Evernote Business

2019: XSS-уязвимость в Evernote Web Clipper поставила под угрозу пользовательские данные

14 июня 2019 года стало известно, что XSS-уязвимость в браузерном расширении Evernote поставила под угрозу пользовательские данные. Реальной утечки, по-видимому, не произошло: разработчики Evernote оперативно исправили проблему.

Как сообщалось, довольно банальная уязвимость в фирменном браузерном расширении популярного бизнес-приложения Evernote поставила под угрозу данные всех его пользователей. Приблизительная пользовательская база расширения Evernote Web Clipper для Chrome составляет 4600000 аккаунтов.

По данным компании Guardio, эксперты которой обнаружили баг, речь идёт об уязвимости класса Universal Cross-Site Scripting (универсальный межсайтовый скриптинг). Ошибка в коде Evernote Web Clipper позволяет обойти правила ограничения домена в браузере (Same Origin Policy), что обеспечивает злоумышленнику «привилегии на исполнение кода в iFrame вне пределов домена Evernote».

На практике это означает, что данные пользователей Evernote могут быть раскрыты на других сайтах. То есть злоумышленнику необходимо будет заманить потенциальную жертву на сайт под своим контролем - со скрытыми iframe, в которые загружаются целевые сторонние сайты. Затем, с помощью эксплойта можно заставить Evernote внедрить вредоносный компонент во все загруженные iframe, и с его помощью можно выкрасть файлы cookie, реквизиты доступа к другим ресурсам и прочую конфиденциальную информацию, а также выполнить какие-либо действия от лица пользователя.

Ролик показывает возможность получать доступ к аккаунтам в социальных сетях, финансовым данным и сведениях о покупках, а также читать приватные сообщения и электронную почту любого пользователя уязвимого расширения Chrome.

Evernote - на июнь 2019 года популярный инструмент, так что эксплуатация этой уязвимости могла создать массивные проблемы для пользователей данного расширения. Этого, к счастью, не произошло, однако сама ситуация - повод для разработчиков популярных браузерных расширений провести дополнительный аудит безопасности своих продуктов. Слишком высоким может быть риск от банальной ошибки в коде. рассказала Анастасия Мельникова, эксперт по информационной безопасности компании SEC Consult Services

Проблема была выявлена в конце мая 2019 г. Разработчикам Evernote понадобилось менее недели для того, чтобы выкатить исправление, обновив версию расширения до индекса 7.11.1. ^[1]

2014: Обновление функционала

6 октября 2014 года стало известно о некоторых новых функциях и возможностях, запланированных для пользователей приложения в будущем.

Новые особенности

• Веб-клиент сервиса оснащается новым дизайном. По словам разработчиков, он создан чтобы убрать всё отвлекающее - весь визуальный шум от навигации и функций сервиса. При создании заметки почти все инструменты и функции скрываются, затем возвращаются на место.

• В состав Evernote войдут две новые функции: Context и Work Chat. В процессе ввода новой заметки Context анализирует информацию и подбирает материалы, соответствующие текущей работе. При необходимости их можно будет добавить в заметку. Evernote Context действует на основе существующих в Evernote возможностях. Так, функция Related Notes показывает заметки, связанные с той, которую вводит пользователь.

• В Evernote Business отображаются похожие заметки коллег. Посредством Evernote Context этот функционал расширен. В левую часть интерфейса приложение загружает релевантные сведения, которые можно добавить в текущую заметку. Данные появляются после того, как Evernote «считывает» вводимую заметку: к примеру, если заметка касается конкретной организации, программа предлагает ссылки на ее контакты в LinkedIn и новости о ее активности.

• Work Chat - средство онлайновой коммуникации в процессе совместной работы нескольких сотрудников над документами. Своего рода пространство для совместной работы в группе с использованием искусственного интеллекта.

С внедрением чата пользователям не потребуется использовать сторонние средства коммуникации, например, электронную почту или мессенджеры. Новые функции будут реализованы в приложениях Evernote для iOS, Android и Mac, в веб-приложении.

• Presentation. Назначение режима — облегчить процесс создания презентаций. С его помощью можно в автоматическом режиме трансформировать заметку, подобрав оптимальные настройки форматирования. Доступна возможность создания презентаций из нескольких заметок сразу. Если требуется что-то изменить, можно вернуться в привычный режим и внести эти изменения. Они автоматически будут использованы в режиме презентации.

Новые функции будут доступны в ноябре 2014 года.

2013

Общая информация

Evernote Business создан на базе ключевого набора возможностей сервиса Evernote и дополнен функциональностью, разработанной специально под потребности малого и среднего бизнеса, а также рабочих групп в больших компаниях.

С Evernote Business пользователи смогут добавлять новую информацию для коллег и в свою очередь оперативно узнавать о том, что известно другим сотрудникам по интересующим темам без каких-либо задержек и неравномерного распространения информации в компании.

Поддержка Evernote Business реализована в приложениях Evernote для Windows, Mac, iOS и Android и веб-клиенте сервиса. Связанные заметки уже можно просматривать в приложении для Mac, Evernote Clearly для Chrome и Firefox, а также в Evernote Web Clipper для Chrome.

С 28 февраля 2013 года продукт доступен российским компаниям.

Сайт продукта: [[1]]

Evernote Business - представитель BYOD. Разграничиваются только бизнес-данные, принадлежащие корпорации, и личные данные. Причем бизнес-данные сохраняются, даже если пользователь увольняется, при этом он ничего не может удалить из бизнес-блокнота, все остается у администратора по бизнес-аккаунт-модерации.

Корпоративные данные хранятся в data-центре в Калифорнии^[2]. Доступ к данным кроме пользователей есть у трех лиц компании: руководителя отдела технического сопровождения, технического директора и генерального директора Evernote есть доступ в data-центр по предварительной заявке. Предусмотрен ряд протоколов безопасности, применяемых к любому случаю прохода сотрудников в data-центр, которые включает обязательную проверку отпечатков пальцев и сканирование радужной оболочки глаза.

Работа Evernote физически осуществляется из data-центра в городе Санта-Клара, Калифорния. Он прошел сертификацию по SAS 70 (Type II) и SSAE16 SOC-1 (Type 2). Интернет-подключение осуществляется через резервируемое парное соединение от NTT America. Ночное резервное копирование выполняется по выделенному приватному каналу также прошедшему сертификацию SAS 70 (Type II). Данные Evernote хранятся в принадлежащих нам серверах, сгруппированных в фермы серверов (шарды). Каждый шард обрабатывает все данные и весь трафик (как веб, так и API), как минимум, для 100 тыс. зарегистрированных пользователей. Шарды, содержащие пользовательские данные, наряду с другими элементами сервисной инфраструктуры, защищены серией маршрутизаторов, брандамауэров и балансировщиков нагрузки. Все передаваемые данные между приложениями Evernote и сервисом Evernote шифруются по отраслевому стандарту SSL. Физически шарды расположены попарно в боксах SuperMicro и снабжены четырехъядерными процессорами Intel, 48 Гбайт ОЗУ и набором промышленных дисков Seagate, объединенных в зеркалирующие RAID-массивы.

Функциональность решения

Бизнес-блокноты

Пользователи могут размещать рабочие документы, проекты и исследования в бизнес-блокнотах, которыми они могут поделиться с коллегами или опубликовать в бизнес-библиотеке. Личные и бизнес-блокноты различаются визуально.

Бизнес-библиотека

Библиотека это единая площадка для публикации бизнес-блокнотов сотрудниками, а также важной корпоративной информации админстраторами. По мере роста компании собранная в бизнес-библиотеке база знаний становится полезным ресурсом как для новых, так и для уже существующих сотрудников.

Улучшенные возможности совместного доступа

Evernote Business позволяет сотрудникам делиться важной информацией со своей командой, отделом или компаний целиком, или же с пользователями извне (например, клиентами). Ограничения доступа легко настраиваются, и в случае ухода сотрудника из компании, у него остается доступ только к личным записям, а в корпоративной базе знаний сохраняется доступ к его бизнес-заметкам.

Связанные заметки

Новая функция связанных заметок позволяет в нужное время обратить внимание на ценную информацию, показывая подходящие записи из коллективной базы знаний компании. При просмотре, поиске или создании новой заметки пользователь увидит похожие записи как из своего аккаунта, так и из подключенных бизнес-блокнотов, а также из бизнес-библиотеки.

Простое развертывание

Центральная панель администрирования позволяет легко наращивать число рабочих мест, а также просматривать и контролировать права доступа учетных записей всех сотрудников. Оплачивать подписку для сотрудников можно по кредитной карте.

Увеличенный ежемесячный объем добавляемой информации

Пользователи Evernote Business могут добавлять до 2 гигабайт новой информации в личные блокноты ежемесячно, что вдвое превосходит объем, доступный премиум-подписчикам. Компания также получает по 2 гигабайта в месяц на каждого пользователя, которые распределяются среди всех бизнес-блокнотов.

Редактирование и удаление заметок

Удаление из корзины уничтожит данные. Некоторое время они будут сохраняться в системе резервного копирования, но восстановить их после удаления пользователем нельзя. Однако если речь идет о редактировании текста, то, используя премиум-функцию истории заметки, предыдущую версию можно восстановить.

Evernote для Salesforce

Безболезненное масштабирование бизнеса без огромных финансовых и временных затрат в развитие и адаптацию нового персонала и поиска новых каналов сбыта до недавнего времени казалось мало выполнимой задачей. Однако, уже сейчас быстрорастущий бизнес может этого достичь с помощью облачных технологий и решений — таких как Salesforce, ведущий мировой бренд в сфере автоматизации продаж и Evernote для Salesforce, инструмент информационной поддержки специалистов по продажам.

Это приложение Evernote позволяет автоматически собирать данные по существующему или потенциальному клиенту, которые имеются в аккаунте Evernote как у самого сотрудника отдела продаж, так и его коллег, и выводить их в Salesforce на странице со сводной информацией по клиенту.

Примечания