'21.000 Nederlandse FTP-servers onbeveiligd'
In Nederland zijn 21.000 onbeveiligde FTP-servers op het internet aangesloten die eenvoudig via een zoekmachine gevonden kunnen worden. In sommige gevallen bevatten deze FTP-servers ook persoonlijke gegevens, zo liet het radioprogramma Reporter vanavond weten.
Via FTP-servers is het mogelijk om allerlei bestanden op te slaan. Veel servers blijken echter geen of een standaard wachtwoord te gebruiken, waardoor iedereen op de server kan inloggen en toegang tot de bestanden kan krijgen. Sommige van deze bestanden bevatten gebruikersnamen en wachtwoorden, scans van rijbewijzen en paspoorten, salarisadministratie en andere privégegevens.
Het gaat zowel om FTP-servers van bedrijven als consumenten. Veel consumenten zouden niet weten dat de apparaten die ze bijvoorbeeld voor het maken van back-ups gebruiken een FTP-server draaien en daardoor via FTP voor het internet toegankelijk zijn, maar ook bedrijven hebben het vaak niet door.
ICT-bedrijf
In de uitzending van Reporter wordt een ICT-bedrijf met een openstaande FTP-server geconfronteerd. Op de server staat de administratie van het bedrijf, waaronder paspoorten, pincodelijst, een ontslagbrief en leasecontracten. De informatie stond thuis zonder wachtwoord opgeslagen. De eigenaar van het ICT-bedrijf was zich er niet van bewust dat de informatie voor iedereen toegankelijk was.
"Je staat er niet bij stil dat dit soort lekken er zijn", laat de man weten. Hij vindt dat fabrikanten gebruikers beter moeten waarschuwen. "Er zou eigenlijk een soort van bijsluiter bij moeten van let op", aldus de eigenaar over zijn server. "Je ging ervan uit dat die dicht stond."
Ook stom van hem om dit publiekelijk te zeggen, het staat erg onprofessioneel.
tijdje geleden een docu gezien die precies hetzelfde melde,
mensen sluiten een server aan op internet, en gaan er vervolgens van uit dat de zaak beveiligt is
admin/admin of admin/12345 is de meest gebruikte combo
En van consumenten elektronica acht ik inmiddels wel bekend dat alles standaard AAN staat of na lange tijd nog steeds is voorzien van het default wachtwoord. Dat was met de WiFi routers al zo en zal dus met de NAS achtige oplossing niet anders zijn.
"Je staat er niet bij stil dat dit soort lekken er zijn", laat de man weten. Hij vindt dat fabrikanten gebruikers beter moeten waarschuwen. "Er zou eigenlijk een soort van bijsluiter bij moeten van let op", aldus de eigenaar over zijn server. "Je ging ervan uit dat die dicht stond."
Stop ermee, Bol het af.
Ik weet een prima waarschuwende bijsluiter:
WAARSCHUWING: Niet voor INCAPABELE hipster nerds.
Tenzij je FTPS gebruikt...
Als mijn voordeurslot van slechte kwaliteit is keert de verzekering ook niets uit bij inbraak.
Ja, maar je hebt geen robots in huis die geheel zelfstandig en zonder jouw toestemming op zoek gaan naar je voordeur en die openzetten zodat ze contact kunnen hebben met de buitenwereld.
Veel apparaten die je aansluit op je netwerk benaderen zelfstandig via UPnP (of NAT-PMP) je router en zetten zonder expliciete toestemming de firewall open en een port forwarding op. De enige manier om dat onder controle te krijgen is UPnP op je router uit te zetten, maar dat doet een doorsnee gebruiker uiteraard niet.
Als mijn voordeurslot van slechte kwaliteit is keert de verzekering ook niets uit bij inbraak.
Klopt maar ze zullen je ook geen boete geven.
Dus die vergelijking gaat niet op.
Volgens mij zijn er al organen die dit soort zaken in de gaten houden (CBP?) dus om te zeggen dat iemand die zijn FTP server open zet (zonder het te weten) waar niks te halen valt en daarom maar een hoge boete moet krijgen lijkt mij iets te kort door de bocht.
Nuances...daar draait het om.
En op hoeveel onbeveiligde FTP-servers kan er daadwerkelijk data aangepast / geplaatst worden?
Het enige wat ik over Reporter kan zeggen is dat het een programma is voor consumenten op de zondagavond, niet voor de security-professional op maandagochtend. De gemiddelde IT'ert zou sowieso beter moeten weten, de gemiddelde consument informeert zich niet veel beter dan via de buren en een "Ik ben toch niet gek! + kopen! kopen! kopen!" -reclameblok oid.
Voor veel mensen -hoe triest dat ook mag klinken- is dit wel degelijk 'nieuws.'
Nee, dat was geen Zembla maar de TV uitzending van KRO reporter in december 2012. Dus Reporter valt hier in herhaling met oud nieuws. Die uitzending was zelfs veel leerzamer en beter opgezet.
Het betreft hier idd nas servers waarbij sommige merken, per default, hun inhoud op het internet gooien via de UPnP functie van de router.
Dus: altijd de UPnP functie van een router uit zetten. Forwards doe je bewust met de hand en niet ongemerkt via een automatische functie.
Jammer van de info op het journaal van gisteravond, want daar kreeg je de indruk dat om professionele ftp servers ging en niet van die thuisgevalletjes die door ondeskundigen ingesteld worden. Hoewel er in de uitzending van december 2012 ook een IT specialist van Orange tussen zat die bedrijfs info van klanten op zo'n zelf publicerende nas gezet had. (Zou die inmiddels ontslagen zijn na deze flater?)
De kern van het probleem zijn externe harde schijven. Voor veel mensen en bedrijven zijn ze een uitkomst. Je sluit ze via usb aan op de computer en plots is er extra ruimte om documenten op te slaan of om back-ups te maken. Duurdere externe schijven kun je niet alleen via usb, maar ook via wifi bereiken. We noemen ze dan netwerkschijven. Geen gedoe meer met kabels. Je kunt zulke netwerkschijven zelfs bereikbaar maken via internet. Handig als je niet thuis bent, maar toch een bestand nodig hebt. Je kunt de toegang beveiligen met een wachtwoord. Dit is waar het misgaat: duizenden mensen hebben dat niet gedaan, waardoor hun netwerkschijf voor iedereen toegankelijk is via internet. Vaak hebben ze dat niet eens door.
Het probleem is niet nieuw. Al veel langer is bekend dat mensen per ongeluk bestanden op internet delen zonder een wachtwoord in te stellen. Schokkend is vooral dat het probleem nog altijd bestaat.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
