De beslissing van Google om afbeeldingen in Gmail automatisch weer te geven is een beveiligingsrisico, zo stellen verschillende experts. Voorheen werden in e-mails ingebedde afbeeldingen standaard in Gmail geblokkeerd, waarbij gebruikers zelf op een link moesten klikken om ze weer te geven.

Google kondigde deze week aan dat het de afbeeldingen via een eigen Google-proxy gaat weergeven, wat gebruikers tegen eventuele risico's moet beschermen, maar verschillende experts zijn het daar niet mee eens. "Dit laat een stalker of andere entiteit met kwade bedoelingen controleren of de e-mail die hij naar een doelwit heeft gestuurd gelezen is", zegt beveiligingsonderzoeker H.D. Moore tegenover CNET.

Uitschakelen

"Hoe meer informatie aanvallers kunnen achterhalen over welke accounts actief zijn, welke gebruikers eerder klikken en hoe succesvol een bepaalde social engineering-truc is, hoe groter de kans op succes bij het aanvallen van die gebruikers", zegt Charles Renert van beveiligingsbedrijf Websense. Renert adviseert Gmail-gebruikers om het automatisch laden van afbeeldingen uit te schakelen.

Google laat in een verklaring weten dat een afzender inderdaad via een unieke URL per ontvanger kan achterhalen welke e-mails zijn geopend, maar stelt dat de proxyserver helpt hij het afschermen van het IP-adres van de ontvanger, alsmede zijn geografische locatie, gebruikte browser en 'andere identificeerbare informatie'.

Proxy

"Het trackingprobleem kan afhankelijk van de implementatie een echt probleem zijn of misschien niet, maar in elk geval is het een gevaarlijke beslissing. Of het helpt het op afstand volgen van gebruikers, of het helpt gedistribueerde denial-of-service (DDoS)-aanvallen", voegt beveiligingsexpert Robert Hansen toe.

De opzet van Google maakt het mogelijk om kwaadaardige requests via de proxyserver uit te voeren, die dan voor een DDoS-aanval gebruikt zouden kunnen worden. Daarnaast is Hansen bang dat Google mogelijk afbeeldingen gaat inschakelen voor bepaalde partners die betalen voor het volgen van gebruikers. Marketingbedrijven zijn in ieder geval blij met de maatregel.