セキュリティー・コンサルタントのAde Barkahは、Googleドキュメントにいくつかの重大なセキュリティー上の問題があることをわれわれに知らせてくれた。Googleドキュメントは世界最大の検索エンジン企業GoogleがMicrosoftOfficeのオンライン版として提供している文書作成サービスで、世界中の情報をすべてインターネット上でアクセス可能にするというGoogleが自らに課している使命を果たすための重要なファクターになっている。ソンフトウェア、インフラストラクチャー、セキュリティーについての自身のブログでBarkahはGoogleドキュメントのセキュリティーを調査しているうちに、3種類もの問題を発見したとして概要を説明している。

BarkahがまずGoogleにこの発見を報告するという適切な手順を踏んだ（にもかかわらず、5日も経つのにGoogleから何の返事ない）ので、Googles技術者チームがバグを修正する助けになることを期待してわれわれはこの記事を掲載することにした。見逃した読者のために繰り返しておくと、今月初めにわれわれはGoogleドキュメントの重大なプライバシー問題を指摘した。Googleは後で問題が存在したことを認めて修正を行っている。（われわれはこの問題についてともGoogleに顛末を問い合わせ中）。

さて、どういう問題なのか？

第一に、ユーザーが非公開文書に画像をエンベッドすると、その画像ファイルはGoogleのサーバにアップロードされるが、このファイルはユーザーがアクセスを許可していない相手もアクセスしダウンロードが可能になっている。しかもユーザーが問題の文書を削除した後でもこのファイルには依然として誰でもアクセス可能なのだ。テストとして私のアカウントの非公開文書に 画像をエンベッドし、直後にその文書を削除した。これが問題の画像へのリンクだ。リンクを辿って画像を見ることができたら、上記の現象が起きていると確認できる。

Barkahは以下のように書いているが私も同感だ。

ユーザーが非公開文書に画像をエンベッドした場合、画像も非公開となると考えるのは自然だ。文書を削除すればそこにエンベッドされたファイルもすべて削除されたと考えるのも自然だ。したがって上記の現象はプライバシーの漏洩の原因となる危険性がある。

個人ユーザーであろうと企業ユーザーであろうと、画像フィアルには秘密情報が含まれている可能性が十分にある。ところが画像のURLが分かりさえすれば誰でもその画像にアクセスできるというのはプライバシー管理上の失態といわざるをえない。

２番目の問題は、Googleが昨日発表した作図機能を利用して図を作り、それを文書にエンベッドして誰かと共有した場合、その共有相手は、エンベッドされた図のすべてのバージョンを閲覧できるという点だ。ユーザーが秘密情報を含んだ図を作り、文書の公開前にその秘密部分を削除してから「閲覧のみ」のモードで共有したとしよう。すると共有相手は誰でもURLを少しいじくるだけで文書の作成者は秘密にしてあると思い込んでいる情報を含んだバージョンを見ることができるわけだ。

Barkahが指摘している3番目の問題は非常に深刻なので彼自身詳しい説明を避け、Googleからの回答を待っている。概要はこうだ。ユーザーが共有相手から誰かを削除した後でも、オーナーが知らない間に、その相手はある方法でその文書に依然としてアクセス可能な場合がある。

もしこれが本当なら私はGoogleドキュメントをもう使いたくない。

アップデート：Googleの広報担当者が次のように回答してきた。

Googleではユーザーの情報のセキュリティーに重大な関心をもっており、ご指摘いただいた研究の件についても調査中です。現在まで入手できた情報に基づく限り、指摘のあった問題はGoogleドキュメントに重大なセキュリティー上の危険をもたらすものではないと考えています。なお、さらに新たな情報が判明すればすぐに公表してまいります。

[原文へ]

（翻訳：Namekawa, U）