Chuỗi dược phẩm lớn tranh cãi về mật khẩu 'password' trên Cisco firewall
"A security audit of a major pharmacy chain's Cisco firewall revealed the use of 'password' as the enable password, granting administrative access. The password was easily decryptable due to weak Cisco IOS type 7 encoding. A dispute arose between the auditing and IT departments, stemming from bonus structures tied to security findings, delaying remediation."
Sử dụng mật khẩu yếu như 'password' trên Cisco firewall tạo ra lỗ hổng nghiêm trọng, cho phép kẻ tấn công chiếm quyền kiểm soát mạng.
Vụ việc có thể gây tổn thất tài chính và uy tín cho doanh nghiệp. Việc khắc phục lỗ hổng và xây dựng văn hóa bảo mật đòi hỏi chi phí và thời gian.
Một cuộc kiểm toán bảo mật tại một chuỗi dược phẩm lớn ở Mỹ phát hiện mật khẩu 'password' được sử dụng cho quyền quản trị trên Cisco firewall. Mật khẩu này dễ dàng giải mã do sử dụng phương thức mã hóa Cisco IOS type 7 yếu. Vụ việc dẫn đến tranh cãi gay gắt giữa bộ phận kiểm toán và IT, liên quan đến cấu trúc thưởng dựa trên các phát hiện bảo mật, gây chậm trễ trong việc khắc phục.
Đây là vấn đề đáng quan tâm với các doanh nghiệp Việt Nam sử dụng thiết bị Cisco, đặc biệt trong bối cảnh an ninh mạng ngày càng phức tạp. Việc sử dụng mật khẩu yếu có thể tạo điều kiện cho kẻ tấn công xâm nhập và kiểm soát hệ thống mạng.
Cisco IOS type 7 không phải là một hàm băm (hash) thực sự, mà là một phương pháp mã hóa có thể đảo ngược với khóa công khai đã biết. Điều này khiến việc giải mã mật khẩu trở nên dễ dàng hơn nhiều so với các phương pháp mã hóa mạnh mẽ khác.
Bộ phận kiểm toán và IT đã tranh cãi hơn một giờ, với lập luận rằng việc khắc phục lỗ hổng này là ưu tiên cao. Tuy nhiên, đội IT cho rằng đây chỉ là vấn đề trung bình và không cần thiết phải ưu tiên xử lý ngay lập tức. Cuộc tranh cãi này kéo dài trong ba năm, ngay cả sau khi chuyên gia kiểm toán đã chuyển sang các dự án khác.
Nguyên nhân sâu xa của tranh cãi là do bộ phận kiểm toán kiểm soát tiền thưởng của đội IT. Bất kỳ phát hiện “nghiêm trọng” nào cũng sẽ ảnh hưởng đến khoản thưởng của họ. Điều này tạo ra xung đột lợi ích, khiến đội IT có xu hướng giảm nhẹ mức độ nghiêm trọng của các lỗ hổng bảo mật.
Bài học rút ra không chỉ là không sử dụng mật khẩu đơn giản như 'password'. Đó còn là việc thiết kế cơ chế khuyến khích phù hợp để đảm bảo an ninh mạng. https://www.theregister.com/2024/10/22/pharmacy_chain_password_fight/
Câu hỏi thường gặp
Mật khẩu 'password' trên Cisco firewall có gây nguy hiểm như thế nào?
Mật khẩu 'password' cho phép kẻ tấn công có thể truy cập vào quyền quản trị của firewall, từ đó kiểm soát lưu lượng mạng và gây ra các cuộc tấn công mạng.
Cisco IOS type 7 là gì và tại sao nó lại yếu?
Cisco IOS type 7 là một phương pháp mã hóa mật khẩu có thể đảo ngược với khóa công khai đã biết. Điều này khiến việc giải mã mật khẩu trở nên dễ dàng hơn so với các phương pháp mã hóa mạnh mẽ khác.
Tại sao lại có tranh cãi giữa bộ phận kiểm toán và IT?
Tranh cãi xảy ra do bộ phận kiểm toán kiểm soát tiền thưởng của đội IT. Các phát hiện 'nghiêm trọng' sẽ ảnh hưởng đến khoản thưởng của họ, tạo ra xung đột lợi ích.
Góc nhìn của Orange Cloud
Theo chúng tôi, vụ việc này cho thấy tầm quan trọng của việc xây dựng văn hóa bảo mật trong doanh nghiệp. Các doanh nghiệp Việt Nam nên xem xét lại cấu trúc thưởng để đảm bảo rằng nhân viên IT được khuyến khích ưu tiên bảo mật, thay vì chỉ tập trung vào việc tránh các phát hiện 'nghiêm trọng'. Điều đáng chú ý là việc kiểm tra định kỳ và cập nhật phần mềm, đặc biệt là các thiết bị mạng như Cisco firewall, là rất quan trọng để ngăn ngừa các lỗ hổng bảo mật.