.

Agora parece que é pra valer: um comunicado da Google afirma que foi consertado definitivamente um problema de segurança que ocorria em seu serviço de e-mails Gmail. Mas como quase tudo na vida, as coisas podem não ser tão simples assim.
O sistema de autenticação, baseado exclusivamente em cookies, permitia que os usuários se logassem não só no Gmail mas em outros serviços sob a bandeira Google. O que estava acontecendo de errado é que as pessoas que acessavam esses serviços - em especial o de busca de ofertas e comparação de preços chamado Froogle - também podiam acessar contas do Gmail por causa justamente desse sistema unificado de autenticação de cookies.

Assim, bastava invadir uma máquina e roubar alguns cookies, já que algumas informações contidas neles podiam ser copiadas separadamente e usadas para entrar em contas diversas do Gmail.

Um hacker israelense chamado Nir Goldshlager fez uma demonstração de como o bug acontecia. Os usuários eram induzidos a executar um script clicando em um link direcionado para o Froogle e que por sua vez era redirecionado para um site que roubava nomes de usuários e senhas do sistema centralizado de login "Google Accounts" (Contas Google).

Depois disso, Goldshlager diz que o problema deve persistir por algum tempo já que as senhas que foram roubadas ainda estão ativas, mesmo depois de o defeito ter sido corrigido. "O sistema autentica o hacker como sendo a vítima, já que ele está usando o código que obteve do cookie que roubou", explicou Goldshlager. "Como não é necessáro o uso de senha no processo de autenticação, a vítima pode até mudá-la várias vezes que mesmo assim o hacker continuará a acessar sua caixa de entrada"

(Boletim de Informática - Terra)