TL;DR wygląda na to, że wystarczy znać czyjś NIP, aby się „dobrać” do jego danych finansowych w Google Cloud. I nie wygląda to na błąd w aplikacji, który można szybko poprawić, ale na „by design”.
Kilka dni temu porównaliśmy zarządzanie użytkownikami, uprawnieniami i kluczami dostępowymi w Amazon Web Services i Microsoft Azure. Dzisiaj pora na ostatniego z trzech największych graczy w branży chmury publicznej, czyli Google Cloud.
Z usług ilu chmur publicznych dotychczas korzystałeś? Jeśli z więcej niż jednej, zauważyłeś pewnie, że sposób organizacji użytkowników, uprawnień, oraz ich haseł i kluczy dostępowych, różni się diametralnie u każdego z dostawców. Utrudnia to życie nie tylko programistom legalnych aplikacji, jak też osobom zajmującym się bezpieczeństwem IT – zarówno ofensywnym jak i defensywnym.