Google Docsのユーザーは、セキュリティアナリストがホスト型オフィス生産性アプリケーションスイートに関して提起したセキュリティ上の懸念を心配して眠れない必要はない、とGoogleは金曜遅くに述べた。
Google Docsのプロダクトマネージャーであるジョナサン・ロシェル氏は公式ブログ投稿で、アナリストのレポートに含まれる問題が重大なものではないと同社が判断した理由を詳しく説明している。
Googleの結論は驚くべきものではない。アデ・バーカ氏が木曜日に報告書を発表した数時間後、Googleは暫定的な声明を発表し、問題を調査中だがGoogleドキュメントに重大なセキュリティ上の問題があるとは考えていないと述べた。
それでも、Googleは明らかにバーカ氏の報告に一定のメリットを見出している。Googleは、バーカ氏の観察結果に関する情報を、Googleドキュメントの「ヘルプ」ページ（図面の作成方法とドキュメントへの閲覧者や共同編集者の追加方法）に追加した。
さらに、GoogleはBarkah氏の報告を受けて、ドキュメントに変更を加える可能性があります。「懸念事項をさらに解決できる代替設計オプションも検討しています。懸念事項を共有してくださった研究者に感謝申し上げます」とRochelle氏は記しています。
ロシェルのブログ記事についてコメントを求められたバーカ氏は、Googleドキュメントのセキュリティ分析はまだ完了していないと述べた。「現時点では、新たな詳細やテストシナリオがまだ出ているところです。Googleセキュリティチームから素晴らしいフィードバックをいただいており、感謝しています。最新の調査結果を引き続き共有しており、分析が完了次第、さらにコメントできる予定です」と、同氏はメールで述べた。
Google ドキュメントは、無料のスタンドアロン製品であると同時に、より広範なコラボレーションおよびコミュニケーション スイートである Google Apps のコンポーネントでもあります。Google Apps には無料版と有料版があり、職場での使用向けに設計されています。
トロントに拠点を置く企業アプリケーションコンサルタント会社 BlueWax の創設者である Barkah 氏は、ユーザーが他のユーザーを招待してワープロ文書やスプレッドシート、プレゼンテーションを閲覧、編集できるようにする Docs でのファイル共有方法に 3 つの欠陥があると指摘しました。
まず、バーカ氏は、文書に挿入された画像には独自のURLが割り当てられるため、文書へのアクセス権を付与されたユーザーは、文書が削除されたり、文書の所有者がアクセス権を削除したりした場合でも、引き続き画像を呼び出すことができると指摘した。「保護された文書に画像を埋め込む場合、画像自体も保護されていると期待されます。その結果、プライバシーが漏洩する可能性があります」とバーカ氏は述べている。
ロシェル氏は、画像を削除すると他の文書や外部ブログでの参照が失われる恐れがあるため、画像が埋め込まれた文書とは独立して保存されていると反論した。「さらに、画像のURLは、画像が埋め込まれた文書に何らかの時点でアクセスしたユーザーのみが知ることができるため、いずれにせよ画像を保存できた可能性があり、これは十分に想定されたことです」とロシェル氏は記した。
最終的には、ドキュメントの所有者は、Google のサポート チーム ([email protected]) にメールを送信して、アカウントから画像を削除するようリクエストできます。
Barkah 氏が 2 番目に指摘したのは、ドキュメントを共有した人が、画像の URL を変更することで、ドキュメントに含まれる図のすべてのバージョンを表示できるという点です。
ロシェル氏は返答の中で、共同編集者がドキュメントの変更履歴を表示できるようにすることはドキュメントの機能であり、図面の過去の変更履歴を表示できるのはドキュメントへのアクセス権を付与されたユーザーだけであると指摘しています。
「閲覧者が図面の改訂版にアクセスできないように明示的に制限することを検討する可能性があります」とロシェルは記している。「現時点では、ドキュメントの所有者が閲覧者に改訂版へのアクセスを許可したくない場合は、[ファイル] メニューからドキュメントの新しいコピーを作成し、その新しいバージョンを共有するだけで済みます。ドキュメントのコピーでは、ドキュメント自体と埋め込まれたすべての図面の改訂履歴は削除されます。」
バーカ氏は報告書の中で、グーグルに問題解決の時間を与えるため、最終的な懸念事項を詳しく述べなかったが、文書へのアクセスを剥奪された寄稿者が、所有者の承諾なしに再び文書にアクセスできるよう許可しているケースもあったと述べた。
ロシェル氏によると、このシナリオでは、ドキュメントへのアクセス招待を複数の人に転送できるGoogleドキュメントの機能を利用しているとのことです。Googleは、招待を転送したり、メールリストでドキュメントを共有したりしたいというユーザーからの要望に応えて、この機能を追加しました。
「この機能を使って送信された招待状には、ドキュメントリンクに特別なキーが含まれています。この機能はいつでも無効にすることができ、その特別なキーを含む以前に配布された招待状を失効させることができます。無効にするには、この機能のチェックマークを外すだけです。ドキュメントやプレゼンテーションでは「招待状は誰でも使用できます」、スプレッドシートでは「編集者はこのアイテムを共有できます」となっています」とロシェル氏は書いています。
Googleのホスト型アプリケーションにおけるプライバシーとセキュリティ管理が最近話題になっています。先週、電子プライバシー情報センター（EPIC）は、プライバシー管理が検証されるまで、Googleがデータを収集するホスト型サービスを提供するのを差し止めるよう、米国連邦取引委員会（FTC）に申し立てを行いました。
今月初め、Googleはドキュメントの不具合により、一部のドキュメントが適切な許可なくユーザーに公開されていたことを認めました。この問題は、以前にドキュメントを共有していたユーザー間で発生しました。同社によると、影響を受けたドキュメントは全体の0.05%未満でした。編集者注：この不具合の影響を受けたGoogleドキュメントの割合は、2008年3月28日に修正されました。
