CISA nakłania do odejścia od domyślnych haseł

Amerykańska Agencja Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) niedawno opublikowała alert, w którym nakłania producentów technologii do zmiany domyślnych haseł na swoich produktach.

Oprogramowanie i sprzęt są często wysyłane do klientów z domyślnymi danymi uwierzytelniającymi, co naraża ich na znaczne ryzyko, zwłaszcza gdy sprawcy zagrożeń zdobędą informacje o tych hasłach.

Domyślne hasła są narażone na ataki

„Złośliwi aktorzy cybernetyczni nadal wykorzystują domyślne hasła (np. „1234”, „default”, „password”) na systemach wystawionych w internecie, aby uzyskać początkowy dostęp do organizacji i poruszać się w ich wnętrzu” – czytamy w ogłoszeniu CISA.

Napastnicy często używają domyślnych danych uwierzytelniających jako wygodne tylne drzwi, umożliwiające im łatwe przedostanie się do podatnych urządzeń podłączonych do Internetu. Choć domyślne hasła są istotne dla usprawnienia operacji produkcyjnych i wdrożeniowych, mogą one narazić klientów na znaczne ryzyko.

Rekomendacje dotyczące zminimalizowania ryzyka

CISA namawia producentów technologii do zminimalizowania ryzyka eksploatacji domyślnych haseł, proponując dwie zasady:

• Przejmowanie odpowiedzialności za wyniki bezpieczeństwa klienta.
• Budowanie struktury organizacyjnej i przywództwa.

„Implementując te dwie zasady w procesach projektowania, rozwoju i dostarczania, producenci oprogramowania będą zapobiegać wykorzystywaniu statycznych domyślnych haseł w systemach ich klientów” – wyjaśnia CISA.

Unikalne i tymczasowe hasła

Producenci mogą podjąć różne kroki, aby rozwiązać tę sytuację. Na przykład klienci mogliby otrzymywać unikalne hasła konfiguracyjne dla każdego produktu zamiast korzystać z domyślnego hasła obowiązującego dla całej linii produktów.

Alternatywnie mogliby wprowadzić tymczasowe hasła konfiguracyjne, które stają się przestarzałe po skonfigurowaniu produktu, zmuszając administratorów systemu do korzystania z bardziej bezpiecznych metod uwierzytelniania.

Znaczenie silnego hasła nie może być zbagatelizowane

W dzisiejszym krajobrazie zagrożeń znaczenie silnych haseł nie może być zlekceważone. Nawet silne hasła mogą stopniowo osłabiać się w naszym ciągle ewoluującym środowisku zagrożeń, dlatego użytkownicy muszą wzmacniać swoje obrony, aby chronić swoje dobro cyfrowe.

Dodatkowe kroki w celu zachowania bezpieczeństwa

Korzystanie z menedżerów haseł pozwala użytkownikom generować, zarządzać i przechowywać silne hasła, uwalniając ich od obowiązku pamiętania i wpisywania ich. To również przeciwdziała zjawisku recyclingu haseł, które sprzyja atakom typu wstrzykiwanie poświadczeń.

Włączanie uwierzytelniania wieloskładnikowego (MFA) to kolejny bardzo zalecany krok w celu zabezpieczenia kont i urządzeń przed różnymi rodzajami ataków, w tym phishingiem i atakami bruteforce.