SolarWinds指責實習生密碼漏洞弱
陷入困境的軟件公司SolarWinds在承認密碼保護的嚴重安全漏洞后，可能遇到的安全問題比以前想象的要多。在法院聽證會上，該公司的失敗導致了一次重大的網(wǎng)絡攻擊，影響了美國政府和微軟等公司，據(jù)透露，該公司文件服務器的密碼已在網(wǎng)上泄漏并被發(fā)現(xiàn)。
在公司的一個令人難忘的啟示中，密碼被揭示為容易猜到的“ solarwinds123”。
為了明顯地推高成本，SolarWinds的領導層過去和現(xiàn)在都將缺點歸咎于一名身份不明的實習生，聲稱一旦發(fā)現(xiàn)，該問題將在幾天之內(nèi)得到解決，但受到監(jiān)督此案的美國立法者的全面譴責。
代表凱蒂·波特(Katie Porter)表示：“我擁有比'solarwinds123'更強的密碼，可以防止我的孩子在iPad上觀看過多的YouTube。” “您和您的公司應該阻止俄羅斯人閱讀國防部的電子郵件!”
CNN報道說，在代表拉希達·特萊布(Rashida Tlaib)審理此案時，前SolarWinds首席執(zhí)行官凱文·湯普森(Kevin Thompson)聲稱密碼問題是“實習生犯的一個錯誤”。
湯普森說：“他們違反了我們的密碼政策，并在自己的Github私人帳戶上發(fā)布了該密碼。” “一旦發(fā)現(xiàn)并引起我的安全團隊的注意，他們就把它撤下了。”
為了進一步增加尷尬，SolarWinds首席執(zhí)行官Sudhakar Ramakrishna后來承認該密碼早在2017年就已使用，他說：“我相信這是一個實習生在2017年在他的一個Github服務器上使用的密碼...向我們的安全團隊舉報，并立即將其刪除。”
早在2019年，一名獨立安全研究人員就在網(wǎng)上發(fā)現(xiàn)了“ solarwinds123”密碼，該公司成為全球網(wǎng)絡攻擊的中心之前數(shù)月，這種網(wǎng)絡攻擊被稱為“世界上最大，最復雜的攻擊”。
違規(guī)涉及SolarWinds Orion網(wǎng)絡監(jiān)控軟件，估計有18,000個客戶使用該軟件。不僅有多家私營公司受到影響，還有九個聯(lián)邦機構也受到了威脅，其中美國能源部和國家核安全局就是其中的目標。
據(jù)認為，成千上萬的軟件開發(fā)人員參與了該攻擊，該攻擊使用了4,032行代碼，并且被認為是在美國內(nèi)部進行的，盡管仍然相信俄羅斯最終對網(wǎng)絡攻擊負有責任。
容易猜測的密碼和其他憑據(jù)是調查SolarWinds如何被黑客入侵的途徑之一，以及受感染的第三方軟件或對該公司網(wǎng)絡的純暴力攻擊。
標簽： SolarWinds