Aplikasi G Suite Google Berkomunikasi Dan Mungkin Berbagi Data G-Drive dan Gmail Dengan Layanan Eksternal yang Tidak Diungkap?

Ekosistem aplikasi Google dianggap aman, tepercaya, dan terverifikasi. Namun, beberapa peneliti keamanan telah mengemukakan beberapa kekhawatiran tentang sejumlah besar aplikasi dari G Suite Marketplace. Para peneliti mengklaim beberapa aplikasi memiliki akses ke akun Gmail dan Drive. Meskipun hal ini dapat dimengerti, banyak aplikasi juga berkomunikasi dengan layanan eksternal yang dirahasiakan. Hal ini dapat menimbulkan peluang berisiko bagi jalur data rahasia dari akun Google ke lokasi atau entitas yang tidak diverifikasi dan dirahasiakan.

Penelitian terbaru yang dilakukan oleh Irwin Reyes dan Michael Lack dari Two Six Labs melibatkan analisis ekstensif atas izin yang diminta oleh aplikasi Google pihak ketiga yang terdaftar di G Suite Marketplace. Duo ini mengklaim bahwa mereka menemukan banyak aplikasi gagal dipasang dengan benar pada akun Google percobaan, sementara hampir setengahnya meminta izin untuk berkomunikasi dengan layanan eksternal, membuat jembatan antara data Drive dan Gmail pengguna yang sensitif, dan dunia luar. Untuk beberapa aplikasi, koneksi datanya tidak jelas, dan alasannya tidak disebutkan secara terbuka.

Beberapa Aplikasi Google G Suite Marketplace Memiliki Permintaan Izin yang Meragukan Dan Koneksi Tidak Jelas ke Layanan Eksternal yang Tidak Diungkap?

Peneliti Reyes dan Lack mengatakan bahwa mereka menggunakan skrip otomatis untuk menginstal semua 1.392 aplikasi yang terdaftar di G Suite Marketplace pada akun uji coba Google. Mereka melanjutkan untuk merekam izin yang diminta masing-masing aplikasi. Dari 1.392 aplikasi yang mereka uji, 405 gagal dengan banyak kesalahan. Dari 987 aplikasi tersisa yang dapat diinstal, 889 aplikasi membutuhkan akses ke data pengguna melalui Google API. Tidak perlu ditambahkan, ini memicu permintaan izin yang biasanya diberikan oleh sebagian besar pengguna.

Perlu diperhatikan bahwa hampir setengah atau 481 aplikasi dari G Suite Marketplace meminta izin untuk berkomunikasi dengan layanan eksternal. Hal ini pada dasarnya memungkinkan pembuatan jembatan virtual antara data Drive dan Gmail yang sensitif milik pengguna serta layanan yang berada di luar portofolio Google. Dari 481 aplikasi ini, 21 persen (103 aplikasi) dapat mengakses dan berinteraksi dengan file Google Drive, 17 persen (81 aplikasi) dapat mengakses dan berinteraksi dengan kotak masuk email, dan 3 persen (15 aplikasi) dapat mengakses dan berinteraksi dengan data kalender.

Penting untuk ditambahkan bahwa beberapa add-on memiliki alasan yang sah untuk terhubung ke layanan eksternal yang aman. Namun, para peneliti mengklaim bahwa mereka menemukan sejumlah besar aplikasi yang tidak nyaman tampaknya tidak memiliki alasan yang jelas untuk membuat koneksi dengan layanan eksternal.

Perlu diperhatikan bahwa pengguna tidak memiliki data tentang layanan eksternal mana yang mungkin dikomunikasikan oleh aplikasi G Suite. Selain itu, tidak ada informasi tentang sifat dan tujuan komunikasi tersebut. Pengguna hanya memiliki deskripsi aplikasi dan kebijakan privasi yang diberikan secara sukarela oleh pengembang aplikasi untuk mencoba dan memahami alasan, tujuan, dan sifat komunikasi aplikasi G Suite Marketplace dan layanan eksternal.

Google Tidak Secara Ketat Menerapkan Batasan yang Diberlakukan Pada Aplikasi 'Belum Diverifikasi'?

Selain komunikasi dengan layanan eksternal, peneliti mengklaim ada satu masalah lagi yang terkait dengan proses peninjauan G Suite Marketplace atau kekurangannya. Proses peninjauan wajib untuk semua aplikasi yang dikirimkan ke pasar. Prosesnya menjadi lebih ketat dan panjang untuk aplikasi yang membuat panggilan API yang diklasifikasikan Google sebagai Sensitif atau Dibatasi.

Proses peninjauan untuk aplikasi yang melakukan panggilan API Sensitif dapat berkisar dari 3 hingga 5 hari. Sementara itu, aplikasi yang melakukan panggilan API "Dibatasi" atau berinteraksi dengan data Gmail atau Google Drive pengguna dapat membutuhkan waktu antara 4 hingga 8 minggu.

Untuk mengabaikan sementara proses peninjauan dan persetujuan yang begitu lama, Google mengizinkan developer aplikasi untuk mencantumkan aplikasi sebagai "belum diverifikasi" di G Suite Marketplace. Google hanya memberikan label peringatan dalam bentuk pesan halaman penuh yang memperingatkan pengguna tentang bahaya memasang aplikasi yang berpotensi berbahaya yang belum melewati proses peninjauannya. Ada satu batasan lagi yang mencoba membatasi aplikasi G Suite "belum diverifikasi" menjadi hanya 100 penginstalan.

Namun, para peneliti mengklaim mereka menemukan bahwa banyak aplikasi yang tidak diverifikasi telah mendapatkan lebih dari 100 pengguna karena menunggu untuk ditinjau. Ini sangat menunjukkan bahwa Google dengan sengaja melonggarkan batas tegas "100 pengguna baru".

Praktik semacam itu atau penerapan kebijakan yang buruk dapat dengan mudah menyebabkan aplikasi berbahaya diunggah ke toko dengan tujuan semata-mata untuk mengumpulkan data dari pengguna Google. Mayoritas pengguna paket G Suite Google berasal dari sektor perusahaan. Ini secara signifikan meningkatkan risiko peretasan manipulasi psikologis dan serangan serupa.

Para peneliti menyarankan untuk memindahkan proses atau mencari dan memberikan izin dari prosedur penginstalan ke saat aplikasi benar-benar membutuhkan izin khusus untuk pertama kalinya. Klaim Reyes dan Lack, beralih dari izin waktu penginstalan ke izin waktu proses, secara signifikan meningkatkan kemungkinan pengguna memperhatikan aplikasi yang mencurigakan dan mundur atau menolak pemberian izin.