抨击一下Gmail的安全机制

2006/10/25镜像同步5 回复

http://www.x2y2.com/fisker/archives/06.10.25-dangerous-gmail.htm 如果你不能登陆gmail,你可能忘记了用户名，也可能是忘记了密码。 google考虑的很周到。不但提供了密码找回功能，还提供了用户名找回功能。先看看找回用户名，在这里，你可以看到，google要求你输入备用邮箱。然后一些简单的操作，你就可以收到使用你的邮箱作为备用邮箱的所有用户名。关于为什么有人会使用你的油箱作为备用邮箱，你可以在这篇文章中看到，只要你是把gmail邀请发送给自己，然后只是把链接送给别人，那么默认的备用邮箱就是你的邮箱（请不要忽略“默认”的力量(keso:东拉西扯：默认的力量)）。很多人恐怕都没有仔细的看看。不妨试试，是不是有人用你的邮箱了。由于gmail邀请站的存在，所以用我的邮箱做备用邮箱的人实在是太多了。再次提醒你阅读Gmail账户安全提醒然后我们再看看找回密码。同样在这里，google也是要求你输入备用邮箱。然后你就可以在备用邮箱中找到重设密码的链接。所以只要有人用你的邮箱作为备用邮箱了。简单的两步，你就可以完全控制他们的账户，而且你不用担心他们会弄回去，因为他们没有备用邮箱... 为什么google要把备用邮箱放在如此重要的位置？实在是想不明白。 google!change it! 忘记密码?https://www.google.com/accounts/ForgotPasswd?service=mail&fpOnly=1&dEM= 忘记用户名?https://www.google.com/accounts/ForgotPasswd?service=mail&fuOnly=1&dEM= Google Accounts：https://www.google.com/accounts/ManageAccount Gmail：https://www.gmail.com 另外，不知道大家有没发现gmail登陆的界面上放的logo并不是gmail，而是gtalk!，已经好久了，细节也是要注意滴 :) 10:47 update 更大的问题：修改密码提示问题，只需要当前密码就可以了。修改密码提示问题:https://www.google.com/accounts/EditSecureUserInfo

订阅后，新回复会通过你的通知中心匿名送达。

5 条回复

Nonsense机器人#1 · 2006/10/25

1、关于默认的备用邮箱的问题 ------------------------------------- 按照Google计划的Gmail邀请注册方式，邀请是由认识的人发送到授邀请者的邮箱的默认用邀请函发送的目标邮箱地址，无可厚非之所以出现文中的问题，文中也说出了原因，是“由于gmail邀请站的存在，所以用我的邮箱做备用邮箱的人实在是太多了” 邀请站的出现，不是Google所推荐和鼓励的。换而言之，Google并不鼓励此种方式。否则，Google完全没有必要使用邀请的方式推广Gmail注册，直接开放注册就成了。因此种方式出现的默认邮箱安全性的问题，罪过不在Goolge 反而，使用邀请函发送邮箱作为默认邮箱地址，是方便用户的一种做法。另外，Gmail的注册过程中，在备用邮箱（Google简体中文注册界面叫做“其他邮箱”）一项的下面，有明确的提示[QUOTE] 其他电邮: 万一您遇到了问题或忘记了密码，此地址可用来验证您的帐户。如果您没有另外的电子邮件地址，可将此字段保留为空。了解详细信息[/QUOTE] 并且，在详细信息里面，更是将辅助邮箱（备用邮箱）的作用作了详细的解释。如果说明确的把备用邮箱的重要意义那么明确的写在下面注册者都不注意的话，纯属使用者的责任，无怪Google...过马路不看红绿灯，被车撞了能怪谁？这个安全问题出现的条件有两个 1、使用的不是Google推荐的邀请方式 2、使用者注册的时候对明确的提示信息视而不见所以我觉得，责任更多的是在使用者一方，而非Google...

Nonsense机器人#2 · 2006/10/25

2、关于备用邮箱的重要地位的问题 -------------------------------------------- 用户使用过程中，难免会忘记用户名密码给用户提供一种找回的方法是必须的一般来说，有在线更改，备用邮箱更改，和短信更改 Google作为国际性的免费邮箱提供商，短信更改是极不现实的方式故只好通过在线更改和备用邮箱更改的方式 1）忘记了用户名，不输入备用邮箱，无法鉴别哪个用户忘记了用户名 2）忘记了密码，可以在线更改，也可以使用备用邮箱。两种方法在安全性上来说，我觉的备用邮箱更要安全一些密码提示问题的话，对于一些熟人常常能够轻易的回答出来。而备用邮箱，必须要破解另一个邮箱的密码，才可以拿到Gmail的密码...难度比密码提示问题要高一些 ------------------------------------------- 我不知道Google有什么错，恕我愚钝，更不知道改怎么改才更安全？

Nonsense机器人#3 · 2006/10/25

3、关于Gmail登陆界面的Logo ----------------------------------------------------- 我从来没见过Gmail放Gtalk的图标。登陆界面上放的是上面Gmail，下面Gtalk... 原blog上也没有贴图...我也没办法开开眼... Gmail图标下面放Gtalk的图标也是有原因的，因为Google在推广web方式的GT，Gmail可选带GT的界面... 我真的怀疑，原文作者到底有没有分清Gmail，带GT的Gmail，和单独的GT的三个Logo...

Nonsense机器人#4 · 2006/10/25

4、关于修改密码提示的问题 ---------------------------------------------------------- : “修改密码提示问题，只需要当前密码就可以了。 ” 我又愚钝了... 我不知道修改密码提示除了提供当前密码还应该提供什么？需要原始的密码提示问题？那我不记得原始的提示问题，莫非我以后就改不了密码提示问题了？那密码提示的功能对我还有什么意义？ PS：狗日的126脚本又TMD出错了，我记的126修改提示问题同样也只是提供原始密码即可的，记不清了，又验证不了，126越改越滥了...

Anchor机器人#5 · 2006/10/25

nonsense的观点我表示赞同。迄今为止，我觉得Gmail邮箱是最方便安全和赏心悦目的了。我觉得，看看这种负面评论的文章似乎更有益于我们更深的理解Google。理越辨越清。呵呵。