سلام.
دوست خوب ، جریانی که تعریف کردین میتونه دلیل بر نا امن بودن سرویس میل شرکت یاهو باشه ولی دلالت بر امن بودن دیگر سرویسها مثل سرویس گوگل نمیکنه .
گوگل سرویس بسیار خوبی داره ولی حملات خیلی گسترده ای میتونه از طریق مشکلاتی که توی سرویسهای مختلف سایت گوگل وجود داره به سمت کاربران هدایت بشه .
مثلاً حملات Cross site scripting موسوم به xss و حملات redirect موجود توی گوگل همچین تعداد کمی نداشته ، جالب اینکه حملات کاملاً روی خود سایت Google بوده و خبری از sub domain یا سرویس های دیگه نبوده که خوب این خودش میتونه خبر از نا امن بودن رو برسونه .
این هم از لینک اثبات حرفم :
کد:
http://www.xssed.com/search?key=google
از طرف دیگه الان با گسترشی که حملات bot ها ، malware ها و ... پیدا کردن و هر روزه بیشتر میشه و از طرفی که سرویسهای امنیتی شرکتی مثل HackerSafe ، scanalert.com ، ریسک پذیر هستن و الان خبرهای زیادی توی رسانه ها دلالت بر این داره که دیگه HackerSafe وجود نداره و تبدیل شده به HackerUnsafe و با وجود اینکه سرویس hacker safe مربوط به شرکت آنتی ویروس MacAfee هست و کلیه کارکنان hacker safe از بچه های MacAfee هستن شما انتظار دارین سرویسی مثل یاهو امنیت کاملی داشته باشه ؟ :)
تیم hacker safe از معدود تیمهایی توی دنیا هست که واقعا توی pen-testing حرف برای گفتن دارن ولی الان ثابت شده که خود سایت این تیم به آدرس scanalert.com و همچنین سایت MacAfee که یک سایت آنتی ویروس هست آسیب پذیریهای زیادی نسبت به حملات xss و redirect دارن .
متاسفانه فکری که باعث میشه بیشتر فکر کنیم مشکل از یک سرویس هست تا خود ما اینه که تمام وظیفه را بر روی دوش شرکت ارائه کننده سرویس میذاریم (به فرض مثال سرویس میل) . در صورتی که اطلاعات خوب کاربران ، استفاده از platform مناسب ، استفاده از نرم افزار IM مناسب و همچنین بهره گیری از برنامه های Third party software برای افزایش امنیت بیشترین تاثیر رو داره که خیلی از کاربران از این مسئله غافل هستن .
با اینکه خود سرویس میل گوگل از سرویس میل یاهو امنیت بیشتری داره ولی شرکت گوگل به حریم خصوصی کاربران تجاوز میکنه و تمام event هائی که صورت میگیره را به صورت کامل monitor میکنن که شما کجا میرین ، چی کار میکنین و ...
به هر صورت من فکر میکنم افزایش سطح اطلاعات خیلی مهم باشه ،
جدای مسائل فوق من فکر میکنم با توضیحی که دوستمون دادن مبنی بر اینکه هیچ گونه فایلی دریافت نکردن و ... من فکر میکنم دوست نفوذگرمون با یک تکنیک Xss که گمان هم میره 0day بوده باشه Cookie های دوستمون را دزدیدن و با اون دارن مانور میدن چون با داشتن Cookie کارای زیادی میشه کرد .
احتملاً دوست ما که آیدیشون از دست رفته روی یک لینک آلوده کلیک کردن و با این کار Cookie هاشون ارسال شده .
اگه موردی نباشه بقیه پاسخ ها رو عصری میدم چون الان کاری دارم که باید انجام بدم .
پیوست : برای نشون دادن نوع حمله اگه عزیزی دوست داشته باشه میتونم به صورت Online نوعی از این حملات را براش شبیه سازی کنم به این صورت که یک آیدی یاهو براش میسازم و بهش میدم (که مال خودش نباشه که ضرر ببینه) و با هم چت میکنیم ، من از سیستمش دسترسی میگیرم و باقی قضایا ... (کش رفتن Cookie و به دست آوردن پسورد سیستم و آیدی و ....)
موفق باشید .
