"Netwerken Amerikaanse overheid lek als een mandje"

Tienduizenden computers van de overheid en het leger van Amerika zijn makkelijk binnen te dringen via internet. Dat is te lezen op ZDNet. Het Amerikaanse beveiligingsbedrijf ForensicTec bleek via het netwerk van een militaire basis in Texas toegang te kunnen krijgen tot interne netwerken van andere militaire bases, de ministeries van verkeer en energie en NASA. Binnendringen was eenvoudig, omdat de wachtwoorden van de computers simpel te raden waren. Zo werd in sommige gevallen de gebruikersnaam ook als wachtwoord gebruikt. De indringers hebben slechts een klein aantal computers doorzocht en hierbij geen vertouwelijke informatie gevonden:

Although they were not able to access any classified information, the security consultants were able to find e-mail messages between generals and other high-ranking officers and recruits' Social Security and credit-card numbers, he said.

They also found records describing radio-encryption techniques, laser-targeting systems and information about couriers carrying secret documents, he said.

Dank gaat uit naar Anoniem: 58936 voor de tip.

Reacties (51)

[Greyfox]

Dat is ook een kwestie van afdwingen van een bepaalde password policy.
Dat is een systeembeheerderstaak (leuk scrabblewoord).

[bruto]

Als je dingen als elke maand een nieuw password erin gaat verzinnen krijg je vaak van die enorme foute passwords als $originelepassword+$maand.
Heeft dus ook weinig tot geen nut.
Stel je iets in als: minimaal 8 chars, uppercase, lowercase en numeric, dan is het weer te moeilijk en gaat men zeuren, wat zal resulteren in een mildere aanpak, en zo zal men weer in de oude situatie belanden.

[Anoniem: 35845]

joh

Dat komt o.a. ook door het feit dat je niet maar EEN username en password moet onthouden. Alleen voor mn werk heb ik er al een stuk of 15 (!)
Nou hoef ik die gelukkig niet allemaal iedere maand te veranderen, maar een aantal wel. Daar wordt je dus helemaal gestoord van...

De oplossing is dan ook simpel : voor alle wachtwoorden die ik nooit hoef te wijzigen hetzelfde, en diegene die ik wel moet wijzigen $prefix$maand$jaar, dan heb ik een kans niet IEDERE keer mn password te zijn vergeten (gaat nog wel es mis hoor, niet alle wachtwoorden mag ik als user wijzigen, bv. proxy).

Het zou allemaal een stuk simpeler (en veiliger) zijn als je gewoon EEN centraal login-systeem hebt, zodat je maar EEN keer aan hoeft te loggen (en dan wil ik best een wachtwoord verzinnen van 16 letters/cijfers/hoofdletters/wazige ascii tekens)

[TheLevel]

Ik denk dat dit niet echt opzienbarend nieuws is... als ge ziet hoe weinig netwerken wel goed beveiligd zijn, dan kunt ge der gerust vanuit gaan dat een netwerk van de grootte van dat van de amerikaanse overheid zo lek als een mandje is... Een ketting is maar zo sterk als zijn zwakste schakel, hé... hoe groter het netwerk (eerder: hoe meer gebruikers), hoe meer het op een vergiet lijkt...
Ik heb ondertussen ook al gemerkt dat het haast geen doen is om de gebruikers te vragen een voldoende ingewikkeld password te gebruiken én dat dan nog eens op regelmatige basis te wijzigen... De meeste gebruikers weten al haast niet eens hoe ze met een PC moeten omgaan, laat staan dat ze weten wat het nut is van een "ingewikkeld" password of de eisen daarvan kennen. Héél veel bedrijven maken nog steeds de fout wel te investeren in -goede- hardware, maar niet in opleiding van personeel, iets dat nochtans essentieel is wilt ge problemen op tal van vlakken vermijden...

edit:

typo deruit gehaald]

[[X]Death996]

Als ze wisten dat hun netwerk niet waterdicht was, zorg dan iig dat er geen vertrouwelijke info op staat.......
Of dat de vertrouwelijke info op plaatsen staat waar er mensen zijn die wel begrijpen hoe een pc werkt, want zoals het nu dus blijkbaar gaat is gewoon levensgevaarlijk.

Kinderlijke fouten worden hier gemaakt.
(wachtwoord zelfde als username, echt ongelovelijk)

[Anoniem: 29047]

"The War on incompetent System Administrators"..

Nu op CNN

[Anoniem: 4632]

+10 Grappig

[Dakana]

hehehe dat bewijst maar weer dat je originele wachtwoorden moet gebruiken

[Disciplus-Simplex]

Het bewijst vooral dat mensen altijd de zwakste schakel in beveiliging zijn. Je kan ze manipuleren, ze onthouden slecht (iig wachtwoorden) enz.
Het zal tijd worden voor biometrie. Hiermee is de veiligheid ook niet compleet gegarandeerd maar een begin is er.

[Xellence]

In de c't nl van deze maand kan je lezen hoe je iemands iris en vinger afdruk kan kopieren. Blijkt dat zoiets helemaal niet zo moeilijk is...

[Anoniem: 55964]

Ja, James Bond deed het al in Diamonds are Forever.

[Anoniem: 7678]

SJees zeg, stel je voor dat een paar russen ofzo heel gevoelige informatie er van af hadden weten te plukken, dan zijn ze er wel aan.

Denk dat er daar intern best wel wat opschudding en klappen zullen vallen, zo'n grote organisaties en dan zo slecht beveiligd.

natuurlijk valt alles wel te kraken, en als indringen makkelijk was kunnen ze er ook nog best een week of meer mee bezig geweest zijn, maar ik vind het schandalig dat het zo slecht beveiligd is

[Fatamorgana]

Ze moeten gewoon gevoelige info NIET via het internet bereikbaar maken OF via een netwerk wat via eigen protocollen werkt ofzo. Dan kan er niet op ingebroken worden.

[Chakotay]

'kan niet' in een term die in de beveiliging niet voorkomt, overal kan wel in worden ingebroken, je kan het hooguit zo moeilijk mogelijk maken...

[Sfynx]

Als er geen kabel tussen ligt, wordt het anders knap onmogelijk meen ik zo. Nooit fysieke verbinding met internet maken met dat soort data...

[witchdoc]

Het is niet van de russen waar je bang van moet hebben, maar van die kleinere groep die niks te vrezen heeft.

[Skyclad]

Denk dat de Russische regering alles wat er van die machines af te halen valt allang heeft. Denk alleen niet dat die het bekent zouden hebben gemaakt dat de security daar niet deugd.

P.S. Ze zijn ook nog niet eens beleefd, had in 94 root access gevonden op een militaire site, mailde ze, en kreeg nog niet eens een mailtje terug (site is meteen uit de lucht gegaan, niet meer terug gekomen)

[Falcon]

En hier om ben ik dus VOOR de "two factor" beveiligingen voor een bedrijf! Een stuk hardware (memorystick met je account gegevens) en software (username en password)!

"Dat zouden meer mensen moeten doen"

[Anoniem: 2865]

bestaat al lang banken en dat soort organisaties werken doomiddel van een chippas en een username password

[MichielioZ]

Ik blijf me erover verbazen dat dit kan....
Militaire netwerk van de VS (evenals andere "belangrijke" netwerken) zouden volgens mij gewoon fysiek gescheiden moeten zijn van het internet !! (zeker de kleine groep computers waar de "echt" vertrouwelijke info op staat...)

[opagrover]

Je hebt ook netwerken en netwerken.
In een ouder onderzoek bleek ook al dat het leger heel veel (90%) onbeveiligde telefoonlijnen gebruikt. Het leger reageerde daarop dat met dat "de echte belangerijke/geheime 10% wel beveiligd was".

Het punt van dat onderzoek was dat een bestelling voor bevoorrading niet beveiligd was, en van "10 kisten munitie" ook "10 kisten wc-papier" gemaakt kon worden.

Alles over beveiligde lijnen gooien is te duur en ook niet nuttig. Je moet gewoon goed selecteren.

[Minos111]

Was het niet de Amerikaanse overheid die een grote campagne hield voor veiligheid op het internet? Ik zie het nog staan: 'gebruik een combinatie van letters en cijfers voor het veiligste resultaat'.

[Schnautzi]

Voorstander van het afgrendelen van Internet ...de normbepaler voor de wereldbevolking word hier toch even op zijn nummer gezet !
Mochten ze inderdaad zo kwetsbaar zijn , moeten ze dus van geluk spreken dat de gegevens nog niet misbruikt zijn , voor zeer slechte doeleinden,....
Mischien word het wel eens tijd om die figuurlijke *grote* mond eens te houden , en toch maar eerst eens NAAR ZICHZELF te gaan kijken in plaats van telkens met een vinger naar een ander te wijzen !

En dat is mijn MENING .......nou moet je tegenwoordig al oppassen als je dit zegt , want je maakt jezelf volksvijand NR 1 met dit soort uitspraken ... (niet dat ik bang ben zoals b.v. de film Conspiracy Theory , maar toch ....)

[Anoniem: 53610]

Dat is al een oud verhaal !
Ze gebruiken veel Lotus Notes en dat is default zo lek als een mandje. Je haalt gewoon een stukje van de url af en je bent binnen. Default adminstrator toegang omdat niemand op het idee kwam om daar een password aan te hangen.