搜索

[17757] 2021-03-03_全球“最严重”供应链攻击祸起弱密码？这个锅实习生背得动吗？

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2021-03-03_全球“最严重”供应链攻击祸起弱密码？这个锅实习生背得动吗？ 全 球 “ 最 严 重 ”   供 应 链 攻 击 祸 起 弱 密 码 ？ 这 个 锅 实 习 生 背 得 动 吗 ？ 原 创     G e e k P w n   2 0 2 1 - 0 3 - 0 3 收 录 于 话 题 # c y b e r s e c u r i t y   , 1 0 # 网 络 安 全   , 2 8 # 信 息 安 全   , 3 4 # 密 码   , 1 美 国 也 有 实 习 生 和 临 时 工 … … 时 隔 三 个 月 后 ， 2 0 2 0   年 年 底 那 场 牵 连 到 美 国 数 百 家 企 业 ， 影 响 近 1 . 8   万 用 户 的   S o l a r W i n d s   供 应 链 攻 击 事 件 ， 终 于 进 入 了 新 阶 段 。 s o l a r w i n d s 1 2 3 上 周 ， 美 国 众 议 院 和 国 土 安 全 委 员 会 举 办 联 合 听 证 会 ， 了 解   S o l a r W i n d s   事 件 的 进 展 。 在 会 上 ， s o l a r w i n d s 1 2 3   这 个 弱 密 码 成 了 众 矢 之 的 ， 而   S o l a r W i n d s   前 首 席 执 行 官   K e v i n   T h o m p s o n   甩 锅 实 习 生 的 言 论 ， 更 是 让 人 大 跌 眼 镜 。 这 原 本 是 一 名 实 习 生 犯 下 的 错 误 。 他 违 反 了 公 司 的 密 码 规 范 ， 使 用 了 这 个 简 单 的 密 码 并 发 到 了   G i t H u b   上 。 但 是 我 们 的 安 全 团 队 在 发 现 这 个 问 题 后 ， 第 一 时 间 就 把 网 上 的 密 码 删 除 了 。 现 任 首 席 安 全 官   S u d h a k a r   R a m a k r i s h n a   补 充 说 ， 这 个 密 码 在   2 0 1 7   年 就 已 经 开 始 使 用 。
在 听 证 会 上 ， 议 员 们 听 到 这 个 消 息 都 震 惊 不 已 。 众 议 员 K a t i e   P o r t e r 直 接 表 示 ： 为 了 防 止 孩 子 在   i P a d   上 刷 太 多   Y o u T u b e   视 频 ， 我 设 的 密 码 都 比 “ s o l a r w i n d s 1 2 3 “ 复 杂 。 作 为 一 个 提 供 网 络 安 全 管 理 软 件 的 公 司 ， S o l a r W i n d s   本 应 当 帮 助 客 户 阻 止 入 侵 事 件 ， 结 果 却 亲 手 给 攻 击 者 递 了 刀 子 … … 在 此 前 的 事 件 梳 理 中 ， 我 们 提 到 过 ， S o l a r W i n d s   的 安 全 防 御 原 本 就 比 较 薄 弱 。 在   2 0 1 9   年 ， 安 全 研 究 人 员   V i n o t h K u m a r   发 现   S o l a r W i n d s   的 服 务 器 使 用 了 一 个 非 常 弱 的 密 码 ， 也 就 是 本 文 开 头 说 到 的 弱 密 码 ： 非 常 弱 的 密 码 ， 也 就 是 本 文 开 头 说 到 的 弱 密 码 ： s o l a r w i n d s 1 2 3 。 。   利 用 这 个 密 码 ， 任 何 人 都 可 以 访 问   S o l a r W i n d s   的 服 务 器 ， 他 为 此 向   S o l a r W i n d s   发 出 了 警 告 。 收 到 警 告 后 ， S o l a r W i n d s   才 于   2 0 1 9   年   1 1   月 修 改 密 码 。 而 事 实 上 ， 至 少 从   2 0 1 8   年   6   月 开 始 ， 这 个 密 码 就 已 经 在 网 上 公 开 。 这 一 年 多 的 时 间 ， 究 竟 贡 献 了 多 少 攻 击 机 会 ， 谁 也 难 说 。 只 能 说 ， 这 个 锅 让 实 习 生 来 背 ， 是 有 点 沉 只 能 说 ， 这 个 锅 让 实 习 生 来 背 ， 是 有 点 沉 了 。 了 。 弱 密 码 之 殇 弱 密 码 之 殇 在 听 证 会 上 ， S o l a r W i n d s   的 前 任 与 现 任   C E O   在 甩 锅 实 习 生 后 ， 都 没 有 解 释 为 什 么 这 么 简 单 的 密 码 会 通 过 企 业 内 部 的 审 查 。 或 者 说 ， 这 也 意 味 着 他 们 内 部 的 安 全 管 理 体 系 并 不 完 善 。 过 往 的 案 例 和 数 据 表 明 ， 很 多 企 业 在 网 络 安 全 管 理 方 面 做 得 并 不 到 位 ， 弱 密 码 就 是 表 现 之 一 。 弱 密 码 很 容 易 被 暴 力 破 解 ， 泄 露 的 密 码 又 容 易 用 于 撞 库 攻 击 ， 导 致 更 大 规 模 的 入 侵 和 泄 露 事 件 发 生 。
2   月 初 ， 农 历 新 年 之 前 ， 佛 罗 里 达 州 奥 尔 德 斯 马 市 水 处 理 设 施 的 计 算 机 系 统 遭 遇 入 侵 ， 水 中 碱 液 量 被 调 整 到 危 险 （ 致 死 ） 水 平 。 近 日 公 布 的 调 查 结 果 也 显 示 ， 弱 密 码 和 老 旧 的 操 作 系 统 ， 是 造 成 入 侵 的 原 因 。 弱 密 码 和 老 旧 的 操 作 系 统 ， 是 造 成 入 侵 的 原 因 。 多 份 调 查 报 告 显 示 ， 大 量 企 业 、 个 人 都 没 有 良 好 的 密 码 使 用 习 惯 ： 多 份 调 查 报 告 显 示 ， 大 量 企 业 、 个 人 都 没 有 良 好 的 密 码 使 用 习 惯 ： 6 5 %   的 受 访 者 在 多 个 站 点 重 复 使 用 密 码 ； 1 3 ％ 的 受 访 者 在 所 有 的 账 户 和 设 备 中 使 用 相 同 的 密 码 ； 9 1 ％   的 受 访 者 了 解 密 码 重 用 的 风 险 ， 但 仍 有   5 9 ％   的 人 还 是 会 重 复 使 用 （ 可 能 不 是 怕 记 不 住 就 是 嫌 麻 烦 ） ；   4 8 ％   的 工 作 人 员 在 其 个 人 和 工 作 帐 户 中 使 用 相 同 的 密 码 ； 8 1 %   的 入 侵 事 件 由 泄 露 的 密 码 引 起 ； 一 般 人 会 重 复 使 用 一 个 密 码 1 4 次 ； 4 9 ％ 的 员 工 仅 在 收 到 提 示 必 须 更 新 密 码 时 才 会 去 修 改 密 码 ；         … … N o r d P a s s   曾 发 布   2 0 2 0   年   2 0 0   个 常 用 密 码 ， 也 是 最 容 易 被 攻 击 的 密 码 。 排 名 靠 前 的 连 续 几 年 都 有 “ 1 2 3 4 5 6 ” 。 P W N   友 们 也 可 以 在 复 制 图 片 下 方 链 接 在 浏 览 器 中 打 开 ， 检 查 自 己 的 密 码 有 没 有 在 列 表 里 。 P W N   君 相 信 你 们 都 没 有
h t t p s : / / n o r d p a s s . c o m / m o s t - c o m m o n - p a s s w o r d s - l i s t / 对 于 企 业 来 说 ， 防 止 弱 密 码 最 简 单 的 方 法 就 是 制 定 、 执 行 相 关 的 管 理 体 系 ， 不 断 培 训 、 增 强 员 工 安 全 意 识 。 在 我 国 ， 《 网 络 安 全 法 》 、 《 《 网 络 安 全 法 》 、 《 网 络 安 全 等 级 保 护 基 本 要 求 》 、 网 络 安 全 等 级 保 护 基 本 要 求 》 、 《 中 华 人 民 共 和 国 密 码 法 》 等 法 律 法 规 或 标 准 ， 都 对 《 中 华 人 民 共 和 国 密 码 法 》 等 法 律 法 规 或 标 准 ， 都 对 密 码 的 规 范 使 用 做 出 了 相 应 要 求 。 密 码 的 规 范 使 用 做 出 了 相 应 要 求 。 对 于 个 人 来 说 ， 使 用 密 码 可 以 做 到 以 下 几 点 ： 不 同 账 户 和 设 备 使 用 不 同 的 密 码 ； 个 人 密 码 和 工 作 密 码 不 混 用 ； 定 期 检 查 、 更 新 密 码 ； 最 好 是 设 置 一 套 只 有 自 己 知 道 的 密 码 组 合 体 系 ， 在 不 同 的 网 站 上 做 不 同 的 变 化 … … 使 用 密 码 管 理 软 件 生 成 、 管 理 自 己 的 密 码 也 是 很 方 便 的 选 择 。 虽 然 我 们 经 常 调 侃 自 己 用 六 位 数 的 密 码 保 护 三 位 数 的 余 额 。 但 别 忘 了 ， 除 了 余 额 ， 我 们 还 有 更 多 珍 贵 的 隐 形 资 产 。 更 何 况 ， 万 一 哪 天 像   S o l a r W i n d s   的 实 习 生 一 样 ， 这 种 锅 可 不 一 定 背 得 动 啊 … …
* 进 入 极 棒 知 识 星 球 ， 获 取 密 码 使 用 与 管 理 相 关 的 法 律 法 规 与 标 准 * 参 考 来 源 ： h t t p s : / / e d i t i o n . c n n . c o m / 2 0 2 1 / 0 2 / 2 6 / p o l i t i c s / s o l a r w i n d s 1 2 3 - p a s s w o r d - i n t e r n / i n d e x . h t m l h t t p s : / / w w w . c y b e r s c o o p . c o m / f l o r i d a - w a t e r - f a c i l i t y - h a c k - p a s s w o r d / h t t p s : / / s p y c l o u d . c o m / a - d e e p - d i v e - i n t o - t h e - v e r i z o n - 2 0 2 0 - d a t a - b r e a c h - i n v e s t i g a t i o n s - r e p o r t / 本 期 讨 论 本 期 讨 论 * 你 有 什 么 密 码 管 理 小 妙 招 ？ 点 分 享 点 分 享 点 收 藏 点 收 藏 点 点 赞 点 点 赞 点 在 看 点 在 看 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理