如果你看到一封来自熟人的谷歌文档邮件，你会打开它，对吗？如果点击后，谷歌要求你再次登录，你会认为有什么问题吗？

对于无数的Gmail用户来说，答案是否定的。昨天，一个复杂的网络钓鱼攻击席卷了整个网络，伪装成googledocs的权限请求。每次有人按照提示操作时，该应用程序都会进入用户的联系人列表，并爆出新一轮电子邮件，造成账户泄露的连锁反应。据谷歌称，这次攻击影响了不到0.1%的Gmail用户，但仍有多达100万人。尽管这个方案看起来很简单，但实际上是一连串相互关联的恶作剧，每一个恶作剧都是由于谷歌在一个基本开放的系统上令人放心的存在而成为可能的，并引发了人们对谷歌如何构建其产品的严重质疑。

为了理解这是怎么发生的，我们需要一步一步地看看攻击是如何运作的。targets首先看到的是这封邮件，邮件的主题是“Russell与您共享了Google Docs上的一个文档”（这实际上比Docs更接近日历行话，它以文档本身的名称开头，但显然已经足够接近了），这封邮件显示了一行文字（“罗素邀请你查看以下文档”），然后是一个熟悉的谷歌蓝色的“在文档中打开”按钮。

在技术层面上，这个链接基本上是一个“点击这里安装我的应用”按钮。唯一聪明的部分是让它看起来像别的东西。当然，任何人都可以发送电子邮件，你几乎可以完全控制电子邮件到达某人收件箱时的外观。你可以阻止一个人在一个封闭的系统中伪装信息，比如应用商店或者私人信息系统，但是电子邮件是一个开放的协议，就像网络本身一样。

如果你真的很聪明，你可能会在点击链接之前查看网址，在这种情况下你会看到：

https://accounts.google.com/o/oauth2/auth?client_id=346348828325-vlpb3e70lp89pd823qrcb9jf**u556t8.apps.googleusercontent.com&scope=https%3A%2F%2Fmail.google.com%2F+https%3A%2F%2Fwww.googleapis.com%2Fauth%2Fcontacts&immediate=false&include_granted_scopes=true&resp***e_type=token&redirect_uri=https%3A%2F%2Fgoogledocs.g-cloud.pro%2Fg.php&customparam=customparam

这是不寻常的-你会期望它以“docs.google.com”开头，例如-但它确实说了很多“google”。不过，任何人都可以在谷歌账户上托管用户内容，所以这并不难安排。

这就把我们带到了登录页面，可以说是最聪明的部分。它看起来就像一个谷歌登录页面，因为，嗯，它是。就谷歌而言，你已经选择在你的Gmail账户上安装一个第三方扩展，你正在使用谷歌来授权它，就像你对Boomerang或Unroll.me这样的合法扩展一样。即使你使用的是Gmail（可能还有Chrome），谷歌也无法控制这个过程。它是通过一个名为OAuth的开放协议实现的，这个系统允许你使用Google帐户登录Facebook或Twitter。任何人都可以**OAuth应用程序，就像任何人都可以发送电子邮件一样，而且没有管理员可以仅仅因为垃圾邮件发送者使用它来做坏事就将其从系统中赶走。

这是谷歌的一个核心战略：拥抱开放协议，并在此基础上构建，直到很难分辨一个协议从何处结束，另一个协议从何处开始。几乎在公司的所有产品中都可以看到这样的版本，最著名的是Gmail、Adwords和search，但它在这里有特别的展示。像苹果这样的公司可能已经为内部产品建立了一个特殊的登录过程，但是通过OAuth登录到真正的Google文档和登录到Joe的文档阅读器没有什么区别。当谷歌想要分享一些东西时，它会给你发送一封电子邮件——不是通知或Google+弹出窗口，而是一封电子邮件。这使得你更容易选择谷歌的服务，但同时也让你更难判断自己何时走出了谷歌花园。正是这种混乱使得垃圾邮件攻击如此有效：它看起来像谷歌，所以人们信任它。

在某些方面，这是一个相对没有牙齿的黑客。它非常嘈杂，在几个小时内就发出了数百万封电子邮件，所以管理员能够很早发现它。由于Gmail拥有黑名单扩展的能力，该系统能够集体屏蔽假冒的“Google Docs”扩展，而且攻击的性质已经使垃圾邮件发送者本人的暴露程度远远超过大多数恶意软件作者。因为扩展通过OAuth而不是新的登录页工作，所以也没有迹象表明任何密码被泄露。

但是黑客利用的更深层次的弱点是严重的，他们不会有任何进展。复杂的黑客组织经常使用假登录页面作为破解账户的手段——最近的一次是在Podesta黑客中——而且没有简单的方法来阻止他们。虚拟应用程序是googleplay商店的一个长期问题，虽然Google一直在努力寻找和禁止这些应用程序，但还没有一个全面的解决方案。我们确实有理由冒这个风险：像email和Oauth这样的开放平台非常重要，特别是对于那些在没有大公司支持的情况下试图突破的新产品和想法。但随着公司和产品的整合，这些部门可能会让用户对信任什么感到困惑，而谷歌的蛋糕战略并没有让它变得更加清晰。其结果是一个系统级的安全漏洞，我们将无法很快关闭。