دپارتمان فناوری اطلاعات و حسابرسان در زنجیره داروسازی بزرگ در مورد استفاده از «رمز عبور» در فایروال سیسکو با هم درگیر شدند.

به PWNED خوش آمدید، ستونی که در آن درباره شرکت‌ها و سازمان‌هایی صحبت می‌کنیم که درها را به روی مهاجمان باز می‌گذارند. داستان غم انگیز این هفته شامل یک زنجیره داروخانه بزرگ آمریکایی است که نمی تواند نسخه ای برای امنیت رمز عبور را پر کند.

آیا داستانی در مورد کسی دارید که سوراخی در شبکه خود ایجاد کرده است؟ آن را با ما در pwned@sitpub.com به اشتراک بگذارید. ناشناس بودن در صورت درخواست در دسترس است.

داستان ما به لطف داوید شلوس، متخصص تست قلم و تیم قرمز، که در حال حاضر به عنوان مدیر عامل Suzu Labs، یک شرکت امنیت سایبری که به خود می بالد، "ما سیستم های شما را قبل از اینکه دشمنان انجام دهند، می شکنیم" ارائه می شود. Schloss در طول بیش از 15 سال شغلی، امنیت کسب‌وکارهای متعدد، از جمله یک خرده‌فروش داروخانه بزرگ در ایالات متحده را ارزیابی کرده است که از ما خواسته نامش را نیاوریم. از او خواسته نشد که نفوذ کند، فقط برای انجام ممیزی روی تمام سوئیچ‌های سازمان، روترها و فایروال‌های سازمان.

Schloss گفت: "بنابراین، من با این فایروال روبرو شدم." "این یک فایروال لبه است، به این معنی که این همان چیزی است که اینترنت را لمس می کند. این بخش رمز عبور فعال خود را اضافه می کند، که اصطلاحی است که سیسکو برای مدیر استفاده می کند. رمز عبور فعال را به عنوان "گذرواژه" داشت. فقط p-a-s-s-w-o-r-d."

همانطور که Schloss اشاره کرد، دستور enable در دستگاه های Cisco به کاربر اجازه می دهد تا حقوق مدیریت فایروال را به دست آورد و ترافیک شبکه را کنترل کند. اگر شخصی از طریق SSH یا از طریق یک اکسپلویت به آن فایروال متصل شود و امتیازات کاربر عادی را دریافت کند، می‌تواند آن امتیازات را به سرپرست ارتقا دهد و کاری مانند قطع کردن تمام ترافیک از اینترانت به دنیای خارج انجام دهد.

Schloss در واقع حدس نمی زد که رمز عبور "رمز عبور" است، اما در عوض توانست فایلی را که رمزهای عبور را در خود نگه می دارد با شکستن محافظ خود سیسکو رمزگشایی کند، کاری که به گفته او انجام آن آسان است.

او گفت: «این رمز عبور فعال به‌عنوان سیسکو IOS نوع 7 ذخیره شده بود که در واقع یک هش نیست. "این بیشتر یک رمزگذاری برگشت پذیر با یک کلید شناخته شده عمومی است. حتی در آن زمان، بهترین روش استفاده نکردن از آن بود."

اما حتی اگر رمز عبور در مکانی امن ذخیره شده باشد، حدس زدن آن برای یک عامل تهدید بسیار آسان خواهد بود. بنابراین، او شکست رمز عبور را به عنوان یک "یافتن بالا" علامت گذاری کرد، یک نوع بد از vuln که باید فورا برطرف شود.

وقتی رمز عبور را به بخش حسابرسی شرکت آورد، آنها با تیم حسابرسی، کل تیم فناوری اطلاعات، مدیر خودش و دیگران تماس تلفنی گرفتند. در این تماس پرجمعیت، تیم حسابرسی که کار Schloss را سفارش داده بود، بسیار نگران رمز عبور فایروال بود، اما تیم فناوری اطلاعات فکر نمی‌کرد که این مشکل خیلی جدی باشد. دو طرف برای بیش از یک ساعت بر سر یکدیگر فریاد زدند در حالی که شلوس و همکارانش آرام آنجا نشسته بودند و به دوربین های خود خیره شده بودند.

Schloss توضیح داد: "تیم حسابرسی مانند "بله، ما باید این را برطرف کنیم." و مدیران واقعا از "این باید انجام شود" انتقاد می کردند و تیم فناوری اطلاعات شروع به شلیک می کند. "مثل این است که "چرا؟ چه کسی می خواهد؟ چه اهمیتی دارد؟ نه، این یک یافته با اولویت بالا نیست. این شاید یک رسانه باشد. بله، بد است، اما آنقدرها هم بد نیست."

این تماس آنقدر طولانی شد که شلوس نتوانست ارائه یافته ها و توصیه های خود را به پایان برساند. درگیری به حدی شدید بود که مشتری به پیگیری ادامه داد و از او خواست تا در سه سال آینده - مدتها پس از اینکه به پروژه های دیگر رفته بود - دوباره آنچه را که پیدا کرده است توضیح دهد.

او بعدا متوجه شد که بخش حسابرسی پاداش‌های تیم فناوری اطلاعات را کنترل می‌کند و این شرط وجود داشت که هر «یافته بالا» آن پاداش‌ها را حذف می‌کند. بنابراین آنها فقط در مورد "رمز عبور" بحث نمی کردند - آنها واقعا در مورد غرامت برای یک بخش کامل صحبت می کردند.

درسی که در اینجا وجود دارد فراتر از «از کلمه «گذرواژه» به عنوان رمز عبور استفاده نکنید» است. این همچنین در مورد انگیزه های نادرست است. گره زدن وضعیت امنیتی به غرامت، راه خوبی برای تشویق کارگران به پیروی از بهترین شیوه‌ها به نظر می‌رسد، اما آنها را به انکار مسئولیت و به حداقل رساندن اشتباهات در هنگام پیدا کردن سوق می‌دهد. ®