Hundrevis av apper kan lese e-posten din akkurat nå: To trykk avslører dem og fjerner tilgangen for alltid

De fleste nordmenn har samlet opp titalls, noen hundrevis, av slike tilganger over flere år. Mange av appene bruker du ikke lenger. Noen eksisterer kanskje ikke engang. Men tilgangen de fikk, lever videre i Google-kontoen din.

Google har en egen oversikt som viser alt sammen, og det tar under et halvt minutt å rydde opp. Oversikten ligger på myaccount.google.com/permissions. Herfra kan du se hver eneste app og tjeneste som har tilgang til kontoen din, hva den har tilgang til, og fjerne den med to trykk.

Slik finner du listen

Du kan gå to veier. Enten direkte via adressen over, eller via Google-kontoen: myaccount.google.com → Sikkerhet → bla ned til Tredjeparts apper og tjenester → Vis alle tilkoblinger.

Google deler tilgangene i tre kategorier: «Logg inn med Google» (apper du bruker Google-kontoen til å logge inn på), «Tilknyttet konto» (apper som er koblet til Google-kontoen din) og «Tilgang til Google-kontoen» (apper som faktisk kan lese data fra kontoen). Klikker du på en app, får du opp detaljene og en knapp merket Fjern tilgang, opplyser Google i den offisielle veiledningen. Du bekrefter én gang, og tokenet som holdt tilgangen åpen, blir ugyldig umiddelbart.

Les også: Du trenger ikke klikke på noe: Bare å laste en nettside kan installere spionvare på telefonen din

Dette er problemet

Når du logger inn med Google på en nettside eller app, får appen det Google kaller et refresh-token: en nøkkel som fornyer seg selv og lar tjenesten komme tilbake til kontoen din gang på gang. For enkle påloggingstjenester betyr det bare at appen vet hvem du er. Men mange apper ber om langt mer: å lese e-postene dine, å se kalenderen, å hente kontaktlisten.

Google kaller Gmail-tilgangene «restricted scopes», de strengeste rettighetene, mens kalender og kontakter klassifiseres som «sensitive». Begge gir appen vedvarende tilgang helt til du selv trekker den tilbake.

Og det er her problemet oppstår. OAuth-tokens overlever både passordbytte og tofaktor-autentisering. Palo Alto Networks' sikkerhetsteam Unit 42 skrev i en analyse av tredjeparts-tokens at «hver integrasjon du holder i live, selv om den ikke brukes, utvider angrepsflaten din. En hvilende integrasjon betyr ikke en harmløs integrasjon», slo analytikerne fast. De pekte også på at stjålne tokens kan omgå tofaktor-beskyttelse helt, fordi tokenet i seg selv er påloggingsbeviset.

Konsekvensen for deg som privatperson: en marketingapp du prøvde én gang i 2019, en kalendersynk fra en jobb du sluttet i for tre år siden, en nyhetsbrev-tjeneste som siden har gått konkurs, alle kan fortsatt ha lesetilgang til innboksen din. Blir utvikleren hacket, går angriperen rett inn via den gamle tilgangen uten å trenge passordet ditt.

Les også: BYD-prisen kan øke med over 100.000 kroner: Frankrike og Tyskland krever EU-straffetoll i Norge

Hva du bør slette, og hva som er greit

Tommelfingerregelen fra sikkerhetseksperter er enkel: gjenkjenner du ikke appen, eller har du ikke brukt den de siste seks månedene, så fjern den. Du mister ingenting ved å slette en tilgang, trenger du appen igjen senere, logger du bare inn på nytt og godkjenner tilgangen på ny.

Vær spesielt hard mot alt som har tilgang til Gmail, Drive, Kalender eller Kontakter. Det er disse tilgangene som faktisk kan lese data ut av kontoen din. En app som bare bekrefter identiteten din («Grunnleggende profilinfo») er mindre risikabel, men også her: er appen ikke lenger i bruk, er det ingen grunn til å la koblingen stå.

Dette er samme oppryddings-logikk som gjelder for appene med kameratilgang på telefonen, forskjellen er at Google-kontoens tilganger ofte er bredere og langt eldre, fordi de ble gitt én gang og aldri utløper.

Sett av to minutter. Gå inn på myaccount.google.com/permissions, klikk deg gjennom listen og fjern alt du ikke kjenner igjen. Det er den enkleste sikkerhetsjobben du kan gjøre for Google-kontoen din akkurat nå.

Les også: Netflix hevet prisene i mai: Slik finner du glemte abonnementer på fem minutter

Les også: Mange norske elbileiere setter på feil vinterdekk: Gebyret og risikoen du ikke visste om