In meinem Blog eine kürzlich entdeckte Sicherheitslücke, bei der die Passwörter einiger G Suite-Nutzer in unverschlüsselter Form in einfachen Textdateien gespeichert wurden. Diese Lücke besteht seit 2005. Google behauptet jedoch, dass keine Beweise dafür gefunden werden konnten, dass eines dieser Passwörter in die Hände von Angreifern gelangt oder missbräuchlich verwendet wurde. Dennoch wird das Unternehmen alle potenziell betroffenen Passwörter zurücksetzen und die G Suite-Administratoren über das Problem informieren.
G Suite ist die Unternehmensversion von Gmail und anderen Google-Anwendungen, und offenkundig trat der Fehler in diesem Produkt aufgrund einer speziell für Unternehmen entwickelten Funktion auf. Zu Beginn des Dienstes konnte der Administrator eines Unternehmens die G Suite-Anwendungen nutzen, um die Passwörter der Benutzer manuell festzulegen: sagen wir, bevor ein neuer Mitarbeiter ins Team kam. Wenn er diese Möglichkeit nutzte, speicherte die Administrationskonsole diese Passwörter im Klartext anstelle ihrer Hashung. Später entzogen die Administratoren diese Möglichkeit, doch die Passwörter blieben in Textdateien.
In ihrem Beitrag erklärt Google anschaulich, wie kryptografisches Hashing funktioniert, um die damit verbundenen Nuancen im Zusammenhang mit dem Fehler zu verdeutlichen. Auch wenn die Passwörter im Klartext gespeichert waren, lagen sie auf den Servern von Google, wodurch Dritte nur durch einen Hack darauf zugreifen konnten. Server (es sei denn, sie waren Mitarbeiter von Google).
Google gab nicht an, wie viele potenziell betroffene Nutzer es gab, bemerkte jedoch lediglich, dass es sich um "eine Teilmenge der G Suite-Unternehmenskunden" handelt – wahrscheinlich um jeden, der G Suite im Jahr 2005 genutzt hat. Und obwohl Google keine Beweise fand, dass jemand unberechtigt auf diesen Zugang zugegriffen hat, bleibt unklar, wer Zugang zu diesen Textdateien hatte.
In jedem Fall ist das Problem bereits behoben, und Google drückte in seinem Beitrag zu dem Vorfall sein Bedauern aus: „Wir nehmen die Sicherheit unserer Unternehmenskunden sehr ernst und sind stolz darauf, branchenweit führende Methoden zur Sicherung von Konten zu fördern. In diesem Fall haben wir weder unseren eigenen Standards noch den Erwartungen unserer Kunden entsprochen. Wir entschuldigen uns bei den Nutzern und versprechen, in Zukunft besser zu werden.“
Quelle: 3dnews.ru
