Na swoim blogu o niedawno odkrytej usterce, w wyniku której hasła niektórych użytkowników G Suite były przechowywane w niezaszyfrowanej formie w prostych plikach tekstowych. Usterka ta istnieje od 2005 roku. Jednak Google twierdzi, że nie może znaleźć żadnych dowodów na to, że jakiekolwiek z tych haseł dostało się w ręce osób trzecich lub zostało niewłaściwie wykorzystane. Niemniej jednak firma zresetuje wszystkie hasła, które mogą być dotknięte, oraz poinformuje administratorów G Suite o problemie.
G Suite to korporacyjna wersja Gmaila i innych aplikacji Google, a usterka najprawdopodobniej wystąpiła w tym produkcie z powodu funkcji zaprojektowanej specjalnie dla przedsiębiorstw. Na początku działalności usługi administrator firmy mógł używać aplikacji G Suite do ręcznego ustawiania haseł dla użytkowników: na przykład przed przybyciem nowego pracownika. Jeśli korzystał z tej możliwości, konsola administratora przechowywała te hasła w formie prostego tekstu zamiast ich haszowania. Później Google odebrała administratorom tę możliwość, ale hasła pozostały w plikach tekstowych.
W swoim oświadczeniu Google starannie wyjaśnia, jak działa kryptograficzne haszowanie, aby były jasne niuanse związane z usterką. Mimo że hasła były przechowywane w jawnej formie, znajdowały się na serwerach Google, dlatego osoby trzecie mogły uzyskać do nich dostęp jedynie poprzez włamanie serwerów (jeśli nie były pracownikami Google).
Google nie podała liczby potencjalnie dotkniętych użytkowników, zauważając jedynie, że chodzi o "podzbiór klientów korporacyjnych G Suite" — prawdopodobnie każdego, kto korzystał z G Suite w 2005 roku. I chociaż Google nie mogła znaleźć dowodów na to, że ktoś wykorzystał ten dostęp w sposób złośliwy, nie jest do końca jasne, kto mógł mieć dostęp do tych plików tekstowych.
W każdym razie problem został już rozwiązany, a Google wyraziło ubolewanie w swoim oświadczeniu na temat problemu: „Bardzo poważnie traktujemy bezpieczeństwo naszych klientów korporacyjnych i jesteśmy dumni z promowania najlepszych w branży metod zapewniania bezpieczeństwa kont. W tym przypadku nie spełniliśmy ani naszych standardów, ani oczekiwań naszych klientów. Przepraszamy użytkowników i obiecujemy, że w przyszłości będziemy lepsi.”
Źródło: 3dnews.ru
