Google съхраняваше някои пароли в текстови файлове в продължение на 14 години

В блога си Google съобщи за наскоро открит проблем, при който паролите на някои потребители на G Suite са се съхранявали в незашифрован вид в обикновени текстови файлове. Тази грешка съществува от 2005 година. Въпреки това, Google твърди, че не може да намери доказателства, че някоя от тези пароли е била компрометирана или неправомерно използвана. Все пак, компанията ще нулира всички пароли, които могат да бъдат засегнати, и ще извести администраторите на G Suite за проблема.

G Suite е корпоративната версия на Gmail и други приложения на Google и очевидно грешката е възникнала в този продукт заради функция, проектирана специално за бизнеса. В началото на работата на услугата, администраторът на компанията е могъл да използва приложенията на G Suite за ръчно задаване на пароли на потребителите: да кажем, преди нов служител да влезе в системата. Ако той е използвал тази възможност, администраторската конзола е съхранявала такива пароли в обикновен текст, вместо да ги хешира. По-късно Google отне тази възможност от администраторите, но паролите така и останаха в текстовите файлове.

В публикацията си Google внимателно обяснява как работи криптографското хеширане, за да бъдат ясни нюансите, свързани с грешката. Макар паролите да са съхранявани в открит вид, те са били на сървърите на Google, така че достъпът до тях от трети страни е можел да стане единствено чрез хакерство сървъри (ако не са били служители на Google).

Google не съобщи броя на потенциално засегнатите потребители, отбелязвайки само, че става дума за "подмножество корпоративни клиенти на G Suite" — вероятно всеки, който е използвал G Suite през 2005 година. И въпреки че Google не е успяла да намери доказателства, че някой е използвал този достъп злонамерено, не е съвсем ясно кой е могъл да има достъп до тези текстови файлове.

Във всеки случай, проблемът вече е отстранен и Google изрази съжаление в своята публикация относно проблема: "Ние се отнасяме много сериозно към сигурността на нашите корпоративни клиенти и се гордеем, че предлагаме най-добрите в индустрията методи за защита на акаунтите. В настоящия случай не отговаряхме нито на нашите стандарти, нито на нашите клиенти. Извиняваме се на потребителите и обещаваме в бъдеще да станем по-добри."

Източник: 3dnews.ru