Google bewaarde sommige G Suite-wachtwoorden in plaintext

[Captain Kirk]

Google heeft een onbekend aantal wachtwoorden van G Suite-gebruikers 14 jaar lang in plaintext bewaard. Dat heeft de internetgigant via een blogpost bekendgemaakt. Google stelt dat het wachtwoorden altijd hasht, zodat ze niet leesbaar zijn mocht een aanvaller toegang krijgen.

In de zakelijke oplossing G Suite, dat onder andere uit Gmail, Hangouts, Calendar, Drive en Docs bestaat, had Google een feature toegevoegd waardoor domeinbeheerders wachtwoorden voor gebruikers handmatig konden instellen en herstellen. Dit moest het bijvoorbeeld eenvoudiger voor nieuwe gebruikers maken, die zo hun inloggegevens op hun eerste dag konden ontvangen. De feature maakte ook 'account recovery' eenvoudiger volgens Google.

De wachtwoordfunctionaliteit is inmiddels verwijderd, maar bevatte sinds de implementatie in 2005 een fout. De beheerdersconsole die beheerders toegang tot de feature gaf bewaarde een kopie van het wachtwoord in plaintext. Om hoeveel gebruikers het gaat is niet bekendgemaakt. Google spreekt over "sommige wachtwoorden". De internetgigant merkt op dat het geen bewijs van ongepaste toegang of misbruik van de betreffende wachtwoorden heeft waargenomen.

Tevens ontdekte Google in januari een tweede probleem waarbij wachtwoorden van G Suite-gebruikers maximaal 14 dagen in plaintext werden bewaard. Dit probleem is verholpen en Google stelt dat het ook hier geen misbruik heeft waargenomen. G Suite-beheerders van getroffen organisaties zijn door Google ingelicht. Uit voorzorg gaat Google ook de wachtwoorden van gebruikers resetten waarbij dit nog niet is gedaan. G Suite zou meer dan 5 miljoen betalende klanten hebben.

Onlangs kwam ook Facebook in het nieuws omdat het wachtwoorden van honderden miljoenen gebruikers in plaintext had bewaard.

 

 

bron: security.nl