使用 Google G Suite (Mail、Drive) 免费教育版的陷阱漏洞，你还在用吗？

我们家算是很早一批投入 Google Apps（现在更名 G Suite[1]）用户，对于后台操作也算熟悉，不过因为内部使用人员不多，反而忽略一件小事情，实际上 Google Mail、Drive 这些服务一直存在很大一个漏洞：「管理者」！

刚好最近发生一起国立大学网络管理员监守自盗，学生和老师们的机密资料纷纷透过 Google G Suite 教育版的漏洞外泄，这才让大家意识到，虽然是 Google，却是有漏洞的 Google。

由于 Google 取消 G Suite 的免费版本，仅剩学校单位还能申请的教育版维持免费，加上近年云端系统兴起，下至幼稚园上至大学研究所，许多单位纷纷改用 Google G Suite 教育版，替学校省下大笔的网络建设费用，甚至还大放福利让毕业校友也能回锅申请无期限、无限制容量的信箱与网络硬盘（Drive）服务。

然而很多人都忘记一件事，虽然是 Google 服务，实际上这个网络环境一点都不安全。就像这次国立大学的管理人员因为起了私欲，导致大量用户隐私资料外泄一样，只要有人的地方，就有漏洞。

对于已经习惯使用学校提供免费教育版服务的人来说，下一步就是将许多机密资料通通放在云端，例如身分证影本、护照影本、帐号密码纪录、情书甚至是私密自拍影片等等，方便自己可以随时随地取用，就算出国旅行也不怕。

然而，实际上网络管理员只需要 5 秒，就能把全部资料「偷走」。

请见下图，管理者只需要按一个钮，就能轻松更改任何帐户密码，夺取用户权限而替之。

Google G Suite 密码更新。

这个机制原本立意良善，把用户管理的权限下放给网站管理者，然而在实际应用上可能比许多内容管理系统（CMS）还糟糕。起码那些系统更改密码后，只会将新密码寄到用户信箱，但是 Google 却允许管理者随意重设密码，虽然很方便，却也明显是一个大漏洞，毕竟我们根本不知道网络管理者到底是什么人？

如果哪一天突然无法登入学校信箱和网络硬盘，手动重新设定密码后又可以正常使用，这时候你就该担心除了骇客入侵外，是不是有可能被管理者盗用（正妹尤其要注意）。

一般来说有两种人拥有权限专门管理校园网络，一种是信息科系老师兼任行政职，另一种是就是学生，有些是从信息社团直接担任，有些则是自行主动应征。

老师对于工作职掌的业务有较高的法律常识，加上工作稳定，相对来说比较不会轻易做出违法情事（怪老师例外）。

但是年轻学生对于法律责任意识相对较弱，加上充满好奇心与性冲动，很有可能就出问题了。举例来说，你想不想知道自己暗恋女孩子的个人资料？

虽然 Google G Suite 存在这个陷阱漏洞，但是免费的教育版也不是不能用，毕竟这套系统是市面上少数有著无限容量和强大管理功能等优点。

但是请大家千万注意，千万不要将重要资料存放在教育版本的信箱和网络硬盘里头，例如身分证影本、护照影本、帐号密码纪录、商业文件等等，请将这些重要资料另外存放在独立信箱或是根本放在电脑内不要上传网络。

你可以把免费教育版服务拿来存放一些不重要，却又很占空间的资料（不过说实话，用得这样麻烦，我还宁可不用）。

参考文献／备注

1. G Suite（Google G Suite 官网）是 Google 在订阅基础上提供的一套云端运算生产力和协作软件工具和软件。 它包含 Google 广受欢迎的网络应用程序，包括 Gmail、Google 云端硬盘、Google 环聊、Google 日历和 Google 文件。