El día de ayer GitHub comunicó a un número selecto de usuarios, sobre un error en el proceso de reinicio de passwords, en el cual las passwords que fueron restauradas en el último tiempo, fueron registradas accidentalmente dentro de los Logs internos de la compañía en texto claro.
Según la compañía, solo algunos empleados de Github tuvieron acceso a estos logs. De todas maneras recalcan que ningún usuario de Github tuvo acceso a estas passwords almacenadas en texto claro.
Github dice que las contraseñas dentro de su plataforma están seguras, ya que estos las encriptan con el algoritmo bcrypt. Los usuarios que han reiniciado su contraseña últimamente son los que se han visto afectados por este error.
El error salio por una auditoria
Como toda empresa responsable de su seguridad, Github realizo su auditoria de rutina, y fue ahí donde se encontró este error.
A decenas de usuarios les llego a sus correos electrónicos el aviso del problema de sus contraseñas, y como era de imaginarse todos ellos pensaron que era una campaña de phishing, pero realmente eran correos legítimos de github, para informarles a los afectados del problema que estaba ocurriendo.
Varios de ellos mostraron sus emails por Twitter
— 𝐎𝐥𝐢𝐯𝐞𝐫 𝐇𝐨𝐮𝐠𝐡 ⛱ (@olihough86) 1 de mayo de 2018
@github asked me to change password. pic.twitter.com/NgRVb2vVCX— Bobinson K B (@bobinson) 1 de mayo de 2018
Este es el correo que le enviaron a sus usuarios para que realizaran el reinicio de sus contraseñas.
During the course of regular auditing, GitHub discovered that a recently introduced bug exposed a small number of users' passwords to our internal logging system, including yours. We have corrected this, but you'll need to reset your password to regain access to your account.
GitHub stores user passwords with secure cryptographic hashes (bcrypt). However, this recently introduced bug resulted in our secure internal logs recording plaintext user passwords when users initiated a password reset. Rest assured, these passwords were not accessible to the public or other GitHub users at any time. Additionally, they were not accessible to the majority of GitHub staff and we have determined that it is very unlikely that any GitHub staff accessed these logs. GitHub does not intentionally store passwords in plaintext format. Instead, we use modern cryptographic methods to ensure passwords are stored secure in production. To note, GitHub has not been hacked or compromised in any way.
You can regain access to your account by resetting your passwords using the link below::
https://github.com/password_reset
