Google a stocké des mots de passe en texte brut pendant 14 ans

Google a révélé,dans une publication le Mardi 21 Mai 2019,avoir découvert un bug qui permettait aux mots de passe d’une partie des utilisateurs de G Suite(la version pour entreprise de Gmail et des autres applications de Google) d’être stockés en texte brut.

Le bug existerait depuis 2005 néanmoins, Google affirme ne pouvoir trouver aucune preuve que le mot de passe d’un utilisateur ait été utilisé à des fins malveillantes.

Mots de passe utilisés à des fins malveillantes

Bien que l’entreprise américaine affirme n’avoir aucune preuve que le mot de passe d’un utilisateur ait été utilisé à des fins malveillantes, elle a tout de même réinitialisé tous les mots de passe susceptibles d’être affectés et informé les administrateurs de G Suite du problème.

L’origine du bug

Le bug serait dû à une fonctionnalité spécialement conçue pour les entreprises. En effet, au début, il était possible pour les administrateurs des applications G Suite de définir manuellement les mots de passe des utilisateurs. Et s’il le faisait, la console d’administration stockait ces mots de passe en texte brut au lieu de les crypter. Il faut noter que Google a depuis retiré cette possibilité aux administrateurs.

Google rassure les utilisateurs

Dans sa publication, Google s’est efforcé d’expliquer le fonctionnement du hashage cryptographique, probablement dans le but de rassurer les utilisateurs. Les mots de passe soient stockés en texte brut sont au moins à l’intérieur des serveurs de Google et seraient donc plus difficiles à obtenir que s’ils étaient sur Internet. Bien que Google ne l’ait pas dit explicitement, il semble vouloir également s’assurer que les internautes ne placent pas ce bug dans la même catégorie que d’autres problèmes de mots de passe en texte brut qui ont été exposés.

En effet, il y a quelques jours seulement que Twitter conseillait à 330 millions de ses utilisateurs de modifier leurs mots de passe après avoir découvert une faille dans leur propre service. En Mars dernier, on avait appris que Facebook avait stocké « des centaines de millions » de mots de passe en texte brut de manière à ce que plus de 20.000 de ses employés puissent y accéder.

Combien d’utilisateurs ont été affectés ?

Pour sa part, Google n’a pas précisé le nombre d’utilisateurs exact d’utilisateurs de G Suitesusceptibles d’être affectés par ce bug. Ce serait probablement tous ceux qui utilisaient G Suite en 2005.

Et même si Google n’a pas la preuve que quiconque ait utilisé ces accès à des fins malveillantes, on ne sait pas qui aurait eu accès à ces fichiers en texte brut.

Quoi qu’il en soit, la situation est maintenant résolue et Google à présenté ses excuses aux utilisateurs :

« Nous prenons très au sérieux la sécurité de nos entreprises clientes et sommes fiers de faire évoluer les meilleures pratiques du secteur en matière de sécurité des comptes. Ici, nous n’avons pas respecté nos propres normes, ni celles de nos clients. Nous nous excusons auprès de nos utilisateurs et nous ferons mieux. »