Google съхранява някои пароли в текстови файлове в продължение на 14 години

В моя блог Google съобщи за наскоро открит бъг, който доведе до това, че паролите на някои потребители на G Suite се съхраняват некриптирани във файлове с обикновен текст. Този бъг съществува от 2005 г. Google обаче твърди, че не може да намери никакви доказателства, че някоя от тези пароли е попаднала в ръцете на нападатели или е била злоупотребена. Компанията обаче ще нулира всички пароли, които може да бъдат засегнати, и ще уведоми администраторите на G Suite за проблема.

G Suite е корпоративната версия на Gmail и други приложения на Google и грешката очевидно е възникнала в този продукт поради функция, създадена специално за бизнеса. В началото на услугата администратор на компания можеше да използва приложенията на G Suite, за да задава ръчно потребителски пароли: да речем, преди нов служител да се присъедини към системата. Ако използва тази опция, администраторската конзола ще запази тези пароли като обикновен текст, вместо да ги хешира. По-късно Google отне тази възможност от администраторите, но паролите останаха в текстови файлове.

В публикацията си Google полага усилия да обясни как работи криптографското хеширане, така че нюансите, свързани с грешката, да са ясни. Въпреки че паролите бяха съхранени в ясен текст, те бяха на сървърите на Google, така че трети страни можеха да получат достъп до тях само чрез хакване на сървърите (освен ако не бяха служители на Google).

Google не каза колко потребители са потенциално засегнати, освен че каза, че това е „подгрупа от корпоративни клиенти на G Suite“ – вероятно всеки, който е използвал G Suite през 2005 г. Въпреки че Google не можа да намери доказателства, че някой е използвал този достъп злонамерено, не е напълно ясно кой може да е имал достъп до тези текстови файлове.

Във всеки случай проблемът вече е коригиран и Google изрази съжаление в публикацията си относно проблема: „Ние приемаме сигурността на нашите корпоративни клиенти много сериозно и сме горди да популяризираме водещи в индустрията практики за сигурност на акаунти. В този случай ние не отговаряме на нашите стандарти или стандартите на нашите клиенти. Извиняваме се на потребителите и обещаваме да се справяме по-добре в бъдеще."

Източник: 3dnews.ru