Wie mit dem "Googles Friend Connect" Gadget die Phisher auch Dich erwischen

Auf Heise habe ich vorhin den Artikel zu den Google friends APIs gelesen. Das ist ja ganz interessant und gleich habe ich das einmal auf http://gayads.biz getestet. Schnell einen Drupal Block neu angelegt, den Javascript Code eingepflegt und nach 3 Minuten war Google Friends ConnectGadget online - so einfach so gut.

Nach dem Durchspielen einiger Gadgets wie dem Wall Gadget als Pinwand Ersatz, fand ich das etwas lahm: es gab kein offensichtliches Verfahren wie die eingeloggten Nutzer untereinander interagieren könnten, ohne meine Page zu verlassen. Ich hätte als Webmaster auch nicht die Möglichkeit, die angemeldeten User direkt zu kontaktieren - so etwas wie ein "Hausrecht" auf der Webseite ist also nicht vorgesehen.

Der grösste Malus des Google Systems ist aber aus meiner Sicht Folgender: Ein Phisher kommt etwa auf die Idee, diese leicht zu kopierenden Google friends Login Boxen nachzubauen. Dann kann er von der Google arglos vertrauenden Masse die E-Mail Accountdaten abfragen. Wenn der E-Mailaccount erstmal in Sibirien gelandet ist, dann auch bald mein Paypal Account oder mein letzter Password Reset auf der Deutschen Bank.

Wenn erst einige Millionen, vielfach naive und vertrauensvolle User dieses Google Open ID feature nutzen, sehe ich blühende Landschaften in Phisher Country....

An der Interaktivität und den Sicherheitsfatures muß Google sicher noch etwas arbeiten.