[NEWS]Servizi WEB Google e proxy server 'particolari'

[Edgar Bangkok]

10 aprile 2008

Qualche tempo fa avevo descritto il problema che si verificava tentando di accedere alla dashboard di blogger dopo aver attivato un server proxy.
http://edetools.blogspot.com/search?q=proxy
In pratica se si era gia loggati dentro ai servizi offerti da Google e quindi la pagina della dashboard di Blogger non richiedeva ulteriore operazione di login, probabilmente, il server proxy restituiva direttamente una pagina di dashboard che aveva memorizzato in precedenza quando utilizzata da altro utente blogger xhe transitava sul medesimo proxy server..

Il dubbio era che questo problema, si presentasse non solo con Blogger ma anche con altri servizi gestiti da Google quali, Gmail, Picasa Web Album ecc....

In effetti non c'e' voluto molto per avere una conferma di questi strani comportamenti dei servizi Google che , a mio avviso, anche se si verificano per colpa di un proxy server, magari settato in maniera alquanto particolare , dimostrano che esiste la possibilta' che vengano resi pubblici dati privati e personali.

I due servizi offerti da Google, oltre a blogger, con questo particolare comportamento sono Gmail e Picasa Web Album ma a questo punto il problema potrebbe interessare anche altri servizi.

Questa e la schermata di Gmail che appare quando il proxy e' attivo e si tenta di leggere le mail della propria casella di posta.
(immagine sul blog)
Si tratta della inbox che mostra le mails ricevute che non hanno nulla a che fare con il proprio account Gmail ma che si riferiscono ad un altro utente.
Da notare che appare un messaggio, in alto nella pagina, che indica qualche problema di caricamento della pagina ma che comunque non ne impedisce la visualizzazione.


Lo stesso comportamento lo abbiamo con Picasa Album.
Se clicchiamo sul link. presente ad esempio nella pagina delle mails ricevute vista adesso, veniamo reindirizzati sulla pagina principale di un album fotografico Picasa di un utente che non necessariamente e' quello della pagina caricata in precedenza ma semplicemente , l'album fotografico dell'ultima persona che ha usato il proxy e la cui home e' conservata nella cache del server.
(immagine sul blog)
La cosa interessante e' che vengono listate tutte le gallery fotografiche di questo utente e chiaramente anche quelli 'private” il cui indirizzo web non e' listato “unlisted”
In questo caso, tra l'altro, le foto diventano subito tutte accessibili, in quanto la modalita' privata delle foto in Picasa Web Album e' solo l'occultamento della url corrispondente alle foto che non volevamo rendere pubbliche.
In altre parole adesso, avendo il link, possiamo visionare tranquillamente tutto l'album che si voleva rimanesse visibile solo a pochi.

Concludendo questi due nuovi problemi che si aggiungono a quello precedente di blogger dimostrano che, la complessita' della gestione direttamente da browser di servizi internet quali caselle di posta, album personali di foto, ecc... abbinata a fattori esterni (es.l'uso di proxy) puo' creare di queste sorprese.
Nel caso visto, un fattore esterno, quale l uso di proxy server forse non standard, ha creato una situazione particolare che ha permesso di visualizzare e rendere pubblico, anche se in maniera parziale, il contenuto di caselle di posta o raccolte di fotografie che dovevano rimanere private.

Non so se Google e' a conoscenza di questo strano comportamento di Gmail, Web Album Picasa e Blogger ma forse il fatto che il problema e' generato solo dall'uso qualche proxy “isolato” probabilmente lo fa considerare, a torto o a ragione, di scarsa importanza ai fini della sicurezza dei nostri dati personali.
Inoltre sembra che solo le pagine in cache del proxy siano disponibili e non si possa entrare ad esempio a visionare i singoli testi delle mails ma, nel caso di Picasa Album, vista la particolare gestione delle foto “unlisted” il fatto di avere il link principale e' gia' sufficiente per poter visionare completamente tutto l'album online anche delle foto private.

In ogni caso credo che programmando opportunamente la procedura di login e il codice che permette di identificare il reale utente che in quel momento richiede la pagina si potrebbero evitare queste 'sorprese' anche quando si accede tramite un proxy server ai servizi Google.

fonte:http://edetools.blogspot.com/2008/04...xy-server.html


Edgar