Zwakke beveiliging Ashley Madison maakte grootschalige datadiefstal mogelijk
Ashley Madison, de website die vreemdgangers met elkaar in contact bracht en in juli gehackt werd, is zeer slordig omgesprongen met beveiliging. De website blijkt inloggegevens, tokens en andere inloggegevens hardcoded in zijn broncode te hebben verwerkt. Eenmaal binnen was het voor de aanvallers dan ook een koud kunstje om toegang te krijgen tot alle systemen en servers van het bedrijf.
Dit stelt de beveiligingsonderzoeker Gabor Szathmari, die de broncode van de website heeft onderzocht. In een blogpost beschrijft de onderzoeker zijn bevindingen. In slechts tien minuten wist de onderzoekers AWS tokens, private sleutels van SSL-certificaten en API-tokens boven water te krijgen. Daarnaast trof Szathmari database wachtwoorden aan in de broncode, die ook nog eens zeer zwak waren. Alle wachtwoorden bestonden uit slechts 5 tot 8 karakters.
Kwetsbare infrastructuur
“Gevoelige data opslaan in de broncode zorgt voor een veel kwetsbaardere infrastructuur. Inloggegevens voor databases en AWS tokens hebben het verder binnendringen van de systemen eenvoudiger gemaakt voor het Impact Team, wat uiteindelijk heeft geleid tot de grootschalige inbraak bij Ashley”, schrijft de onderzoeker.
De onderzoekers stelt dat twee belangrijke lessen kunnen worden getrokken uit de werkwijze van Ashley Madison:
- Sla nooit gevoelige data op in de broncode
- Gebruik nooit zwakke inloggegevens voor databases
Meer over
Lees ook
Secure Pro Keyboard versleutelt draadloze verbinding met computer
Wie met gevoelige documenten werkt moet goed op zijn beveiliging letten. Alleen een virusscanner installeren is niet voldoende. Een keylogger, een oplossing die de toetsaanslagen op een machine registreert, is bijvoorbeeld beschikbaar in zowel een softwarematige als hardwarematige variant. De hardwarematige variant wordt door antivirussoftware nie1
Hackers misbruiken onwaakzaamheid over bekende kwetsbaarheid in netwerktijdprotocol
Sommige kwetsbaarheden worden zo weinig misbruikt dat eigenlijk niemand er aandacht aan besteed. Een voorbeeld hiervan is NTP-servers. Cybercriminelen hebben onverwachts een flinke hoeveelheid aanvallen op netwerktijdprotocol (NTP)-servers uitgevoerd, waardoor zij allerlei servers van grote bedrijven konden neerhalen. Symantec meldt een plotselin1
Intel doopt McAfee om tot Intel Security
Intel maakt bekend de naam McAfee niet langer te zullen gebruiken voor zijn antivirusproducten. Het bedrijf wil hiermee de banden met de McAfee-oprichter John McAfee zo veel mogelijk verbreken. De McAfee-oprichter is de laatste jaren regelmatig negatief in het nieuws. Zo werd hij in 2012 gezocht voor moord in het Centraal-Amerikaanse land Belize.1