Videosysteem Defensie eenvoudig te hacken
Een standaard wachtwoord zorgde ervoor dat de videoconferentiesystemen van Defensie voor iedereen toegankelijk waren. Dat ontdekte beveiligingsblogger Rickey Gevers na een tip van Twitteraar Antisec. Daarnaast was het systeem ook niet tegen brute force-aanvallen beschermd. "In dit geval kunnen we stellen dat vrijwel alle routers in Nederland -dus ook die bij u thuis- beter beveiligd zijn. Want die is namelijk vrijwel altijd geheel niet toegankelijk via het internet", aldus Gevers.
Het IP-adres dat hij van Antisec kreeg doorgespeeld kwam uit op het videoconferentiesysteem van de directeur van het Marinebedrijf CDRT. Daar vandaan werden IP-adressen en telefoonnummers van verschillende andere Defensiesystemen ontdekt.
"Het is zo goed als uitgesloten dat iemand dit voor de lol in elkaar heeft geknutseld. 4 sites geven een login mogelijkheid, en ook deze sites hangen dus blijkbaar aan het internet. De sites geven daarbij keurig weer welke software er achter draait, en in alle gevallen was dit inderdaad videoconference software", stelt Gevers.
Onderhoudsbedrijf
Volgens een woordvoerder van Defensie worden de systemen zelden gebruikt. "Een onderhoudsbedrijf van Defensie heeft ooit zeven vtc-systemen aangeschaft voor zichzelf. Deze systemen draaien op het reguliere, publieke internet. De cyber-veiligheidsafdeling van Defensie waarschuwt tegen dergelijke systemen, omdat die makkelijk gehackt kunnen worden. En dat blijkt. Defensie betreurt het dat met dit voorval de schijn van onveiligheid kan zijn gewekt, maar we benadrukken dat het eigen netwerk nooit in gevaar is geweest."
Tja als je dan toch gehackt ben kun je beter met een goede smoes komen he ?
Ze hebben ingelogged met een default password.....
Dat is hetzelfde als je voordeur openen met de sleutel en zeggen dat je een inbreker bent.
Hier zal wel weer een onderzoek uit volgen en ik baseer mijn mening graag op feiten, in plaats van onderbuik gevoelens.
Als dit op deze manier door Defensie wordt afgedaan, hebben ze dus niet in de gaten wat dit voor impact zou kunnen hebben.
Tja, als je moet kiezen tussen persoonlijk je menselijkheid toegeven of je hele organisatie voor paal zetten en voor de lange termijn en in haar ambities (CYBER, CYBER....), is het eerste natuurlijk het minste van twee kwaden.
>> door Anoniem: Defensie betreurt het dat met dit voorval de schijn van onveiligheid kan zijn gewekt, maar we benadrukken dat het eigen netwerk nooit in gevaar is geweest.
Tja als je dan toch gehackt ben kun je beter met een goede smoes komen he ?
Het is heel goed mogelijk dat het bij defensie door middel van onafhankelijke onderdelen/bedrijven losse systemen worden aangeschaft zonder dat je aan het grote defensie netwerk wordt gehangen. maar aan "vuil internet" .
OT: default password gebruiken is geen hack; dat is gebruik maken van de klunzigheid van de beheerder.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
