In meinem Blog über einen kürzlich entdeckten Fehler, aufgrund dessen einige Benutzerdaten von G Suite in unverschlüsselter Form in einfachen Textdateien gespeichert wurden. Dieser Fehler besteht seit 2005. Google behauptet jedoch, dass keine Beweise dafür gefunden werden konnten, dass eines dieser Passwörter in die Hände von Unbefugten gelangte oder missbräuchlich verwendet wurde. Dennoch wird das Unternehmen alle möglicherweise betroffenen Passwörter zurücksetzen und die Administratoren von G Suite über das Problem informieren.
G Suite ist die Unternehmensversion von Gmail und anderen Google-Anwendungen, und der Fehler trat offensichtlich in diesem Produkt aufgrund einer speziell für Unternehmen entwickelten Funktion auf. Zu Beginn des Dienstes konnte der Unternehmensadministrator G Suite-Anwendungen verwenden, um die Passwörter der Benutzer manuell festzulegen: beispielsweise bevor ein neuer Mitarbeiter ins System eintrat. Wenn er diese Möglichkeit nutzte, speicherte die Administrationskonsole solche Passwörter als Klartext anstelle ihrer Hash-Werte. Später nahm Google diese Möglichkeit den Administratoren, aber die Passwörter blieben in den Textdateien.
In ihrem Beitrag erklärt Google sorgfältig, wie kryptografisches Hashing funktioniert, um die Nuancen im Zusammenhang mit dem Fehler zu verdeutlichen. Obwohl die Passwörter im Klartext gespeichert waren, befanden sie sich auf den Servern von Google, sodass Unbefugte nur durch Hacking darauf zugreifen konnten Server (wenn sie nicht Mitarbeiter von Google waren).
Google hat keine Angaben zur Anzahl potenziell betroffener Nutzer gemacht und lediglich angemerkt, dass es sich um ein „Untergruppe von G Suite Unternehmenskunden“ handelt – wahrscheinlich jeden, der G Suite im Jahr 2005 genutzt hat. Und obwohl Google keine Beweise finden konnte, dass jemand diesen Zugriff böswillig genutzt hat, ist nicht ganz klar, wer Zugriff auf diese Textdateien gehabt haben könnte.
In jedem Fall ist das Problem bereits behoben, und Google hat in seiner Veröffentlichung über das Problem Bedauern geäußert: „Wir nehmen die Sicherheit unserer Unternehmenskunden sehr ernst und sind stolz darauf, die besten Sicherheitspraktiken der Branche zu fördern. In diesem Fall haben wir weder unseren Standards noch unseren Kunden gerecht werden können. Wir entschuldigen uns bei den Nutzern und versprechen, in Zukunft besser zu werden.“
Quelle: 3dnews.ru
