اكتشف الباحث رون ماساس Ron Masas الباحث الأمني من شركة Imperva ثغرةً أمنيّةً في إصدار الويب من Google Photos يسمح لمواقع الويب من معرفة سجل الموقع الجّغرافي وببانات وصفيّة أخرى للمستخدمين بناءً على الصّور التي قاموا بتخزينها سحابيّاً. وتسمى هذه الهجمات ب “هجمات توقيت” تعتمد على المتصفّح تسمّى Cross Site Search.
قد تسمح هذه الثّغرة للمهاجمين باستنتاج البيانات الوصفيّة للصّور المخزّنة في Google Photos والتي تتضمّن تفاصيل الموقع الجغّرافي للصّور وتاريخ ووقت التقاطها ومع من تم التقاطها (ان كان هنالك وسوم tags للأشخاص )
استخدم الباحث Masas علامة ارتباط بلغة HTML لإنشاء طلبات متعددّة الأصل cross-origin requests إلى ميزة البحث في Google Photos.ثم قام باستخدام جافا سكريبت لقياس المدة الزمنيّة الذي يتم استغراقه حتى تظهر رسالة “يتم تحميل النتائج” وقارن الفترات الزمنية لعلميات البحث التي تُرجع نتائج سلبية مع تلك التي تُرجع نتائج ايجيابيّة.
بعد ذلك قام بطلب البحث عن “صوري في أيسلندا”، وقاس وقت عملية البحث ثم قارنه بالوقت المحسوب. بهذه الطريقة ،تمكن الباحث من استنتاج أن المستخدم زار أيسلندا.
وقال الباحث في مقالةٍ نشرتها الشركة: “يأخذ محرك بحث Google Photos في الاعتبار البيانات الوصفية للصور. لذلك، بإضافة التاريخ إلى عملية البحث، يمكنني التحقق مما إذا كانت الصورة قد اُلتقطت في نطاق زمني محدد. وأوضح الباحث أنه من خلال تكرار هذه العملية بنطاقات زمنية مختلفة ، يمكنني تقريب وقت الزيارة إلى مكان أو بلد محدد بسرعة”
كيف يعمل هذا الهجوم؟
لكي ينجح هذا الهجوم ، يمكن للمهاجمين إرسال رسائل إلى الأهداف أو إدراج جافا سكريبت داخل إعلان ويب، وبالتالي خداع الضّحايا لإعادة التوجيه إلى موقع ويب ضار أثناء استخدام المستخدم ل صور Google.
عندها ستقوم شفرة جافا سكريبت JavaScript الموجودة في الموقع الضار باستخراج إجابات منطقيّة عن استفسارات المهاجمين من خلال إنشاء طلبات بحث إلى محرك بحث صور Google.
وقد أبلغ الباحث شركة Google عن هذا الخلل وقد قامت Google بتصحيح الثغرة الأمنية.
