Nel suo blog un errore recentemente scoperto, che ha portato a memorizzare le password di alcuni utenti di G Suite in forma non crittografata all'interno di file di testo semplice. Questo errore esiste dal 2005. Tuttavia, Google afferma di non aver trovato prove che una qualsiasi di queste password sia stata compromessa o utilizzata in modo improprio. Tuttavia, l'azienda reimposterà tutte le password che potrebbero essere state interessate e informerà gli amministratori di G Suite del problema.
G Suite è la versione aziendale di Gmail e di altre applicazioni Google e, evidentemente, l'errore è emerso in questo prodotto a causa di una funzione progettata specificamente per le aziende. All'inizio dell'operatività del servizio, un amministratore aziendale poteva utilizzare le applicazioni G Suite per impostare manualmente le password degli utenti: per esempio, prima che un nuovo dipendente entrasse nel sistema. Se utilizzava questa possibilità, la console di amministrazione memorizzava tali password in chiaro anziché in forma hash. Successivamente, Google ha rimosso questa possibilità per gli amministratori, ma le password sono rimaste nei file di testo.
Nella sua pubblicazione, Google spiega con attenzione come funziona l'hashing crittografico, affinché siano chiari i dettagli relativi all'errore. Sebbene le password fossero memorizzate in chiaro, erano sui server di Google, quindi l'accesso ai bit non era possibile se non attraverso un hacking server (se non erano dipendenti Google).
Google non ha fornito il numero di utenti potenzialmente interessati, indicando solo che si tratta di un "sottoinsieme dei clienti aziendali di G Suite" — probabilmente chiunque abbia utilizzato G Suite nel 2005. E sebbene Google non sia riuscita a trovare prove che qualcuno abbia usato this access in modo malevolo, non è del tutto chiaro chi potesse avere accesso a questi file di testo.
In ogni caso, il problema è stato già risolto, e Google ha espresso rammarico nella sua pubblicazione sul problema: "Prendiamo molto sul serio la sicurezza dei nostri clienti aziendali e siamo orgogliosi di promuovere le migliori pratiche di sicurezza nel settore. In questo caso, non abbiamo rispettato né i nostri standard né i nostri clienti. Ci scusiamo con gli utenti e promettiamo di migliorare in futuro."
Fonte: 3dnews.ru
