גוגל שמרה כמה סיסמאות בקבצי טקסט במשך 14 שנים

בבלוג שלי גוגל דיווחה על באג שהתגלה לאחרונה שהביא לכך שסיסמאות של חלק ממשתמשי G Suite נשמרו ללא מוצפן בתוך קבצי טקסט רגיל. הבאג הזה קיים מאז 2005. עם זאת, גוגל טוענת שהיא לא יכולה למצוא שום הוכחה לכך שאחת מהסיסמאות הללו נפלה לידיהם של תוקפים או שנעשה בהם שימוש לרעה. עם זאת, החברה תאפס את כל הסיסמאות שעלולות להיות מושפעות ותודיע למנהלי G Suite על הבעיה.

G Suite היא הגרסה הארגונית של Gmail ואפליקציות אחרות של גוגל, והבאג ככל הנראה התרחש במוצר זה עקב תכונה שתוכננה במיוחד לעסקים. בתחילת השירות, מנהל חברה יכול להשתמש ביישומי G Suite כדי להגדיר סיסמאות משתמש באופן ידני: נניח לפני שעובד חדש הצטרף למערכת. אם הוא השתמש באפשרות זו, מסוף הניהול ישמור סיסמאות כאלה כטקסט רגיל במקום לגיבוב אותן. מאוחר יותר, גוגל לקחה את היכולת הזו ממנהלי מערכת, אבל סיסמאות נשארו בקבצי טקסט.

בפוסט שלה, גוגל מקפידה להסביר כיצד פועל גיבוב קריפטוגרפי כך שהניואנסים הקשורים לשגיאה ברורים. למרות שהסיסמאות נשמרו בטקסט ברור, הן היו בשרתי גוגל, כך שצדדים שלישיים יכלו לקבל גישה אליהן רק על ידי פריצה לשרתים (אלא אם כן היו עובדי גוגל).

גוגל לא אמרה כמה משתמשים עלולים להיות מושפעים, מלבד לומר שמדובר ב"תת-קבוצה של לקוחות ארגוניים של G Suite" - ככל הנראה כל מי שהשתמש ב-G Suite ב-2005. למרות שגוגל לא מצאה ראיות לכך שמישהו השתמש בגישה זו בזדון, לא ברור לחלוטין למי עשוי להיות גישה לקבצי הטקסט הללו.

בכל מקרה, הבעיה תוקנה כעת, וגוגל הביעה חרטה בפוסט שלה על הנושא: "אנו מתייחסים ברצינות רבה לאבטחת הלקוחות הארגוניים שלנו וגאים לקדם נוהלי אבטחת חשבונות מובילים בתעשייה. במקרה זה, לא עמדנו בסטנדרטים שלנו או בסטנדרטים של לקוחותינו. אנו מתנצלים בפני המשתמשים ומבטיחים להשתפר בעתיד".

מקור: 3dnews.ru