Пароли 336 млн пользователей Twitter оказались скомпрометированы из-за бага

Этой ночью Twitter выпустил предупреждение о безопасности, в котором порекомендовал 336 миллионам своих пользователей сменить пароли. Оказалось, что из-за явной ошибки некоторые коды хранились незащищенными во внутреннем журнале. Впрочем, крупных утечек вроде бы не было. Вроде бы. Компания раскрыла проблему в официальном блоге и твитах поддержки «Твиттера». CEO Джек Дорси и официальный аккаунт Twitter Support ретвитнули сообщение вскоре после его выхода, а CTO Параг Аграваль твитнул извинения.

(adsbygoogle = window.adsbygoogle || []).push({});

Полные детали неизвестны, но Twitter говорит, что недавно обнаруженный баг позволял хранить пароли пользователей во внутреннем журнале без защиты, или маски, хеширующего процесса bcrypt. Протокол безопасности промышленного стандарта заменяет фразу-пароль случайными цифрами и буквами, но его отсутствие приводит к тому, что Твиттер логирует пароли в текстовом виде.

Социальная сеть уже исправила глюк и работает над внедрением гарантий предотвращения подобных инцидентов в будущем.

We are sharing this information to help people make an informed decision about their account security. We didn’t have to, but believe it’s the right thing to do. https://t.co/yVKOqnlITA

— Parag Agrawal (@paraga) 3 мая 2018 г.

Как долго баг оставался незамеченным и сколько паролей были задеты, неизвестно, но компания считает, что  конфиденциальная информация не покидала внутренние сервера и не собиралась злоумышленниками.

В качестве меры предосторожности Twitter призывает пользователей сбросить свои пароли в Twitter и других сервисах, где использовались такие же пароли. Компания также предлагает использовать двухфакторную аутентификацию и менеджер паролей.