Passwords Cisco-klanten eventjes op straat

Cisco heeft gisteren in een mail naar al zijn klanten gemeld dat er een veiligheidslek op de website cisco.com is geconstateerd: de zoekmachine van de site kon gebruikt worden om passwords van geregistreerde gebruikers op te vragen. Om de kans op het uitlekken van gegevens zo klein mogelijk te maken, heeft het bedrijf besloten om alle gebruikers een nieuw password te laten aanvragen. 'Uiteraard zullen we dit probleem onderzoeken', aldus een woordvoerder, die wel al wist te vertellen dat 'het probleem niets met onze netwerk-infrastructuur te maken heeft, en ook niets met zwakke plekken in onze beveiligingsproducten en -technologie.'

De site van het bedrijf weet zelfs dat er helemaal geen fouten in Cisco-producten aan het lek ten grondslag liggen. Hackers zijn op zoek naar dergelijke fouten sinds Cisco en ISS vorige week een proces tegen Michael Lynn aanspanden, omdat die in een lezing op defecten in Cisco's IOS-software had gewezen. Naar schatting twintig procent van de routers op onze planeet zijn van die software afhankelijk. In dit geval betrof het een lek dat door een onderzoeksbedrijf was gevonden, en dat bedrijf werd dan ook omstandig door de netwerkgigant bedankt: er zouden geen gegevens naar buiten zijn gekomen. Vanwege de enorme hoeveelheden nieuwe passwords die momenteel verstrekt moeten worden zijn vertragingen niet ondenkbaar, aldus Cisco, maar iedereen die niet binnen vijf minuten een nieuw password heeft zou telefonisch geholpen worden.

Reacties (25)

[Avenger 2.0]

Worden die wachtwoorden bij Cisco dan in plaintext opgeslagen

[Oet]

Ja, toen wij op school bezig waren met een Cisco CCNA Course en de leraar even weg was konden wij het wachtwoord gewoon in plain-text op de site lezen in de preferences. Beetje enorm brak imho, ik had het echt niet verwacht van een bedrijf als Cisco, maar het was wel handig want je kon zo makkelijk een toets opnieuw maken (we praten hier over 2002/2003 overigens)

[Verwijderd]

Binnen 5 minuten een nieuw wachtwoord? Wacht al 20+ uur.

[EvilWhiteDragon]

maar iedereen die niet binnen vijf minuten een nieuw password heeft zou telefonisch geholpen worden.

Le-zen

[tser]

"Zo lek als een Cisco Router"
Is bij ons tegenwoordig het gezegde :-)

[Wim-Bart]

Dat is een bekend gegeven. Vooral als je een onervaren persoon een Cisco product laat installeren. Heel simpel. Gewoon een SNMP lees actie met 'public' doen en dan de file opslaan en dan een simpel hack tooltje eroverheen en dan is het oeps, hier is het 'enable' wachtwoord.

[zalazar]

Inderdaad dat is een echte beginnersfout. Een snmp string (en zeker de rw string) moet je net zo moeilijk maken als een password. Toch zie je nog heel veel devices die op deze manier geconfigureerd zijn.

[lvh]

Tegenwoordig komt Cisco wel heel negatief in de media. Gelukkig hebben ze voor veel materiaal weinig concurrentie op topniveau. Toch zie ik in de weinige datacenters/hostingbedrijven in het Antwerpse dat tegenwoordig Cisco niets meer mag doen behalve simpele switchjes leveren, al het zware werk wordt tegenwoordig geleverd door Juniper hier...

[sjun]

In Antwerpen vergelijkt men in navolging van de hollanders ook de prijzen. Iclusief de reut aan eventuele ondersteuning en vervanging is Juniper goedkoper dan Cisco. Intussen timmert 3Com ook weer aan de weg. Over HP's ben ik minder te spreken met hun brakke switchupdates die me teveel productietijd gekost hebben vanwege kraptemanagement bij de opdrachtgever. Al blijft HP Openview voor mij toch een toppertje...

[Verwijderd]

tegenwordig is het handig 'secret' uit te voeren bij de passwords. Dan lees je de passwords niet meer uit op je scherm ...

[Verwijderd]

Deze fout kan in heel veel sites voorkomen. Het probleem is nu, omdat Cisco zo negatief in het nieuws is men juist extra op zoek is naar deze beveiligingslekken.

Is een bedrijf X erg negatief in het nieuws, heb je kans dat men daar ook continue fouten blijft vinden. Domweg omdat iedereen zich opeens op X richt.

Zie ook Internet Explorer Vs Firefox bijv. qua lekken. Tegenwoordig worden er steeds meer Firefox lekken bekend gemaakt, puur omdat meer mensen Firefox gebruiken en het dus aantrekkelijker is om daar fouten te zoeken.

[Belial_666]

Het aantal gebruikers heeft absoluut geen directe relatie met het aantal bugs in een programma!!

[D-Three]

Neen maar hoe meer gebruikers hoe interessanter om te zoeken naar lekken.

[D-Three]

Beetje off-topic om in vraag te stellen of Cisco wel geschikt is als lesmateriaal? Dit was een foutje in het ontwerp van hun website. Dit heeft niks maar dan ook niks met hun producten te maken. Ik vind het heel erg goed van Cisco dat ze met dit nieuws naar buiten komen en onmiddellijk al hun klanten verplichten een nieuw paswoord aan te maken. Andere bedrijven hadden het gezien de omstandigheden misschien in de doofpot proberen te stoppen.
Hoge bomen vangen veel wind, zullen we maar zeggen.

[Verwijderd]

Mijn cisco support account heeft de afgelopen dagen een aantal calls van andere bedrijven gekregen, ik kan zo lezen wat voor problemen ze hebben.. Nadat ik het heb gemeld kreeg ik er nog steeds calls bij.

[Verwijderd]

Ach , grote bomen vangen veel wind; cisco is een enterprise produkt waar we dit soort gein niet van mogen verwachten , 1 x kan ...2x wordt kritiek en 3x is gewoon niet meer goed te praten...dus Cisco Systems Inc.. AAN DE BAK!