Προς «κατάργηση» οι προεπιλεγμένοι κωδικοί πρόσβασης

Της Ελένης Μιχαηλίδου

Ο αμερικανικός οργανισμός για την ασφάλεια στον κυβερνοχώρο και την ασφάλεια των υποδομών (CISA) δημοσίευσε ένα σχέδιο δύο σημείων με το οποίο προτρέπει τους κατασκευαστές τεχνολογίας να απαλλαγούν από τους προεπιλεγμένους κωδικούς πρόσβασης στα προϊόντα τους.

Ο CISA ανέφερε ένα πρόσφατο περιστατικό κατά το οποίο PLC παραβιάστηκαν από ιρανικές απειλές για να σαμποτάρουν αρκετές εγκαταστάσεις ύδρευσης στις ΗΠΑ.

«Οι πρόσφατες εισβολές με στόχο τους PLC που είναι κωδικοποιημένοι με τετραψήφιο κωδικό πρόσβασης καταδεικνύουν τη σημαντική πιθανότητα ζημίας στον πραγματικό κόσμο που προκαλούν οι κατασκευαστές που διανέμουν προϊόντα με στατικούς προεπιλεγμένους κωδικούς πρόσβασης», υποστήριξε η CISA.

Σε αυτές τις επιθέσεις, ο προεπιλεγμένος κωδικός πρόσβασης ήταν ευρέως γνωστός και δημοσιοποιήθηκε σε ανοικτά φόρουμ, όπου οι φορείς απειλών είναι γνωστό ότι εξορύσσουν πληροφορίες για να τις χρησιμοποιήσουν στην παραβίαση συστημάτων των ΗΠΑ. Οι παράγοντες που συνδέονται με το IRGC χρησιμοποίησαν εύκολα τον προεπιλεγμένο κωδικό πρόσβασης για να αποκτήσουν πρόσβαση σε συστήματα που παρέχουν κρίσιμες υπηρεσίες σε κοινότητες σε ολόκληρη τη χώρα.

Για να μειωθεί ο κίνδυνος εκμετάλλευσης, οι κατασκευαστές τεχνολογίας υιοθέτησαν ένα σχέδιο δύο σημείων:

• Απόκτηση κυριότητας των αποτελεσμάτων ασφάλειας πελατών παρέχοντας κωδικούς πρόσβασης «μοναδικούς» ή απαιτώντας φυσική πρόσβαση για την αρχική ρύθμιση.

• Δημιουργία οργανωτικής δομής και ηγεσίας για την επίτευξη αυτών των στόχων, διασφαλίζοντας ότι οι ομάδες σχεδιασμού και ανάπτυξης σχεδιάζουν προϊόντα σύμφωνα με αρχές ασφαλούς σχεδίασης και κατανοούν το πώς οι πελάτες χρησιμοποιούν τις διαμορφώσεις προϊόντων.