Nieuws
image

HP bevestigt backdoor in opslagsysteem

donderdag 11 juli 2013, 13:40 door Redactie, 8 reacties

Na de ontdekking van een backdoor in de HP StorageWorks D2D blijkt ook de HP StoreVirtual Storage een onbekend account te bevatten waarmee toegang tot het opslagsysteem verkregen kan worden. Het account werd door een lezer van The Register ontdekt en is nu ook door HP zelf bevestigd. Het gaat om een account waarmee HP-personeel toegang tot het opslagsysteem kan krijgen.

Alle HP StoreVirtual Storage systemen zouden over dit account beschikken en er is op dit moment geen enkele mogelijkheid om het account uit te schakelen. HP zegt dat het op of voor 17 juli een patch zal uitbrengen waardoor gebruikers het verborgen account kunnen uitschakelen.

Reacties (8)
11-07-2013, 14:20 door VriendP
Delete aggregate. Yeay!
11-07-2013, 15:33 door dutchfish
Van de ratten besnuffeld .....
11-07-2013, 16:34 door Anoniem
Is gewoon een account waarmee HP in geval van nood dingen kan resetten. Gewoon een bewuste backdoor, die voor sommige klanten makkelijk is.
11-07-2013, 22:26 door Anoniem
Als dat een bewuste backdoor is zonder veiligheids issues, dan zou HP geen reden hebben om dat te fixen met nieuwe firmware lijkt me. Ik weet wel dat de synology nas ook een dergelijke backdoor had (of nog steeds heeft?) voor remote hulp. Maar dan moest je wel zelf eerst poort 23 forwarden in de router om die toegang te geven.
12-07-2013, 00:11 door AA_CS
Door Anoniem: Is gewoon een account waarmee HP in geval van nood dingen kan resetten. Gewoon een bewuste backdoor, die voor sommige klanten makkelijk is.
Het zal voor sommige klanten (en vooral HP zelf) inderdaad erg makkelijk zijn. Het zorgt er alleen voor dat er voor alle klanten een gigantisch beveiligingsprobleem hebben omdat het een standaard wachtwoord en en niet uit te schakelen account betreft.
Uit het artikel:
Het gaat om een account waarmee HP-personeel toegang tot het opslagsysteem kan krijgen
Ik vermoed dat er onder dat account meer dingen mogelijk zijn dan enkel resetten ;)
12-07-2013, 09:23 door Anoniem
Standaard accounts zijn prima en niet mis mee.... Ik refereer aan System met wachtwoord Manager, of Field met wachtwoord Server (Jazaker OpenVMS dus), maar dan moet je het de klant wel laten weten en tevens de mogelijkheid bieden het standaard wachtwoord te vernaderen oh het account uit te schakelen. Dit geeft wederom aan dat HP eigenlijk een printerfabrikant is en zich weoning gegelegen laat aan veiligheid....
13-07-2013, 10:04 door Anoniem
Het verbaast me niets. Het feit dat de fabrikant het pas toegeeft nadat het door een derde onomstotelijk en openlijk gedemonstreerd is, geeft natuurlijk te denken. Dat breekt het vertrouwen - immers welke accounts of andere backdoors heeft de fabrikant mij als gebruiker nog niet verteld? Gelukkig gebruiken wij in ons netwerk alleen blackboxes/appliances als het echt niet anders kan voor wat betreft de functionaliteit, en zorgen we ervoor dat netwerktoegang naar de plek waar het ding staat alleen mogelijk is op basis van een deugdelijk RBAC schema en 2factor authenticatie. Bovendien monitoren we egress verkeer van het ding en zien we daarmee alles wat niet hoort bij ons eigen (verwachte) gebruik.
21-07-2013, 14:13 door Anoniem
Door Anoniem: Is gewoon een account waarmee HP in geval van nood dingen kan resetten. Gewoon een bewuste backdoor, die voor sommige klanten makkelijk is.
Ook handig voor de NSA als ze wat data nodig hebben...dan kan HP ze goed helpen. Wie weet is de NSA ook een grote klant van HP om systemen te leveren om dit vervolgens weer op te kunnen slaan..
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Certified Secure