Zwakke beveiliging Ashley Madison maakte grootschalige datadiefstal mogelijk
Ashley Madison, de website die vreemdgangers met elkaar in contact bracht en in juli gehackt werd, is zeer slordig omgesprongen met beveiliging. De website blijkt inloggegevens, tokens en andere inloggegevens hardcoded in zijn broncode te hebben verwerkt. Eenmaal binnen was het voor de aanvallers dan ook een koud kunstje om toegang te krijgen tot alle systemen en servers van het bedrijf.
Dit stelt de beveiligingsonderzoeker Gabor Szathmari, die de broncode van de website heeft onderzocht. In een blogpost beschrijft de onderzoeker zijn bevindingen. In slechts tien minuten wist de onderzoekers AWS tokens, private sleutels van SSL-certificaten en API-tokens boven water te krijgen. Daarnaast trof Szathmari database wachtwoorden aan in de broncode, die ook nog eens zeer zwak waren. Alle wachtwoorden bestonden uit slechts 5 tot 8 karakters.
Kwetsbare infrastructuur
“Gevoelige data opslaan in de broncode zorgt voor een veel kwetsbaardere infrastructuur. Inloggegevens voor databases en AWS tokens hebben het verder binnendringen van de systemen eenvoudiger gemaakt voor het Impact Team, wat uiteindelijk heeft geleid tot de grootschalige inbraak bij Ashley”, schrijft de onderzoeker.
De onderzoekers stelt dat twee belangrijke lessen kunnen worden getrokken uit de werkwijze van Ashley Madison:
- Sla nooit gevoelige data op in de broncode
- Gebruik nooit zwakke inloggegevens voor databases
Meer over
Lees ook
KnowBe4-onderzoek: Bijna 70% van Nederlandse werknemers slaat wachtwoorden op in browser
Onderzoek van KnowBe4, aanbieder van ’s werelds grootste platform voor security awareness en gesimuleerde phishing, stelt vast dat ruim 66% van de Nederlanders wachtwoorden opslaat in webbrowsers - groot aantal weet niet dat dit (automatisch) gebeurt
Genetec kondigt nieuwe versie van Security Center aan
Genetec Inc., technologieleverancier van oplossingen voor unified security, openbare veiligheid, operations en business intelligence, heeft een nieuwe versie aangekondigd van haar unified security platform Security Center.
WatchGuard breidt mogelijkheden voor identiteitsbescherming uit met AuthPoint Total Identity Security-bundel
WatchGuard Technologies lanceert vandaag AuthPoint Total Identity Security. Een uitgebreide bundel die de bekroonde AuthPoint multifactorauthenticatie (MFA)-oplossing combineert met zakelijk wachtwoordbeheer en mogelijkheden om darkwebcredentials te monitoren.