近日，有消息称企业级认证和接入应用OneLogin的一台服务器被入侵，用户数据被窃取。但更糟糕的是，泄露数据的服务器是用于保存用户的存储凭证的，如：admin密码及软件密码。
针对企业面临的动态用户管理和海量账号跨平台登录的难题，基于云端的OneLogin给出了一套高效且安全的解决方案。OneLogin界面看起来是一个集成了数以千计的app的门户，它让企业得以按需配置并跨平台(PC和移动端)支持一键登录，省去了记忆用户名和密码的麻烦。
该公司负责人表示，其旗下的Secure Notes(安全笔记)遭到了入侵，攻击者可明文浏览用户于2016年6月2日至8月25日之间保存的笔记。
OneLogin用户约有1200万
对于有可能会受到影响的用户来说，此次泄露的信息极具威胁性。OneLogin暗
示称Secure Notes可以存储如“许可证密匙或防火墙密码等信息”，而被窃取的数据则成为了入侵者进行网络开发或后续活动的有力武器。
OneLogin将此次泄露归咎于一个未指定的错误，并称这使得用户的笔记在“进行多层 AES-256加密”前为他人可见。
据称，黑客使用不明手段窃取了一名工作人员的密码，通过该密码访问了公司内部网络。
该公司已发表声明
“通过日志管理系统的记录，我们可以看到入侵者至少可以浏览到2016年7月25日至2016年8月25日期间，用户更新的笔记内容。”该公司首席信息官Alvaro Hoyos在一份声明中表示。
“由于入侵者可能早在今年7月2日就入侵了我们的系统，2016年6月2日至7月24日更新过笔记的用户们也应当注意自己面临着潜在风险。”
据称，仅“小部分”用户受到影响
OneLogin已经聘请了外部的一家安全公司来保障该公司在此次数据泄露后的安全。
安全公司涉及的范围包括：对受到影响的日志管理系统进行限制访问，基于SAML认证、IP地址的白名单，并重置内部系统的所有密码。
“我们再次表示深深的歉意。我们将竭尽所能来保证类似的事件不会再次发生，”Hoyos说道。
谷歌Project Zero研究员Tavis Ormandy将泄露归咎于该公司员工未能妥善密码管理，而这从技术上是本可以避免的。
(责任编辑：宋编辑)
