Zwakke beveiliging Ashley Madison maakte grootschalige datadiefstal mogelijk
Ashley Madison, de website die vreemdgangers met elkaar in contact bracht en in juli gehackt werd, is zeer slordig omgesprongen met beveiliging. De website blijkt inloggegevens, tokens en andere inloggegevens hardcoded in zijn broncode te hebben verwerkt. Eenmaal binnen was het voor de aanvallers dan ook een koud kunstje om toegang te krijgen tot alle systemen en servers van het bedrijf.
Dit stelt de beveiligingsonderzoeker Gabor Szathmari, die de broncode van de website heeft onderzocht. In een blogpost beschrijft de onderzoeker zijn bevindingen. In slechts tien minuten wist de onderzoekers AWS tokens, private sleutels van SSL-certificaten en API-tokens boven water te krijgen. Daarnaast trof Szathmari database wachtwoorden aan in de broncode, die ook nog eens zeer zwak waren. Alle wachtwoorden bestonden uit slechts 5 tot 8 karakters.
Kwetsbare infrastructuur
“Gevoelige data opslaan in de broncode zorgt voor een veel kwetsbaardere infrastructuur. Inloggegevens voor databases en AWS tokens hebben het verder binnendringen van de systemen eenvoudiger gemaakt voor het Impact Team, wat uiteindelijk heeft geleid tot de grootschalige inbraak bij Ashley”, schrijft de onderzoeker.
De onderzoekers stelt dat twee belangrijke lessen kunnen worden getrokken uit de werkwijze van Ashley Madison:
- Sla nooit gevoelige data op in de broncode
- Gebruik nooit zwakke inloggegevens voor databases
Meer over
Lees ook
Senhasegura introduceert MySafe voor het beheren van persoonlijke wachtwoorden
Senhasegura, leverancier van de gelijknamige, bekroonde privileged access management (PAM) oplossing, introduceert een nieuwe oplossing die de IT-beveiliging verbetert in de persoonlijke sfeer: MySafe.
Ook multi-factorauthenticatie kan worden gehackt
Het is een feit: multi-factor authenticatie (MFA)-oplossingen die een wachtwoord als primaire authenticatiefactor gebruiken zijn onveilig. Er zijn namelijk verschillende manieren om deze oplossingen te omzeilen, en cybercriminelen kennen die als hun broekzak. Het probleem met wachtwoorden is dat ze inherent onveilig zijn.
Qualys voegt External Attack Surface Management (EASM) toe aan het Qualys Cloud Platform
Qualys, Inc. een pionier en marktleider op het gebied van cloudgebaseerde compliance-, beveiligings- en IT-oplossingen, kondigt vandaag aan dat het External Attack Surface Management (EASM)-mogelijkheden toevoegt aan het Qualys Cloud Platform. De nieuwe functionaliteit, die is geïntegreerd in CyberSecurity Asset Management 2.0, voegt een weergave1