Hackers hadden jarenlang toegang tot systemen Nortel

Systemen van het Canadese netwerkconcern Nortel waren jarenlang toegankelijk voor hackers, wellicht uit China. Nortel deed weinig om hackers tegen te gaan. Misschien zijn besmette onderdelen van het bedrijf verkocht aan andere bedrijven.

Sinds 2000 hebben hackers toegang gehad tot systemen van netwerkapparatuurfabrikant Nortel, zo blijkt uit een reconstructie door The Wall Street Journal.

Het bedrijf was matig beveiligd; wie eenmaal tot in het netwerk was binnengedrongen, werd geen strobreed meer in de weg gelegd. De hackers, die uit China afkomstig zouden zijn, hebben onder meer technische informatie, strategische documenten en interne e-mails gedownload.

Onder meer de e-mail van de ceo werd gelezen en in sommige gevallen zat de spyware zo diep op computers van Nortel-medewerkers dat het probleem pas jaren later duidelijk werd. Bij ontdekking in 2004 bleek dat de hackers vrijwel complete toegang tot het netwerk hadden, maar een halfjaar na ontdekking waren ze nog steeds aanwezig. Door interne bureaucratie gebeurde er weinig.

In 2008 en 2009 werd geprobeerd om de problemen op te lossen, maar toen ging het al slecht met het bedrijf, waardoor de maatregelen werden bemoeilijkt. Zo werd een van de personeelsleden die actie probeerde te nemen ontslagen in een bezuinigingsronde. In januari 2009 werd surseance van betaling aangevraagd; het bedrijf is in de afgelopen jaren enkel bezig geweest om zijn activiteiten af te stoten.

In dat laatste schuilt een mogelijk gevaar. Zo kunnen bedrijven die takken van Nortel hebben overgenomen ook besmette systemen hebben overgenomen. Een aantal bedrijven, waaronder Ciena en Ericsson, heeft onderdelen van Nortel overgenomen. Nortel zou hen echter niets hebben laten weten over de aanval.

Ook heeft Nortel zijn aandeelhouders niets laten weten. Omdat Nortel aan de beurs was genoteerd, moest het zijn aandeelhouders op de hoogte stellen van gebeurtenissen die de bedrijfsvoering in gevaar kunnen brengen. Nortel-apparatuur maakt naar schatting 45 tot 50 procent van het Amerikaanse telefonienetwerk uit, maar het bedrijf is al jaren niet meer actief.

Reacties (27)

[SavageX]

Ja hoor daar gaan we weer, het blijft me verbazen hoe laks sommige bedrijven zijn...

Notabene fabrikant van telefonie onderdelen, een belangrijke infrastructuur zou je zeggen.

Diepe Zucht

[Verwijderd]

Dat terzijde, China is er niet vies van om gestolen IP te gebruiken voor eigen gewin. Met name Huawei's succes is praktisch volledig te danken aan gestolen informatie van bedrijven als Nortel, Alcatel Lucent en Ericsson.

Het is dan ook schandalig dat producten van Chinese fabrikanten nog steeds de hele wereld markt overvloeden, enkel en alleen omdat westerse bedrijven zich willen vestigen in een markt met 1,3 miljard potentiële consumenten.

[n4m3l355]

Het is dan zeker ook schandalig dat we vliegen in Boeing en Lockhead. En nu we toch bezig zijn gebruik maken van treinen van Bombardier enz. En.. nu we toch bezig zijn ik neem aan dat je nu per direct maar de plug van je computer eruit trekt aangezien jou internet verkeer 24x7 wordt gemonitored volledig vrijwillig via onderandere Echelon om er zeker van te zijn dat je enerzijds geen terroristje/pedofiel speelt en anderzijds mocht je toevallig practische informatie hebben deze keurig deelt.
En.. practisch volledig is een grove veronderstelling. Het is geen geheim dat ieder land zich bezighoud met het bespioneren van alles dat zich maar in de ether bevind het is daarintegen wel kwalijk dat bedrijven er zo vanaf komen. Nortel is geen uitzondering alleen wel erg overduidelijk maar we lezen nu toch wel wekelijks dat er ergens een database te downloaden is al dan niet encrypted. Het is natuurlijk lastig om in te zien hoe makkelijk men toegang kreeg tot bepaalde informatie maar initiatieven zoals deze van het CBP komen toch lichtjaren te laat. En als we dit daadwerkelijk zouden doen, laat nou net de overheid diegene zijn waar ik het minste in vertrouw in de omgang met mijn prive gegevens en laat vervelend genoeg de overheid ook nog eens het meeste van mij weten. Nee goedkeuring op hacken en het publiceren van gegevens is niet mogelijk maar omgekeerd is het ook onacceptabel dat mensen die verantwoordelijk zijn voor de beveiliging ook zo makkelijk van de haak komen. Ontslag is eigenlijk het minste maar zij zouden soort gelijke straffen moeten ontvangen als de hackers. Misschien zelfs nog wel hogere als je leest dat bij Nortel men moedwillig niets ondernam.

[Rob Coops]

Je hebt voor een deel gelijk er is een heel erg groot probleem binnen het volledige bedrijfsleven. Een van de grootste problemen is dat zeker in Amerikaanse bedrijven men simpel weg niet zo maar kan zeggen: "Hey, we hebben een probleem hier" dat kost je over het algemeen al snel je baan omdat je lastig bent.

Daar naast is het zo dat beveiliging veel al iets is waar men pas achteraf aan denkt en niet iets is waar men mee begint bij de opzet van een bedrijf. Je moet niet vergeten dat de meeste bedrijven die nu met beveiligingsproblemen kampen helemaal nooit een computer systeem gehad hebben tot een relatief korte tijd geleden daar na hebben ze deze systemen in een netwerk gehangen en vervolgens aan het internet dat op dat moment nog klein was en eigenlijk niet echt gebruikt werd. Pas de laatste 15 jaar of zo wordt internet echt op grote schaal gebruikt en past de laatste 10 jaar of zo wordt er op een steeds grotere schaal ingebroken op systemen. Iets dat daar voor eigenlijk alleen voorbehouden was aan mensen die echt wisten wat ze deden en veel al dit niet deden met als doel schade aan te richten maar meer om hun kennis van systemen en kunde men een computer aan te tonen.

Dat een bedrijf als Nortel niet goed reageert op een inbraak op hun systemen is niet verwonderlijk de beveiliging van hun netwerk werd waarschijnlijk alleen formeel door een team gedaan maar werd in de praktijk voor een groot deel aan de kant geschoven ten behoeve van makkelijker werken en zo.

Om je een goed voorbeeld te geven, een bedrijf waar ik ooit werkte deed wel aan beveiliging en had bijvoorbeeld de volgende regels:

• Geen verkeer in of uit het netwerk zonder explicite toestemming van de security afdeling
• Niemand heeft toegang tot een database met een account anders dan een account op zijn of haar eigen naam en dan alleen tot je eigen schema. Read en of write access wordt alleen gegeven als de DBA's dit goedkeuren en alleen als zij van te voren weten welke query jij uit wil voeren.
• Het test netwerk en het productie netwerk zijn 100% gescheiden er is geen enkele mogelijkheid om van het ene naar het andere netwerk te komen.
• Natuurlijk heeft geen van de applicaties toegang tot de database met iets anders dan een applicatie specifiek account dat alleen toegang geeft tot de tables en views etc die die applicatie nodig heeft
• Niemand heeft root toegang tot de systemen ook niet via sudo alleen bepaalde commando's kunnen uitgevoerd worden via sudo als het echt niet anders kan
• Alle servers hebben meerdere IP's op aparte VLAN's die niet met elkaar kunnen communiceren. Een VLAN voor publieke services (internet), een VLAN voor de backup robot en management en een VLAN voor inter machine communicatie

En zo nog een flinke lijst met wat voor veel mensen die in de ICT werken klinken als draconische maatregelen waar ze binnen hun huidige bedrijf nooit of ten immer mee zouden kunnen werken.

Inmiddels werk ik ergens anders en er zijn een flink aantal problemen die ik zie in de beveiliging van de systemen. Om een aantal voorbeelden te noemen:

• Test en productie netwerken zijn niet gescheiden
• Wachtwoorden voor systemen worden niet veranderd
• Database accounts gebruikt door support zijn gelijk aan de account gebruikt door de applicaties
• Database accounts hebben veel al toegang tot de gehele database en zijn dan nog net geen system administrator maar daar is dan ook alles mee gezegd
• Interne netwerken zijn niet gescheiden, alle data centers komen samen op een router zonder dat er firewalls of andere bescherming tussen zit.
• Externe data centers worden op de zelfde router aangesloten als interne data centers ook hier is geen sprake van een fiewall of andere bescherming
• Een tripple A server wordt gebruikt om letterlijk honderden mensen toegang te geven tot de systemen die zij moeten beheren veel al met volledige root toegang.
• Alle security is gebaseerd op het achteraf uitvinden waar iets fout gegaan is in plaats van het actief voorkomen van problemen.

Ik zou zeggen zoek de verschillen. Het grootste verschil is dat het ene bedrijf is opgezet door ervaren ICT'ers en nog maar net 10 jaar oud is het andere bedrijf is in middels ruim 75 jaar oud en heeft pas in de late jaren '90 van de vorige eeuw voor het eerste eens iets met dat internet gebeuren gedaan. Dat iets was het beschikbaar stellen van wat data via een website die door de in-house development dienst in elkaar geschroefd werd in een taal waar ze daar voor nog nooit van gehoord hadden (coldfusion hete het). Natuurlijk werd er toen door de oude ervaren ICT'ers die men in dienst had een dikke firewall tussen de database en de rest van het netwerk gehangen om te voorkomen dat wanneer de webserver of de database gehackt werden deze gebruikt konden worden om zo maar het netwerk binnen te komen.
In middels wordt alles op een veel betere manier gedaan maar is er tot op heden niemand geweest die mij heeft kunnen uitleggen hoe na dat deze machines onvermijdelijk valt men simpel weg de rest van het netwerk binnen wandelt.

Hoe dan ook het grote verschil is dat de meeste mensen die tegenwoordig in de ICT werken simpel weg niet voldoende kennis van zaken hebben om een beveiliging echt te begrijpen (ik snap er veel al zelf niet genoeg van). Het is een erg moeilijke materie en mensen die iets anders claimen weten niet waar ze het over hebben.
Het is veel al niet de schuld van de bedrijven die nu eenmaal niet voldoende snappen van beveiliging om het goed aan te pakken nog van de mensen die dit er bij doen maar weten dat ze hun mond niet open kunnen doen omdat ze dan simpel weg ontslagen zullen worden als ze te veel golven maken.

Als je een echt veilige omgeving wilt bouwen zul je van af het begin security als uitgangspunt moeten nemen mensen moeten aanstellen die net niet zo paranoide zijn dat ze niet meer kunnen functioneren en ze een flinke hoeveelheid geld geven om de omgeving niet alleen initieel veilig op te zetten maar ook veilig te houden. Dat kost veel geld een stuk meer dan de meeste bedrijven nu aan beveiliging uitgeven. Dat is niet iets dat bedrijven willen horen die willen dat ICT goedkoper wordt en die willen graag voor een dubbeltje op de eerste rij zitten. Natuurlijk zijn er altijd bedrijven die dat soort dingen aanbieden alleen is dat lang niet altijd het geen je ook echt wilt hebben.

Wat de CPB voorstelt is een leuk idee maar het helpt niet omdat de enige reden dat bedrijven dan ook maar iets aan de beveiliging van hun systemen gaan werken de mogelijke boete is. De boete moet dan dus danig hoog zijn dat deze ook echt bedrijven er toe beweegt om hier iets mee te doen. Ik heb al meer dan eens bedrijven waar ik werkte horen zeggen dat een mogelijke boete een risico is dat simpel weg geaccepteerd moet worden maar dat het waarschijnlijk niet zo ver zal komen.

Een veel betere oplossing zou zijn om bijvoorbeeld een verplichting te maken om alle bevindingen over een aanval te delen met de rest van de wereld en om vervolgens allen andere bedrijven met vergelijkbare systemen te verplichten een patch toe te passen om te voorkomen dat hun systeem ooit op een zelfde manier aangevallen zal worden. Zo als men in de luchtvaart de internationale autoriteiten heeft die de macht hebben om alle vliegtuigen van een bepaald type aan de grond te houden zo zou dat ook met computer systemen moeten gebeuren. Het zou bedrijven als Microsoft, Oracle, HP en de Linux en Apache foundation om er maar een paar te noemen dwingen om heel erg veel betere code te schrijven en er voor te zorgen dat het kiezen voor het draaien met een oud systeem simpel weg niet langer een optie is als de patch beschikbaar is moet hij er op.
Het feit dat de meeste software zo slecht is geschreven dat het zeer onwaarschijnlijk is dat een bedrijf met een paar duizend mensen een nieuwe OS patch kan uitrollen zonder deze eerst in met allen software die zij nu draaien te testen toont al aan hoe belachelijk slecht de meeste code is.
Dat developers vol trots kunnen roepen dat in iedere 100 regels code minimaal 1 bug zit is niets anders dan schandalig. Natuurlijk is het moeilijk om goede code te schrijven maar in middels zouden we toch zo ver moeten zijn dat we voldoende geleerd hebben van onze fouten om ze niet keer op keer weer te maken met een nieuwe generatie talen en developers. Dit is het grote verschil tussen een volwassen industrie en de ICT wereld mensen hebben simpel weg nog niet geleerd hoe men het werk goed moet doen en men weigert tot op heden om het werk goed te doen met als argument kosten of niet praktisch beide zijn in andere takken van sport al jaren geleden aan de kant geschoven en zullen uiteindelijk ook in de ICT van tafel worden geveegd maar helaas zal dat nog wel een flinke tijd duren.

[arjankoole]

Het is dan zeker ook schandalig dat we vliegen in Boeing en Lockhead

Lockheed? Volgens mij maakt Lockheed sinds de jaren 80 al geen passagiers vliegtuigen meer.

[TheekAzzaBreek]

Dat we overal zo dol zijn op Chinese producten heeft niet veel met vestigingsbeleid van westerse bedrijven te maken. We willen nou eenmaal graag spotgoedkope spullen, en dan maakt het niet uit wat de consequenties zijn. Daarbij vind ik zaken als werkomstandigheden, milieu effecten e.d. wel even wat belangrijker dan gestolen IP. Producten op basis van gestolen IP kan je nog weren, producten op basis van roofbouw niet.

[Sorcerer8472]

Dat vind ik nogal een beschuldiging, over Huawei. Heb je daar ook bronnen/bewijzen voor?

-edit-
Zelf linkje gevonden: http://www.nytimes.com/2011/02/26/technology/26huawei.html
Niets te zien over dat het ook van Nortel afkomstig zou zijn. Wel is personeel van Nortel naar Huawei overgelopen en is er gedoe over patenten geweest (maar dat laatste is aan de orde van de dag in de hele IT-markt)...

[Reactie gewijzigd door Sorcerer8472 op 24 juli 2024 23:36]

[Verwijderd]

http://en.wikipedia.org/w...and_response_to_criticism

Huawei is begonnen in de router market door cisco routers letterlijk na te bouwen, chip voor chip. En daar draaiden ze dan gewoon IOS op. Op een of andere manier hadden ze de hand weten te leggen op oude IOS sourcecode. 11.1CA als ik me niet vergis. En dat verkochten ze aan hun klanten alsof het hun eigen product was.

En het was erg duidelijk dat ze de sourcecode gejat hadden.
Hun software had E-IGRP !!
Dat is een cisco-proprietary protocol. Er zijn geen standaarden voor, om uit te leggen hoe het werkt. Sterker nog, ik kan je verzekeren dat er zelfs binnen cisco nog geen 10 mensen zijn die *precies* weten hoe het werkt. De cisco documentatie (intern en extern) is minimaal. Maar toch wist Huawei een perfecte implementatie te bouwen, die zich precies gedroeg als de IOS implementatie. Jaja.

Dit is een voorbeeld dat ik me herinneren, omdat ik me vroeger met routing protocollen bezig hield. Maar ik geloof dat er nog vele andere voorbeelden zijn geweest.

[Eagle Creek]

"Daar gaan we weer"? We hebben het hier effectief over een probleem uit 2000! En als er in die acht jaar weinig veranderd is aan de cultuur van het bedrijf, is het niet bijzonder dat wanneer er geen geld beschikbaar is, het probleem onder het vloerkleed wordt geschoven.

Daar komt sowieso bij dat hacken niet bepaald een nieuw fenomeen is, alleen dat er de laatste tijd erg veel aandacht voor is omdat een aantal grote partijen in het nieuws zijn geweest. En de media werkt nou eenmaal op die manier, dat nieuws = nieuws, en soortgelijke zaken dan meer aandacht krijgen. (vlak na Moerdijk waren er ook opeens overal chemische incidenten; daarvoor niet denk je?)

Verder is het ermee bekend zijn dat je netwerk gecompromitteerd is, en het dan klakkeloos doorverkopen natuurlijk een idioot schandalige en eenvoudige methode van het probleem over de schutting te werpen. Dat is in mijn ogen nou precies een reden waar toezichthouders boetes voor mogen opleggen.

[Reactie gewijzigd door Eagle Creek op 24 juli 2024 23:36]

[Blue_Entharion]

Ik snap wel wat hij bedoelt hoor, tweakers.net word de afgelopen tijd steeds meer overspoeld met hacker reports, slordige beveiligingslekken en platgenukede servers... Word eens tijd dat er kritisch achteraan gezeten word.

[Niemand_Anders]

Dat moet ook. Elke hack moet ook in het nieuws komen. Pas dan wordt het voor de heren managers duidelijk dat gehacked worden geen toeval is, maar dat het altijd kan gebeuren.

Nu het vaak in het nieuws komt wil het CPB ook 'ineens' boetes gaan uitdelen aan bedrijven als KPN en Bavaria omdat ze de gegevens niet goed beveiligd hadden.. Waarom? Omdat ze eindelijk ook bij het CPB doorhebben dat beveiliging nooit prioriteit heeft gehad.

Mensen moeten bewust worden van het gevaar. Daar worden ze alleen bewust van als ze het vaak horen. Het is namelijk niet is wat af en toe gebeurt of wat een ander overkomt. Het gebeurt altijd en kan iedereen overkomen.

Het is dus erg belangrijk dat mensen vaak lezen dat nu weer bedrijf x is gehacked. De meeste hacks vinden plaats via 3rd party software, denk daarbij vooral aan forums, verouderde versies van frameworks en XSS/SQL injection. Zaken die zeer eenvoudig zijn te voorkopen. Want waarom heeft een computer welke een speedtest uitvoert toegang tot de ADSL management gegeven. KPN heeft zijn servers dus niet geisoleerd staan, net als Nortel. Ook bij KPN is het blijkbaar gatenkaas als je eenmaal binnen bent..

Maar ik heb niet de illusie dat het bij Ziggo, UPC of een Vodafone heel veel beter is. Grote bedrijven hebben nou eenmaal een aantrekkingskracht op hackers. Grote bedrijven willen ook weleens wisselen van netwerk/server beheerder en daar ontstaan vaak de gaten.. Management roept vaak dat het wel goed staat en dat er verder niet naar gekeken hoeft te worden. En later blijkt dat het allemaal niet zo goed stond als gedacht..

[Auredium]

Kwalijke zaak. Ik verwacht een enorm dikke rechtzaak waarbij de top van Nortel wordt aangeklaagd. Ik hoop dan ook met recht dat ze schuldig worden bevonden.

[Audi-Arjan]

Vergeet Avaya niet, die een groot deel van de switching technologie hebben overgenomen, toch niet echt de kleinste speler op de markt.

Eens met SavageX: Diepe zucht!

[Webdoc]

Ik heb zelf een tijdje bij Nortel gewerkt en ik kan je vertellen dat dit verhaal heel erg aannmelijk klinkt... ik kreeg daar door het bueraucratische gehannes ook helemaal niets voor elkaar, alles moest via 100 vergaderingen. Als iets belangrijker was dan het pleepapier vervangen moesten ze weer naar Canada bellen om te vragen of het wel mag.

[Verwijderd]

Had ik die grap al es verteld, van dat hele grote bouwbedrijf in nederland, waar het wacht woord op de exchangeserver geheim was?
Ik was er een klusje aan het doen, en vroeg wat het wachtwoord van de server was.
Geheim, zegt de systeembeheerder.
Hahaha, zeg ik, maar geef me nou even dat wachtwoord.
"Dat zeg ik toch: geheim", maar dan wel met hoofdletter G en 1 ipv de i, dat was het beveiligingsdeel van het wachtwoord.

Jaja, dit is bijna 10 jaar geleden, maar blijkbaar is er niet veel veranderd; vooral in Nederland heeft men weinig op met moeilijkdoenerij over beveiligingsdingen enzo, eigenlijk kan ik deze posting zo als reactie bij een ander onderwerp plaatsen.........

[Audi-Arjan]

Vergeet de 1234's en de 0000's niet.
Daar sta je ook nog versteld van

[Verwijderd]

Beetje jammer dit. Is het nou zo moeilijk om de boel potdicht te maken?

[MneoreJ]

Nee, dat is triviaal. Helaas is het enige perfect beveiligde systeem een systeem dat met geen mogelijkheid aan te zetten is.

Anders gezegd: ja, dit is zo moeilijk, tenminste wel als je een afweging moet maken. Als tijd en geld geen rol spelen kun je systemen bouwen waar je minstens net zo veel tijd en geld voor nodig hebt om ze binnen te dringen. Iets realistischer zitten er in alle programma's (firmware of software) fouten, om nog maar te zwijgen van bedrijfsprocessen, en er zijn veel meer mensen die staan te trappelen om ze uit te buiten dan mensen die ze moeten detecteren en repareren.

De uiterst lakse reactie die Nortel tentoon heeft gespreid mag je dan wel weer uitzonderlijk noemen. Een inbraakje onder het tapijt vegen is één ding, maar als je dit bericht mag geloven was het daar praktisch Hacker Central, met volledig medeweten van verschillende mensen.

[Audi-Arjan]

Het gaat hier niet om potdicht maken.
Het gaat hier over het verzwijgen van het feit dat je gehackt bent en dan de boel
voor veel geld verkopen.

Nortel was/is toch echt wel een begrip in it-land.
Het zal dan ook niet om lullige bedragen zijn gegaan.

Andere bedrjiven hebben dus eigenlijk een gehackt product gekocht.

[Verwijderd]

Nice, straks nog switchen en routers waar standaard chinese backdoors inzitten.

Controlleren die mannen hun eigen trafic gewoon niet ? Van een bedrijf dat dergelijke zaken verkocht zou je toch meer mogen verwachten.

[arjankoole]

Nice, straks nog switchen en routers waar standaard chinese backdoors inzitten.

Daarom mochten Cisco en Juniper hun apperatuur toch niet laten fabriceren in China?

[BuddyHoo]

Eerlijkheid en zakendoen dat zal wel voor een enkeling zijn...

[dukejan]

Wat ik voornamelijk jammer vind is dat in dergelijke berichten de groep "Hackers" als een criminele groep wordt neergezet. Dit terwijl hackers zeker ook goede dingen kunnen bereiken.

In het bijzonder wordt het woord hacker gebruikt in volgende betekenissen:

Iemand die een programmeertaal of -omgeving zo goed kent dat hij/zij zonder zichtbare moeite een programma kan schrijven.
Iemand die een technologie bedenkt, ontwerpt, uitwerkt, implementeert, test en verbetert.
Iemand die onconventionele maar adequate oplossingen bedenkt tegen lekken, fouten en problemen van andere aard met behulp van beschikbare middelen.
Iemand die tracht om via andere dan de officiële wegen een computersysteem binnen te dringen teneinde een beveiligingsprobleem te kunnen aantonen en mogelijk verhelpen.

Bron: wikipedia.org

[SKiLLa]

Laten we a.u.b. niet in die off-topic discussie vervallen; dat lijkt in elk relevant topic weer terug te komen. Je hebt hackers en hackers en dan het onderscheid white-/grey-/blackhat Daarnaast is deze wiki-quote nou niet de beste omschrijving van een 'hacker' ooit eerlijk gezegd.

Maar on-topic: KPN gebruikte (vroeger ?) ook veel Nortel apparatuur; wie weet wat voor 'n lijk daar nog in de kast ligt ...

[Soldaatje]

Volgens Nederlandse wetgeving is het gewoon strafbaar, kan er ook niks aan doen.
Hoe het in Canada zit weet ik niet.
De Chinezen hebben ingebroken en de boel leeggeroofd, je kan het beter criminele hackers noemen.

[kingcharles]

Vandaar dat m'n laptop altijd zo traag was :-)