Google przez 14 lat zapisywało część haseł czystym tekstem
W poście na swym blogu Google ujawniło, że niedawno odkryli błąd, w wyniku którego część haseł przechowywana była w postaci zwykłego tekstu. Błąd dotyczy wyłącznie użytkowników biznesowej chmury G Suite (dawne Google Apps for Work), ale istnieje już od 2005 r. I choć oficjalnie żadne dane utracone nie zostały, firma otwarcie informuje o swojej wpadce.
G Suite jest korporacyjną wersję Gmaila i innych aplikacji Google'a, błąd powstał z powodu funkcji zaprojektowanej specjalnie dla firm. Swego czasu każdy administrator firmy mógł ręcznie ustawiać hasła użytkowników, tworząc na przykład konta dla nowych pracowników. To właśnie te hasła przechowywane były w postaci czystego tekstu, zamiast zostać zahaszowane. Przy czym u nowych użytkowników taki problem nie wystąpi, gdyż funkcja całkowicie zniknęła z pakietu.
Nie doszło do utraty danych
Google stara się wyjaśnić, czym jest haszowanie haseł. Zapewnia dodatkową ochronę wtedy, gdy złodziej zdoła już uzyskać dostęp do bazy danych (w bazie przechowywana jest funkcja, której na wejściu podajemy właściwie hasło). Hasła do G Suite'a, choć w formie czystego tekstu – zdaniem producenta – znajdowały się na dobrze zabezpieczonych serwerach.
Tym samym firma z Mountain View chce mimo wszystko uchodzić za bardziej rzetelną od konkurencji, która w podobnych okolicznościach przyznawała się do utraty haseł. W marcu Twitter zalecił zmianę hasła wszystkim 330 mln użytkowników – z powodu naruszenia bezpieczeństwa. W podobnym czasie wyszło na jaw, że hasła "setek milionów" użytkowników Facebooka były dostępne, właśnie jako czysty tekst, dla grupy około 20 tys. pracowników. Wkrótce analogiczną wpadkę odkryto na Instagramie.
Zespół Google'a nie ujawnia, jak wielu użytkowników mogło zostać dotkniętych błędem. Nie wiadomo też, czy ktoś w ogóle miał dostęp do niezahaszowanych haseł, a jeśli tak – czy wykorzystał ten dostęp w sposób złośliwy. Kilkukrotnie podkreślono, natomiast że chodzi tylko o klientów korporacyjnych i G Suite, a zagrożenie jest już ponoć całkowicie zażegnane.
Przeprosiny z obietnicą poprawy
Google opublikowało przy tym krótkie oświadczenie, w którym przeprasza za zaistniałą sytuację, deklarując raz jeszcze, że dane przechowywane na kontach są bezpieczne: