token "weblogin" (em forma de um cookie), e isso permite aos crackers a possibilidade de dar um bypass no pedido de solicitação de senha do Google Apps. O token "weblogin" pode ser adquirido de várias maneiras: através de um aplicativo malicioso, um exploit root, o acesso físico a um dispositivo que já estiver logado ou através de ferramentas de extração de memória utilizada por peritos forenses.


Saiba Mais:

[1] Net Security http://www.net-security.org/secworld.php?id=15368