Zespół Joomla ogłosił naruszenie bezpieczeństwa spowodowane niezaszyfrowaną kopią zapasową

Programiści prowadzący Joomla, projekt typu open source i jeden z najpopularniejszych systemów zarządzania treścią na świecie, zgłosili naruszenie danych w zeszłym tygodniu. Były członek zespołu przesłał kopię zapasową całej witryny Joomla Resources Directory do niechronionej usługi Amazon Web Service (AWS) S3. W kopii zapasowej uwzględniono dane około 2700 zarejestrowanych użytkowników. Zespół Joomla postanowił nie zamiatać wyłomu pod dywan, a incydent został opisany w dość szczegółowym powiadomieniu. Niektórzy mogą myśleć, że to dziwna decyzja.

Zresztą większość ujawnionych danych była publicznie dostępna

Większość dotkniętych kont jest własnością deweloperów, którzy korzystają ze strony internetowej w celu reklamowania swoich umiejętności i usług. Ujawnione dane obejmowały nazwiska, adresy e-mail, adresy fizyczne, numery telefonów, strony internetowe firmy, preferencje subskrypcji biuletynu, adresy IP i hasła mieszane. Wszystko oprócz haseł było w postaci zwykłego tekstu, a cała kopia zapasowa nie była szyfrowana.

To nie jest bardzo dobra rzecz, ale trzeba powiedzieć, że użytkownicy, których to dotyczy, nie mają się czym martwić. Większość informacji i tak była publicznie dostępna, więc chociaż nie ma informacji na temat tego, czy ktoś uzyskał dostęp do ujawnionej kopii zapasowej, potencjalny wpływ tego konkretnego naruszenia danych jest raczej niewielki.

Słaba obsługa kopii zapasowych nie jest dobrym wyglądem

Pomimo stosunkowo niskiej powagi naruszenia, zespół Joomla wydaje się poważnie traktować ten incydent. I tak powinni.

Jak zauważył ZDNet, do niedawna Joomla był drugim najpopularniejszym systemem zarządzania treścią na świecie i chociaż nie jest tak duży jak WordPress, liczba stron internetowych, które na nim bazują, wynosi ponad 2 miliony. Odpowiedzialność za ludzi prowadzących projekt jest dość duża, a umożliwienie wycieku niezakodowanych kopii zapasowych jest po prostu niedopuszczalne.

Na szczęście po naruszeniu nastąpił audyt bezpieczeństwa, a zespół zapewnia nas, że wprowadzono szereg zmian w zasadach i procedurach. Jest to zdecydowanie lepsza sytuacja niż do końca i mamy nadzieję, że programiści innych projektów tego rozmiaru będą uczyć się na błędach Joomla i podejmą niezbędne środki ostrożności przed ujawnieniem jakichkolwiek danych.