Domyślne dane uwierzytelniające

Domyślne dane logowania to nazwa użytkownika i hasło, z którymi urządzenie lub usługa są dostarczane z fabryki.

Typowe przykłady to admin/admin albo root bez żadnego hasła.

Producenci ustawiają domyślne dane logowania, aby urządzenie działało od razu po wyjęciu z pudełka.

Zakłada się, że właściciel zmieni je podczas konfiguracji, ale bardzo często nikt tego nie robi.

Domyślne dane logowania są zwykle takie same dla każdego urządzenia danego modelu.

Każdy, kto zna ustawienia domyślne, może zalogować się do tysięcy niezabezpieczonych urządzeń na całym świecie.

Domyślne dane logowania nie są tajemnicą. Pojawiają się w instrukcjach i publicznych witrynach internetowych.

Atakujący przechowują duże listy i po prostu wypróbowują każdą znaną parę, taką jak admin : password, wobec celu.

Atakujący nie sprawdzają urządzeń ręcznie. Uruchamiają narzędzia, które skanują internet i automatycznie próbują użyć domyślnych danych logowania na każdym znalezionym urządzeniu.

Słynny botnet Mirai rozprzestrzeniał się, próbując krótkiej listy domyślnych danych logowania na urządzeniach IoT.

Zainfekował setki tysięcy urządzeń i przeprowadził rekordowe ataki — wszystko dzięki niezmienionym hasłom.

Niektóre urządzenia mają dodatkowe konta, których użytkownicy nigdy nie widzą, utworzone na potrzeby pomocy technicznej lub debugowania.

Jeśli zachowują one domyślne hasła, stają się cichą tylną furtką do urządzenia.

Najprostszą metodą ochrony jest natychmiastowa zmiana każdego domyślnego hasła podczas konfiguracji.

Należy używać silnego, unikatowego hasła dla każdego urządzenia, a nie hasła fabrycznego.

Lepsze urządzenia wymuszają ustawienie nowego hasła przy pierwszym użyciu.

Eliminuje to ryzyko zapomnienia o zmianie, ponieważ ustawienie domyślne po prostu nie może pozostać.

Najbezpieczniejsze rozwiązanie polega na nadaniu każdemu urządzeniu unikatowego, losowego hasła już w fabryce i umieszczeniu go na etykiecie.

Atakujący nie mają wtedy wspólnego hasła domyślnego, które mogliby odgadnąć.

Organizacje powinny regularnie audytować swoje urządzenia pod kątem domyślnych danych logowania.

Znalezienie i usunięcie ich, zanim zrobią to atakujący, zamyka jedne z najłatwiejszych drzwi do sieci.

Dlaczego fabryczne dane logowania stanowią tak poważne zagrożenie?

Domyślne dane logowania to fabryczne dane dostępowe, które często są współdzielone, publicznie dostępne i pozostają niezmienione, co pokazał botnet Mirai.

Ochronę zapewnia ich zmiana, wymuszenie zmiany przy pierwszym użyciu, stosowanie unikatowych sekretów dla każdego urządzenia oraz regularne audyty.