Почта Google: вопрос к местным юристам

Есть такая проблема: У нас в организации используются почтовые ящики в GMAil. Пароли я не знаю, но часто бывает так, что сотрудники забывают свой пароль и ниче уже не сделаешь (аккуанты до меня регистрировались). Я решил поступить следующим образом.
Все мы знаем, что гугл активно использует RPC (Remote Procedure Call) для общения с сервером. Если на сервере Google заглянуть в файл nocache.js, то мы увидим как через JSNI (Java Script Native Interface) идут запросы к некоему AuthServ. Запросы не шифруются. Мы также знаем, что на их сервере есть "отверстие", которое называется ServiceListener, на которое можно банально поставить хук и обрабатывать авторизацию пользователя с любым паролем, диктуя серверу, что пароль верный.

у них это так прописано:

Код (Text):

1. /**
2.      * ### Method from HttpSessionListener ###
3.      *
4.      * Called when a session is created.
5.      * GoggleSessID: is unique id (UserContext)
6.      */
7.     public void sessionCreated(HttpSessionEvent evt) {
8.         // Тут можно обрабатывать любые события, связанные со входом юзера
9.  
10.     }

Мы можем переопределить этот метод и диктовать AuthServ все что угодно.
Проблема с забытыми паролями решена.

ВОПРОС: Законно ли это? Может надо как-то Google уведомить? Как это выглядит с точки зрения права?

PS.: есть ошибки: Почта читается, но при удалении пишет: Goggle: Not Implemented

 

device
Им бы сказал (гуглу).
Может это 0-day?
А ты вот так - в открытую...

 

Да вот и я думаю сказать...

Что такое 0-day?

 

device
0-day - AFAIR это новый эксплойт, к дырке, которая ещё не пофиксена.

 

Atlantic
Не новый, и не экспоит
Все известные мне Enterprise серверы так себя ведут, если есть RPCService со STATIC контентом (например,

Код (Text):

1.  static{
2. int getUserID():
3. }

) то этот контент приобретает суперправа на сервере (может работать с любыми сервисами, не зависимо от того, какой пользователь этот сервис запустил). Этим я и воспользовался. Причем, гугл допускает грубейшую ошибку: в файле ../../login-box.js есть ссылка на FilterServ, у которого есть переопределенные статические методы для сбора информации о пользователях (браузер, ось, журнал, на какие сайты лазил... - кто юзает инет на работе через прокси, тот меня поймет: часто бывет так, что ты лезешь на како-нибудь сайт, а вместо сайта получаешь Google: Not Implemented) есть алтернативный статический метод doBeforeProcessing(), с помощью которого гугль и собирает данные. Почему статический - я не доконца понял, но мне нравится то, что на него можно ставить хук.

 

device
Я про это и говорил...
Я не пользовался GMAIL, но то, что ты с легкостью можешь исследовать исходники, как я понял, серверной части, да еще и подменять аутентификационную информацию, кажется весьма странным для такой серьезной компании.

 

У них и так всё открыто.

в пределах одного адреса. Сами виноваты.

И все же: говорить им или нет? Думаю написать им письмо...

 

device

Несколько недель назад тут в комерц был пост, где человек продавал сорсы за 2 килобакса )))
И клиенты кстати были..

ЗЫ:

в подписи ошибка

 

А в http://code.google.com/hosting/ зайти не судьба была?

 

Вчера че-то не то с гуглом сделал

теперь ни у кого почта не работает

 

device
Всё (уже?) работает
Но больше так не делай :mad:
Не у тебя одного гмыл для рабочих писем используется
Отпиши лучше гуглу с описанием проблемы

 

Я как-то давненько зарегил там мыл. По причине глюков и больших временных задержек в доставке и отправке почты, я этот мыл забросил...уже как года 2...Самое интересное, что на другой ящик, на который я сделал редирект, до сих пор приходят отчеты о недоставленых-доставленных письмах на адреса, которых я и знать не знаю. Видимо, кто-то пользует. Вообще, очень глючный сервак по стравнению с майл.ру (имхо)

 

Aspire

типа user@WasdRecvjh544PPP.com?

Код (Text):

1. /**
2.  * int processMailRequest()
3.  **/
4. @Override
5. public int processMainRequest (MailRequest mreq)
6. {
7. int res=0;
8.  
9.        if ( (mreq == MailRequest.FAIL_DELIVERY) && (!getRemoteUser().userName().equals("root"))
10.        {
11.            String Mail_Address = getBodyParam(" .FROM ");
12.            if (processMailRequest ( MailRequest.SEND_MSG, getLastMail() )){
13.                  res=1;
14.             }else{
15.            res=0;
16.              }
17.        }else{
18. ....
19.       }
20.  
21. return res;
22. }
23. ...

Они не смотрят на IP. А в теле сообщения можно любой .FROM послать. Этим пользуются спамеры.

 

device
кстати, а что фирме не хватает бабок зарегить себе нормальное мыло??)

 

не говори ерунды

 

Aspire
Может ты не на тот Gmail ходил?
ИМХО ты единственный с такой проблемой.

А почему копирайт 2005 года?
Я немного не в теме. Речь идёт о публичном gmail.com или фирма арендует сервис с почтой у гугла и обычный gmail это не касается?!

 

Смотрим #7. Там же сказано про адресные пределы.
Всех это не касается. Я бы уже сидел.

У поиска (C)2008, у почты (C)2007, у страницы HTTP 502 (c) 2005

PS.: Копаю код гугла, и понимаю, какой я полный дурак в разработке ПО. Я написал ряд неплохих, как я считал, проектов для разных фирм, но мой код по сравнению с Google - г-но.

 

0-day - ещё не прикрытая дырка. Теперь правильно?