允许“安全性较低的应用”访问我的Google帐户有什么危险？

#1 楼

据我了解，“安全性较低的应用程序”是指直接将您的凭据发送到Gmail的应用程序。当您将凭据交给第三方以交给身份验证机构时，很多事情可能会出错：第三方可能会在不通知您的情况下将凭据保存在存储中，他们可能会将您的凭据用于应用程序规定范围之外的目的，可能会在不加密的情况下通过网络发送您的凭据。

此外，它可能是用户在本地安装的应用（例如IMAP客户端）（请参阅Google的以下支持说明：https：/ /support.google.com/accounts/answer/6010255?hl=zh_CN）

“安全性较低”并不表示使用您的凭据的应用必然存在安全漏洞或由罪犯。实际上，这是行为的类别（将您的凭据提供给第三方），从根本上说，它不像使用OAuth这样的授权机制安全。获得授权后，您将永远不会允许第三方看到您的凭据，因此，一整套问题便会立即消除。

在OAuth中，您可以使用凭据直接向Gmail进行身份验证，并授权应用程序执行某些操作东西。第三方应用程序仅看到Google提供的授权令牌，以证明您已正确验证身份并同意对该应用程序进行授权。

为什么启用安全性较低的应用程序会比较危险（与使用可能不值得信赖的特定应用），但我不确定。在您将凭据交给了应用程序之后，Google会拒绝进行身份验证。在我看来，无论何时将您的凭据提供给第三方，是否允许“不太安全的应用程序”进行身份验证都没关系-有人可以加载登录屏幕并直接登录和你一样我能想到的唯一可能的情况是：


可能“基于应用程序”的登录尝试与“基于人的”登录尝试的处理方式有所不同，特别是它们如何处理位置的突然变化。也许您正在尝试使用的“不太安全”的应用在另一大洲拥有服务器，因此，当某个应用尝试以您在其他地方的身份登录时，对于Gmail而言，这并不是什么可疑的，
可能“不太安全”的身份验证方法包括其他一些登录方法，这些方法不会直接向第三方透露您的凭据，但以其他方式不如OAuth 2.0安全（例如，它们“容易受到攻击者的窃听，或者它们使攻击者在某种程度上更容易在不知道您的密码的情况下访问您的帐户。”

以上两点纯属推测，很可能并非如此。事实。

#2 楼

我没有足够的声誉来发表评论，但是我想补充自己的经验，当我“发现”该问题时...

我正在设置一个新的电子邮件客户端Airmail 2.0，以使用Google的SMTP服务器代表一个Gmail帐户发送邮件。

现在，我的设置可能不太“常见”：我已将此特定的Gmail地址转发到了另一个地址我正在使用Airmail，并将gmail地址设置为该帐户的“别名”。为了避免看起来像垃圾邮件，Airmail允许配置特定的SMTP服务器，以便在“从”别名发送邮件时使用。 ，并且运行良好（例如，没有有关“降低安全性”的消息）。因此，我将SMTP设置从“普通”帐户复制到了新帐户：

这些是“经典”帐户的设置：



这些是用于“别名” SMTP服务器的：



请注意有什么区别吗？我都不是！

我一直在浏览，并且还找到了前面提到的页面，Google的安全性文章新安全措施将影响较旧的（非OAuth 2.0）应用程序，宣布了更改-此段（强调我的意思！）似乎暗示需要像许多其他“应用程序客户端”（Dropbox等）一样，对应用程序进行“授权”访问该帐户：


因此，从2014年下半年开始，我们将逐渐增加用户登录Google时执行的安全检查。这些额外的检查将确保只有目标用户才能通过浏览器，设备或应用程序访问其帐户。这些更改将影响向Google发送用户名和/或密码的任何应用程序。


我本身并不反对这个想法，但我希望能获得更多信息，以确保应用程序安全才可以做些什么，以便我们可以要求我们的应用程序提供商实施必要的更改...

有关以下主题的更多信息：GMail开始阻止不太安全的应用程序：如何再次启用访问权限。

更令人费解的是，我的“其他” Gmail帐户不会触发此类消息，因为我没有启用2FA，因此根据上一篇文章，我应该了解一下这些错误！

更新时间2014-12-31，17:52 GMT：出于好奇，我检查了旧Gmail帐户的设置，发现它实际上设置为“安全性降低”（如Google所说）。我猜想，当Google引入该功能时，“安全性较低”（按照Google的条款）客户端正在访问的现有帐户的默认设置是允许其继续访问。

另一方面，正如原始Google Blog Post上的一些评论所说，Google担心我们的安全性真是太好了，但是可以通过支持CRAM-MD5或DIGEST- MD5用于身份验证，而不仅仅是普通的登录。

#3 楼

人们使用的移动应用程序未采取适当措施来保护GMail用户凭据。因此，谷歌正在采取其唯一的行动：通过禁止应用程序乱扔用户和密码并强制使用其信任的身份验证方法（自己的身份）来终止恶意黑客的乐趣。

这些应用程序的问题不是一个，而是各种各样的：有些不使用ssl / tls进行数据加密，另一些则允许黑客进行中间通信，等等。

通过这样做，它们使攻击者得以捕获用户GMail凭据，从而导致帐户遭到破坏。

，因此Google从Authentication更改为Authorization方法，看起来类似于GitHub所使用的方法。