Съдържание

/sign-in-with-google-take-back-access/sign-in-with-google-take-back-access.png

Пълен курс по етично хакерство: от нулата до експерт

Хаквайте като „черните шапки“ (black hat хакерите). Тестване за проникване, Kali Linux, хакване на WiFi и уеб, както и хакерското мислене зад всичко това.

Този малък бутон „Вход с Google“ тихомълком е предоставил на десетки приложения път към вашите профили, а смяната на паролата не блокира достъпа на повечето от тях. Те са били одобрени с едно щракване преди години и никога повече не сте ги поглеждали.

Познавате този бутон. Той стои на една след друга страници за регистрация, точно под празното поле за потребителско име. Вход с Google (Sign in with Google). Или с Apple, Microsoft, Facebook, GitHub. Натискате го, избирате профила, който вече имате, и сте вътре – без да измисляте нова парола и без да записвате нищо. Усеща се като лесния и безопасен избор, и обикновено е така.

Вижте обаче какво предавате, когато го натиснете. Вие казвате на този уебсайт да отиде и да попита Google кои сте вие, и Google гарантира за вас. Паролата ви никога не достига до уебсайта. Тази част е добра. Слабата парола, която бихте избрали за някой случаен форум – тази, която използвате повторно навсякъде – така и не бива създадена, а един сигурен профил с двуфакторна автентикация замества всички тях.

Проблемът е, че този единствен профил сега е входът към всички останали. Вашият имейл, вашите файлове, старите ви сайтове за пазаруване, онова приложение, което сте пробвали веднъж и сте забравили: всички те разчитат на Google да потвърди, че вие сте си вие. Така че, ако някой проникне в профила ви в Google, имейлът ви е най-малкият проблем. Той може да влезе направо и в тези други профили, без да се налага да разбива допълнителна парола.

Пробивът в сигурността е само един от начините нещата да се объркат. Може да се случи и обратното. Ако Google, Apple или Facebook заключат или спрат профила ви – заради правило, което сте нарушили неволно, или поради грешка от тяхна страна – достъпът до всяка услуга, в която сте влизали чрез тях, спира да работи в същия миг. Вашата поща, вашите файлове, магазините, инструментите, а понякога и профили със свързани към тях пари – всичко се затваря наведнъж и вие оставате да спорите с формуляр за поддръжка, за да си върнете каквото и да било. Един профил е държал всичко, така че един профил може и да отнеме всичко.

С това идва и една по-тиха цена. Всеки път, когато използвате бутона, Google си отбелязва, че сте го направили, и през годините това се превръща в подредена картина на местата, които посещавате: магазините, форумите, инструментите, приложенията, които бихте предпочели да запазите за себе си. Бутонът е удобен и предава този постоянно обновяващ се списък направо на Google.

Два вида свързани приложения

Отворете списъка с приложения, свързани с вашия профил, и ще видите пълна бъркотия. Някои от тях използват Google само за да ви впишат. Това е всичко. Те ви пропускат да преминете и не пипат нищо друго. Други са поискали повече и вие сте казали „да“, без да се замислите, защото екранът е преминал бързо.

Точно за този втори вид трябва да внимавате. Когато за първи път сте го свързали, се е появил екран със списък на това, което приложението иска. Ако е поискало само вашето име и имейл, това е обикновено влизане. Но ако е поискало да чете имейлите ви, да отваря файловете ви или да публикува от ваше име, и вие сте натиснали „Разреши“ (Allow), това приложение вече може да бърка в профила ви, когато си поиска, докато не го спрете.

Да кажем, че сте се регистрирали в приложение за снимки преди три години чрез „Вход с Google“ и сте му дали достъп до вашия Drive. Ако то е продължило да се свързва оттогава насам, все още има достъп до файловете ви, а вие не сте се сетили за него нито веднъж. Едно нещо работи във ваша полза: Google оставя достъпа на дадена връзка да изтече след шест месеца без използване, така че някое отдавна забравено приложение може все още да стои в списъка ви, но вече да няма работещ достъп. Тези, които все още тихо се синхронизират във фонов режим, са онези, които остават опасни, особено ако въпросната компания междувременно е била продадена или е претърпяла пробив в сигурността.

Ето една проста проверка за следващия път, когато се появи този екран. Запитайте се дали приложението наистина се нуждае от това, което иска. Една игра няма причина да чете вашия Gmail. Един филтър за снимки няма причина да вижда контактите ви. Ако искането е по-голямо от самата задача, това е вашият сигнал да се откажете, вместо да натискате „Разреши“.

Три неща, които изглеждат безопасни, но не правят нищо

Тук обикновено се провалят опитите за разчистване. Правите очевидното нещо, чувствате се по-сигурни, а връзката все още стои там широко отворена, защото очевидното действие изобщо не я е засегнало. Тези три неща се повтарят отново и отново.

Смяната на паролата ви почти не помага. Приложението работи с отделен токен – дълъг код, който ви замества – и то пази този код независимо от вашата парола. Новата парола прекъсва достъпа само на приложения, които могат да четат вашия Gmail; връзките за вход и приложенията, които имат достъп до вашия Drive, календар или контакти, продължават да си работят безпроблемно.

Изтриването на приложението от телефона ви също не помага. Това разрешение стои във вашия профил в Google или Apple, горе на техните сървъри, а не в приложението на телефона ви. Изтрийте приложението и профилът все още ще го допуска вътре.

Премахването на връзката не изтрива онова, което приложението вече е взело. Прекъснете достъпа му днес и то ще спре да получава нови неща, но каквото вече е копирало, си остава на неговите сървъри. За тази цел трябва да отворите самото приложение и да изтриете профила си там.

Ако това звучи теоретично, съвсем не е така. На 1 септември 2026 г. ФБР (FBI) издаде предупреждение за атака, наречена фишинг чрез съгласие (consent phishing). Някой създава легитимно изглеждащо приложение, изпраща ви връзка и вие попадате на истински екран на Google или Microsoft, който ви моли да натиснете „Разреши“ (Allow). Натискате го, мислейки си, че е нещо нормално. Никаква парола не бива открадната, защото атакуващият не се нуждае от такава.

От ФБР обясниха ясно трудната част: след като веднъж сте натиснали „Разреши“, смяната на паролата няма да ви отърве от тях. Достъпът „може да бъде отменен само ако жертвата анулира токена в настройките за сигурност на своето приложение“. С други думи, трябва да влезете в списъка и да го премахнете ръчно.

Какво да направите, стъпка по стъпка

Разчистването на всичко това отнема около петнадесет минути и трябва да го направите както трябва само веднъж. Ето къде да отидете.

Едно нещо, което трябва да уредите, преди да започнете да премахвате връзки. Ако даден сайт ви е допускал само чрез „Вход с Google“ и никога не сте задавали парола за него, в момента, в който премахнете тази връзка, ще останете заключени извън собствения си профил там. Затова за всичко, което все още искате да запазите, първо отворете съответния сайт, задайте парола или добавете втори начин за влизане и едва след това прекъснете връзката с Google. За нещата, с които сте приключили, просто премахнете връзката и продължете напред.

Започнете с Google, тъй като той е най-големият.

  • → Отворете myaccount.google.com/linkedapps на телефона или лаптопа си.
  • → Докоснете филтъра, който гласи „Sign in with Google“ („Вход с Google“), за да видите сайтовете, в които влизате по този начин.
  • → Докоснете някой от тях, отворете „See details“ („Преглед на подробностите“) и изберете „Stop using Sign in with Google“ („Спиране на използването на Вход с Google“). Направете това за всичко, което не разпознавате или не сте използвали през последната година.
  • → След това превключете филтъра на „Access to your Google Account“ („Достъп до профила ви в Google“). Тези приложения могат да четат данните ви, затова тук бъдете по-строги. Докоснете всяко, на което нямате доверие, и изберете „Remove access“ („Премахване на достъпа“).

Останалите работят по същия начин, но на различно място.

  • → Apple: на вашия iPhone отворете „Settings“ („Настройки“), докоснете името си най-горе, след което „Sign in with Apple“ („Вход с Apple“). На компютър отидете на account.apple.com и потърсете в секцията „Sign-In and Security“ („Вход и сигурност“). Докоснете дадено приложение и изберете да спрете да го използвате.
  • → Microsoft: отидете на account.microsoft.com, отворете „Privacy“ („Поверителност“) и намерете приложенията и услугите, които имат достъп до данните ви (директната връзка е microsoft.com/consent). Изберете приложението и премахнете разрешенията му.
  • → GitHub: отидете в „Settings“ („Настройки“), след това „Applications“ („Приложения“) и после „Authorized OAuth Apps“ („Оторизирани OAuth приложения“). Докоснете всичко старо или непознато и изберете „Revoke“ („Отмяна“). Едно предупреждение: в GitHub това премахва и всички ключове, които приложението е настроило за вас, затова проверете внимателно, преди да изчистите инструмент, който все още използвате.
  • → Facebook: отворете „Settings and privacy“ („Настройки и поверителност“), след това „Settings“ („Настройки“) и после „Apps and websites“ („Приложения и уебсайтове“). Докоснете приложението и изберете „Remove“ („Премахване“).

Не се притеснявайте, ако списъкът е по-дълъг, отколкото сте очаквали. Карайте подред от горе надолу и когато не сте сигурни за нещо, го премахнете. Винаги можете да го свържете отново по-късно с едно докосване, ако се окаже, че ви трябва. Запазете шепата приложения, които действително използвате, махнете всичко, което не разпознавате, а ако забележите такова, за което никога не сте се регистрирали, го премахнете и след това проверете скорошните си влизания за нещо необичайно.

И направете още едно нещо, докато сте там. Тъй като този акаунт вече е входът към всички останали, защитете го възможно най-добре: включете двуфакторна автентикация и добавете ключ за достъп (passkey), ако акаунтът предлага такъв. Това предпазва от открадната парола. То обаче няма да спре трика с фишинг чрез даване на съгласие (consent-phishing), описан по-горе: щом сами докоснете „Allow“ („Разреши“), никаква втора стъпка не стои на пътя.

Какво да използвате вместо това: отделен адрес за всеки сайт

Това е най-добрият навик тук и частта, която ръководствата тип „стъпка по стъпка“ почти винаги пропускат. Спрете да раздавате основния си имейл адрес. Когато даден сайт го поиска, предоставете му псевдоним (alias) вместо това: заместващ адрес, който препраща към пощенската ви кутия, без да е самата ви пощенска кутия – различен за всеки сайт. Ако този сайт претърпи пробив в сигурността или тихомълком продаде списъка си с потребители, спамът и измамите ще пристигат на адрес, който можете да изключите за секунда, и той никога няма да сочи обратно към акаунта, който съхранява пощата, снимките и данните ви за вход.

Настройването на такъв адрес е бързо и безплатно като за начало. Най-простият път е Proton Mail. (Тази връзка към Proton е партньорска: тя подкрепя този сайт, а регистрацията през нея ви носи отстъпка.)

  • → Създайте си акаунт в Proton, след това отворете mail.proton.me и щракнете върху иконата на щит – „Security center“ („Център за сигурност“) – вдясно.
  • → Отворете „Hide-my-email aliases“ („Псевдоними за скриване на имейла ми“) и щракнете върху „New alias“ („Нов псевдоним“).
  • → Щракнете върху „Create and copy alias“ („Създаване и копиране на псевдоним“). Този адрес вече е в клипборда ви, готов за поставяне във формуляра за регистрация.

Инсталирайте разширението за браузър Proton Pass и нещата стават още по-лесни: когато страница за регистрация поиска вашия имейл, щракнете в полето, изберете „Hide my email“ („Скрий имейла ми“) и то ще създаде нов псевдоним и ще го попълни вместо вас. На iPhone вече имате версия на това: „Sign in with Apple“ („Вход с Apple“) може безплатно да предостави на сайта скрит препращащ адрес, а функцията „Hide My Email“ на Apple (част от iCloud+) ви позволява в допълнение да създавате собствени еднократни адреси.

Две неща, които трябва да знаете, преди да се опрете на това. Някои безплатни псевдоними могат само да получават поща, но не и да изпращат отговор, което е неудобно, когато даден магазин трябва да му се пише обратно относно поръчка, затова изберете такъв, който може да отговаря и в двете посоки. И тъй като услугата за псевдоними прекарва пощата ви през собствените си сървъри, изберете такава, която заявява писмено, че не я чете. Proton, Apple и Firefox твърдят точно това.

Ако искате да отидете крачка напред, разгледайте ключовете за достъп (passkeys). Вместо парола, телефонът ви пази частен ключ и доказва, че това сте вие, чрез пръстовия ви отпечатък или лицето ви, така че той не може да бъде въведен във фалшива страница или използван повторно другаде. А за най-важните ви акаунти – основния ви имейл и всичко, свързано с пари – помислете два пъти, преди изобщо да използвате бутона за бърз вход: парола в мениджър на пароли или ключ за достъп ги държи настрана от единствения акаунт, на който разчитат всички останали.

Не е нужно да се отричате напълно от този бутон. Той реши реален проблем и влизането с един добре защитен акаунт е по-безопасно от разпръскването на слаби пароли из цялата мрежа. Печалбата е в това да знаете какво е свързано с вас, да разчиствате приложенията и сайтовете, които сте изоставили, и да поддържате списъка достатъчно кратък, за да го разпознавате с един поглед. Тези, които използвате, остават, а забравените изчезват.

Разчистването на всичко това е лесната половина; по-трудната половина е да разберете как атакуващите изобщо откриват и експлоатират подобни акаунти.

FBI IC3 PSA I-090126-PSA | Google Identity: OAuth 2.0 token expiration | Google Account Help: manage links to third-party apps | Apple Support: Sign in with Apple & Hide My Email