Gmail : attention, votre identité pourrait être usurpée !

Publié par Justine le 24 Août 2020 à 22:33

Après une panne la semaine dernière, Gmail est de nouveau touché par un problème technique de taille. Une faille a été détectée sur la célèbre messagerie, dont les conséquences auraient pu être désastreuses.

>>> À lire aussi : Comment supprimer son compte Gmail ? Voici les étapes

Une faille importante sur Gmail

La vidéo du jour

Découverte en avril par Allison Husain, chercheuse en cybersécurité, la faille permettait d’usurper n’importe quelle adresse Gmail ou Gsuite pour envoyer des messages sous une autre identité. C’est sur son blog que la chercheuse explique l’ampleur du problème et a poussé Google à le régler rapidement. Pour comprendre cette faille, il faut connaître les deux principaux dispositifs de sécurité en matière de messagerie électronique.

Le DMARC (Domain-based Message Authentication Reporting and Conformance) et le SPF (Sender Policy Framework) permettent de garantir l’authenticité des emails. L’un identifie les spams et autres mails douteux, alors que l’autre authentifie l’expéditeur. Toutefois ces deux systèmes ont pu être désactivés durant un temps, créant une énorme faille.

Comment usurper une adresse Gmail ?

Pour usurper n’importe quelle adresse Gmail, il fallait se rendre sur la console d’administration Gsuite et désactiver le DMARC et le SPF. Il fallait ensuite créer différentes règles de routages pour les emails entrants pour « appliquer des en-têtes personnalisés, modifier l’objet, ou le destinataire avant qu’il ne soit pris en charge par le reste de l’infrastructure Google », révèle la chercheuse.

Avec ces quelques réglages, il était possible d’envoyer un mail sous une autre adresse qui provient non pas de l’expéditeur d’origine, mais de l’infrastructure interne de Google. Cette faille à portée de tous et surtout des pirates), est très inquiétante et aurait pu avoir des conséquences désastreuses. Sans compter que le premier signalement a eu lieu le 1er avril (non ce n’est pas une blague) et Google a mis un temps fou à résoudre ce problème.

Source : Journal du Geek