攻撃者に対して門戸を大きく開けたままにしている企業や組織を取り上げる連載「PWNED」へようこそ。今週のお話は、パスワードセキュリティという「処方箋」を満足に出せなかった、米国の大手薬局チェーンの残念な事例です。
ネットワークに大きな穴を残していた事例をご存じですか？ ぜひ [email protected]までお寄せください。ご希望があれば匿名にも対応します。
今回の話を提供してくれたのは、レッドチームとペネトレーションテストを専門とするDahvid Schloss氏です。同氏は現在、「攻撃者より先に御社のシステムを破ります」をうたうサイバーセキュリティ企業Suzu LabsでCOOを務めています。15年以上のキャリアを通じて数多くの企業のセキュリティを評価してきましたが、その中に、社名を伏せるよう求められた米国の大手薬局小売企業がありました。依頼内容は侵入ではなく、社内のスイッチ、ルーター、ファイアウォールすべてを対象とした監査でした。
「そこで、あるファイアウォールにたどり着きました」とSchloss氏は語ります。「インターネットに面したエッジファイアウォールです。そこに設定されていたのがenableパスワードで、Ciscoで管理者権限を指す用語です。そのenableパスワードが『password』でした。p-a-s-s-w-o-r-dのままです」
Schloss氏が指摘するとおり、Cisco製デバイスのenableコマンドを使えば、ユーザーはネットワークトラフィックを制御するファイアウォールの管理者権限を得られます。SSH経由またはエクスプロイトでファイアウォールに接続して一般ユーザー権限を手に入れた攻撃者は、その権限を管理者に昇格させ、たとえばイントラネットから外部へのすべての通信を遮断することもできます。
実のところ、Schloss氏はパスワードが「password」だと推測したわけではありません。パスワードを保存したファイルを、Cisco自身の保護機構を破って復号しました。同氏によると、この作業は簡単だといいます。
「そのenableパスワードはCisco IOSのタイプ7で保存されていましたが、これは本当のハッシュではありません」と同氏は言います。「公開されている鍵で元に戻せる、可逆的なエンコードに近いものです。当時でさえ、使わないのが推奨される運用でした」
しかも、仮にパスワードが安全な場所に保存されていたとしても、攻撃者には非常に推測しやすい文字列です。そこでSchloss氏は、この不備を直ちに修正すべき深刻な脆弱性として、「高(High)」の指摘事項に分類しました。
この指摘を同社の監査部門に伝えたところ、監査チーム、IT部門の全員、Schloss氏自身の上司らを交えた電話会議が設定されました。大人数が参加した会議では、Schloss氏に調査を依頼した監査チームがファイアウォールのパスワードを強く問題視した一方、IT部門はそこまで深刻だとは考えていませんでした。双方は1時間以上にわたって怒鳴り合い、Schloss氏と同僚たちはその間、カメラを見つめて静かに座っているしかありませんでした。
「監査チームは『ああ、これは直さないといけない』という立場です。ディレクターたちも『やらなければならない』と強く訴えていました。するとIT部門が反撃を始めたのです」とSchloss氏は振り返ります。「『なぜですか？ 誰がやるんですか？ それが何だというんですか？ いや、これは高優先度の指摘ではない。せいぜい中程度でしょう。確かに良くはないが、それほどひどくはない』という具合です」
会議は長引き、Schloss氏は調査結果と推奨事項の説明を最後まで終えられませんでした。対立はあまりに激しく、同氏が別のプロジェクトに移ってからも、この顧客は3年間にわたって繰り返し連絡をよこし、発見内容をもう一度説明するよう求め続けたといいます。
のちにSchloss氏が知ったところでは、IT部門のボーナスを握っていたのは監査部門でした。しかも、「高」の指摘が1件でもあればボーナスは支給されないという規定があったのです。つまり、争点は単なる「password」ではなく、部門全体の報酬そのものでした。
ここから得られる教訓は、「パスワードに『password』という単語を使うな」にとどまりません。インセンティブのずれという問題もあります。セキュリティ対策の状況を報酬に結びつけることは、従業員にベストプラクティスの実践を促す良い方法に思えます。しかし、問題が見つかったときに責任を否定し、ミスを小さく見せようとする動きにもつながりかねません。 ®
