g – Gea-Suan Lin's BLOG

使用 application password 的 Google 服務將在 2024/09/30 停止支援

Update：這篇內容是錯的 (感謝 yan12125)，參考「LSAs 與 application password 不同...」這篇的說明。

Hacker News 上看到這個舊資料，Google 在去年九月的公告，將在 2024/09/30 停止支援 application password 的認證方式：「Beginning September 30, 2024: third-party apps that use only a password to access Google Accounts and Google Sync will no longer be supported」。

Google 讓不支援 OAuth 的程式可以用傳統的 username + password 的方式連線，產生一組 application password 讓這些程式使用，這個在 Google 的系統裡被稱作是 Less Secure Apps (LSAs)，主要是 protocol-based 的方式：

This includes all third-party apps that require password-only access to Gmail, Google Calendar, Contacts via protocols such as CalDAV, CardDAV, IMAP, SMTP, and POP.

主要的安全性考量應該是在 application password 貼到對應的應用程式這段，會隨著不同的貼法而有資安疑慮。透過非 end-to-end encryption 的 IM 傳輸，那麼 IM 的系統裡面就會有這組 application password 了。

這個計畫在 2019 年宣佈的：「Turning off less secure app access to G Suite accounts」，當時規劃在 2021 年就要執行，不過中間因為 COVID-19 的關係往後延，現在的目標是 2024 年，看起來是差不多了...

改寫「Press "g" to Google (DuckDuckGo)」讓他支援 Whoogle

前幾天提到了 Whoogle 這個專案 (參考「自架的 Google Search Proxy 伺服器專案：Whoogle Search」)，用 Docker 跑起來後就改寫「Press "g" to Google (DuckDuckGo)」這個專案，讓他可以支援設定 Whoogle，大概像是這樣：

使用者可以自己設定對應的 Whoogle 伺服器，這樣應該會方便一些...

Google Meet 可以走 443/tcp 了

Work from home 期間開會基本上就是幾個視訊軟體換來換去，Zoom 的話公司有買，自己開免費版的時候是 40mins 限制，另外 Slack 的畫面品質不怎麼樣，而 Google Meet 在疫情期間不限制時間，拿來聊天還蠻好用的。

看到「TLS support for Google Meet」這篇，文章裡面提到先前 Google Meet 是用 443/udp 跑 SRTP，這對很多公司的 firewall 需要另外開 (看到這個 UDP port 想到 QUIC 好像也是走這個 UDP port)，在家裡的話應該還好，對於公司的電腦就會麻煩一些。

文章裡提到，這次支援了 TLS (over 443/tcp)：

Some network setups do not work with SRTP over 443 which was preventing Meet calls from connecting. Meet now encapsulates SRTP in TLS which increases overall compatibility. This change will initially be available on the web, and will be available for mobile soon. We’ll announce it on the Google Workspace Updates blog when it’s available.

可以 fallback 回 443/tcp 走 TLS 的話穿透力應該就更好了，不過不知道免費版的有沒有也一起上，這邊只題到了 G Suite 系列會上：

Available to all Google Workspace customers, as well as G Suite Basic and Business customers

上次用 Google Meet 是在雲端聚餐聊天...

G Suite 的管理員可以關閉簡訊與電話語音的 2FA 了

看到「Disable SMS or voice codes for 2-Step Verification for more secure accounts」這邊的說明，G Suite 的管理員可以將 SMS 與 Voice 強制關閉 (也就是不認為這兩個管道是安全的 2FA)。

主要是因為行動網路一直都不怎麼安全，像是 GPRS 與 3G network 使用的 KASUMI，或是 downgrade attack (用 2G network)。

目前 G Suite 登入有提供的 2FA 除了上面這兩個以外，應該還有 TOTP 與 U2F 類的認證方式，這次影響最大的應該是堅持用非智慧型手機的人？這種：

取自「File:Mobile phone evolution.jpg」

G Suite 推出 LDAPS 認證，但是 Business 版本不支援...

公司裡面有人提到去年的這個消息，說 G Suite 可以直接提供 LDAPS 認證：「Secure LDAP now generally available to simplify the management of traditional applications」，在裡面提到了另外一篇講的比較詳細的文章也可以參考：「Cloud Identity now provides access to traditional apps with secure LDAP」。

這個功能等於是把傳統的應用程式直接掛上去，瞬間搞定一堆應用，不用再自己透過 SAML 或是各種 API 接半天...

不過看了一下提供服務的對象，發現 G Suite 的 Business 版本不支援，只有 Enterprise 與教育版本有支援，或是買 Cloud Identity 的 Premium 版本：

Editions:
Available to G Suite Enterprise, G Suite Enterprise for Education, G Suite for Education, and Cloud Identity Premium editions only

這樣就苦了點... 目前遇到的人大多數都是買 Business 而非 Enterprise。

Gmail 支援第三方軟體掛入了...

以往都是第三方廠商要透過 browser extension 硬掛進去 (當 Gmail 改版的時候又要修)，現在 Gmail 直接提供界面讓他們掛進來了：「Do more from your inbox with Gmail Add-ons」。

包括 Gmail 以及 G Suite 都能用 (應該會需要管理員掛進來？)：

Knock out action items the minute they hit your inbox. G Suite and Gmail users can check out the G Suite Marketplace to find and install Gmail Add-ons.

另外也可以自己開發掛入：

If you're a developer, you can also easily create add-ons for your app or your organization—write your add-on code once and it will run natively in Gmail on web and Android right away. Learn more.