Hardcoded wachtwoorden in producten en het niet goed aangeven van hoelang een product met beveiligingsupdates wordt ondersteund zijn gevaarlijk en vergroot het risico voor de nationale veiligheid, nationale economische veiligheid, openbare veiligheid en volksgezondheid, zo stellen de FBI en het Amerikaanse agentschap CISA. De overheidsdiensten roepen leveranciers op om te stoppen met hardcoded wachtwoorden en duidelijk te communiceren hoelang ze een product ondersteunen.

Eind vorig jaar kwamen de FBI en het CISA met de publicatie 'Product Security Bad Practices' waarin ze naar eigen zeggen een overzicht van risicovolle methodes en werkwijzes geven, met name voor softwarebedrijven die software voor de vitale infrastructuur en nationale veiligheid ontwikkelen. Het adviesdocument kijkt specifiek naar producteigenschappen, beveiligingsfuncties en organisatorische processen en beleid die beschrijven hoe een softwarebedrijf met security zou moeten omgaan.

Concreet werd geadviseerd geen 'memory-unsafe' programmeertalen zoals C en C++ te gebruiken als er alternatieve 'memory-safe' programmeertalen beschikbaar zijn. Andere zaken waarvoor de Amerikaanse overheid waarschuwde was gebruikersinvoer in SQL query strings, aangezien dit tot SQL Injection kan leiden, de aanwezigheid van standaard wachtwoorden, de aanwezigheid van bekende misbruikte kwetsbaarheden, de aanwezigheid van opensourcesoftware met bekende te misbruiken kwetsbaarheden, een gebrek aan multifactorauthenticatie (MFA), het niet tijdig publiceren van CVE-nummers voor gevonden kwetsbaarheden en het niet publiceren van vulnerability disclosure beleid voor het melden van kwetsbaarheden.

De 'Product Security Bad Practices' zijn nu op basis van feedback uitgebreid met drie nieuwe bad practices, namelijk het gebruik van bekende onveilige of verouderde cryptografische functies, de aanwezigheid van hardcoded wachtwoorden en het niet duidelijk communiceren van de supportperiode door de leverancier (pdf). "De aanwezigheid van hardcoded credentials of secrets in de broncode van producten die binnen de vitale infrastructuur of nationale veiligheidsfuncties wordt gebruikt is gevaarlijk en vergroot aanzienlijk het risico voor de nationale veiligheid, nationale economische veiligheid, de volksgezondheid en openbare veiligheid", zo laten de FBI en het CISA weten. Leveranciers moeten er dan ook voor zorgen dat hardcoded wachtwoorden niet in hun producten aanwezig zijn.

Wat betreft het gebruik van onveilige en verouderde cryptografische functies worden als voorbeeld TLS 1.0 en 1.1 en hashing-algoritmes MD5, SHA-1 en Data Encryption Standard (DES) genoemd. Daarnaast worden leveranciers en fabrikanten opgeroepen om post-quantum cryptografische algoritmes te gaan ondersteunen. Verder moeten leveranciers gedurende de hele supportperiode hun producten van beveiligingsupdates voorzien en duidelijk kenbaar maken hoelang ze een product ondersteunen.