Google repareert authenticatielek Android

Maastricht, 19-05-2011 – Google heeft bekendgemaakt dat het een update uitbrengt voor zijn authenticatiemethode ClientLogin voor Android. Toegang krijgen tot Google-diensten, zoals de agenda- en contactenfunctionaliteit, moet nu veiliger worden.

Volgens het officiële statement van Google, dat gepubliceerd werd door Computerworld, houdt de update in dat kwaadwillenden niet langer persoonlijke informatie kunnen stelen via Googles agenda- en contactenfunctionaliteit. De fix wordt in de komende dagen wereldwijd uitgerold op de servers van Google, waardoor gebruikers niet zelf hoeven te updaten.

Google spreekt alleen van een update voor zijn agenda- en contactendienst. Uit een eerder gepubliceerd onderzoek blijkt echter dat het via de Picasa-dienst van Google ook mogelijk is om persoonlijke informatie te onderscheppen. Mogelijk brengt de internetgigant hiervoor later nog een update uit. Ook kunnen ontwikkelaars van Android-applicaties in hun software gebruikmaken van de authenticatiemethode, die ClientLogin wordt genoemd.

Duitse onderzoekers maakten onlangs bekend dat het mogelijk is om authenticatietokens te onderscheppen die Google-servers versturen als een gebruiker verbinding wil maken met Google-diensten. Hierdoor kunnen hackers data stelen die bij het desbetreffende account hoort. Dit is mogelijk omdat de servers van de internetgigant het token over een http-verbinding versturen, in plaats van https. In de nieuwste versies van Android, 2.3.4 voor smartphones en 3.0 voor tablets, is het probleem al verholpen, maar slechts weinig gebruikers draaien deze versies. Met de update moet het gebruiken van Googles agenda- en contactenfunctionaliteit voor alle Android-eigenaren veilig zijn.

Bron: via Tweakers