Google lit les inquiétudes de sécurité sur Docs

Google Docs Google ne devrait pas perdre de vue sur les problèmes de sécurité qu'un analyste de sécurité a soulevé au sujet de la suite hébergée d'applications de productivité de bureau, a déclaré vendredi à la fin de l'année. La société a déterminé que les problèmes inclus dans le rapport de l'analyste sont loin d'être critiques.

Les conclusions de Google ne sont pas une surprise. Quelques heures après qu'Ade Barkah a publié son rapport jeudi, Google a répondu avec une déclaration préliminaire disant qu'il enquêtait sur la question mais qu'il ne croyait pas qu'il y avait des problèmes de sécurité importants avec Docs.

[En savoir plus: Comment supprimer les logiciels malveillants de votre Windows PC]

Néanmoins, Google voit évidemment un certain mérite dans le rapport de Barkah. Google a ajouté des informations sur les observations de Barkah à ses pages d'aide sur la création de dessins et sur l'ajout de visionneuses et de collaborateurs aux documents.

En outre, Google peut apporter des modifications à Docs à la suite du rapport Barkah. «Nous explorons aussi d'autres options de conception qui pourraient répondre à ces préoccupations et nous remercions le chercheur de nous avoir fait part de ses préoccupations», a écrit Rochelle.

Interrogé sur le blog de Rochelle, Barkah a indiqué qu'il n'était pas fait avec son analyse de sécurité de Google Docs. "En ce moment, de nouveaux détails et de nouveaux scénarios de test sont encore en train d'émerger: j'apprécie les excellents commentaires que je reçois de Google Security, je continue à partager mes dernières découvertes avec eux et je serai en mesure de commenter davantage. », explique-t-il via e-mail.

Google Docs est un produit gratuit et autonome, ainsi qu'un composant de la suite de collaboration et de communication Google Apps, disponible en version gratuite et payante. Barkah, fondateur de BlueWax, une société de conseil en applications d'entreprise basée à Toronto, a souligné trois failles dans la façon dont les fichiers sont partagés dans Docs, ce qui permet aux autres d'afficher et de modifier leurs documents de traitement de texte. et les présentations.

Tout d'abord, Barkah a noté que les URL insérées dans un document ont leur propre URL, de sorte qu'une personne à qui l'accès a été donné puisse continuer à appeler l'image même si le document est supprimé ou le propriétaire du document supprime ses droits d'accès. «Si vous incorporez une image dans un document protégé, vous vous attendez à ce que l'image soit également protégée, ce qui peut entraîner une fuite de confidentialité», écrit Barkah.

Rochelle réplique que les images sont conservées indépendamment des documents dans lesquels ils apparaissent de peur que leur suppression briserait les références dans d'autres documents et blogs externes. "En outre, les URL d'images ne sont connues que des utilisateurs qui ont déjà eu accès au document dans lequel l'image est incorporée, et auraient donc pu sauvegarder l'image - ce qui est totalement attendu", écrit Rochelle., les propriétaires de document peuvent demander que les images soient purgées de leur compte en envoyant un e-mail à l'équipe d'assistance de Google à l'adresse [email protected]

La seconde observation Barkah concernait la capacité de quelqu'un avec qui un document est partagé à voir Dans sa réponse, Rochelle souligne que permettre aux collaborateurs de voir l'historique des révisions d'un document est une fonctionnalité Docs, et que les seules personnes qui pouvaient voir les révisions passées d'un document ont été consultées. "Nous pouvons envisager d'empêcher explicitement les spectateurs d'accéder aux révisions de dessin", écrit Rochelle. "Pour l'instant, si les propriétaires de document décident qu'ils ne veulent pas que les spectateurs aient accès à leurs révisions, ils peuvent simplement faire une nouvelle copie du document - à partir du menu Fichier - et partager cette nouvelle version. le document et tous les dessins imbriqués sont supprimés sur des copies de documents. "

Barkah n'a pas détaillé son dernier souci dans son rapport pour donner à Google le temps de le dépanner, mais a déclaré que cela permettait, dans certains cas, aux contributeurs dont l'accès à un document a été retiré de revenir sans la connaissance et la permission du propriétaire.

Rochelle explique que le scénario implique l'utilisation d'une fonctionnalité Docs qui permet d'envoyer des invitations à des documents à plusieurs personnes. Google a ajouté cette fonctionnalité en réponse aux demandes des utilisateurs qui souhaitaient transférer des invitations et partager des documents avec des listes de diffusion.

"Les invitations envoyées à l'aide de cette fonctionnalité contiennent une clé spéciale sur le lien du document. Pour ce faire, il suffit de désactiver cette fonctionnalité en la décochant - dans les documents et les présentations, elle est appelée «les invitations peuvent être utilisées par n'importe qui» et dans les feuilles de calcul, les éditeurs peuvent partager cet élément, '' Rochelle a écrit.

Les contrôles de confidentialité et de sécurité dans les applications hébergées de Google ont récemment fait l'actualité. La semaine dernière, le Centre d'information sur la confidentialité a déposé une plainte demandant à la Federal Trade Commission des États-Unis d'empêcher Google d'offrir des services hébergés qui recueillent des données jusqu'à ce que les contrôles de confidentialité puissent être vérifiés.

documents à exposer aux utilisateurs sans autorisation appropriée. Le problème est survenu chez les utilisateurs qui avaient déjà partagé des documents. La société a déclaré que cela affectait moins de 0,05% des documents.

Note de l'éditeur: le pourcentage de documents Google affectés par le problème a été corrigé le 28 mars 2008.