Pemindai bandara memiliki pintu belakang akun, kata sandi default

Berapa banyak orang yang mendengarkan Black Hat berbicara tentang akun pintu belakang yang ada dalam pemindai yang digunakan oleh banyak bandara di Amerika Serikat dan berpikir, "Bagaimana saya akan terbang pulang setelah ini?" Saya tahu saya melakukannya.

Banyak mesin yang dikerahkan di pos pemeriksaan keamanan bandara telah menyematkan akun dengan kata sandi default yang dapat disalahgunakan, Billy Rios, direktur intelijen ancaman di Qualys, mengatakan kepada peserta pada konferensi Black Hat pada hari Rabu. Dalam hal ini, yang menjadi perhatian adalah penyerang mungkin dapat menggunakan akun sebagai pintu belakang untuk mendapatkan akses ke sistem.

Akun yang disematkan pada pemindai tidak ditambahkan sebagai pintu belakang berbahaya. Pabrikan suka membuat akun tersemat dengan kata sandi hardcode untuk tujuan pemeliharaan dan dukungan. Meskipun nyaman, akun ini menimbulkan masalah ketika administrator bahkan tidak tahu akun ini ada, dan bahkan tidak dapat mengubah kata sandi ke hal lain.

Rios menemukan bahwa beberapa pemindai bandara ini dapat diakses dari Internet publik. Gabungkan fakta bahwa sistem-sistem ini terekspos dan akun-akun backdoor telah meng-hard-password default, dan implikasinya sedikit menakutkan. Jika penyerang memiliki akses ke pemindai dari jarak jauh, dapatkah ia memanipulasi hasil tes?

Pembicaraan ini didasarkan pada Morpho Detection Itemiser 3 jejak-bahan peledak dan sistem deteksi residu yang digunakan untuk mencari jejak narkotika dan bahan peledak di bagasi, dan sistem jam waktu Kronos 4500. Rios menemukan sekitar 6.000 sistem Kronos di Internet publik, tetapi untungnya hanya dua yang dikerahkan di bandara. Satu telah dihapus dan yang lainnya masih online dan sedang digunakan, kata Rios.

ICS-CERT dari Departemen Keamanan Holemand mengeluarkan penasehat tentang cacat Itemiser pada 24 Juli.

Aspek membingungkan lainnya dari pembicaraan adalah fakta bahwa Dinas Perhubungan dan Keamanan tidak memvalidasi fitur-fitur produk dan memverifikasi sistem berfungsi sebagaimana dipasarkan. Rumah sakit menyertakan penilaian keamanan sebagai bagian dari proses akuisisi. Mengapa itu tidak terjadi dengan TSA?

"Itulah yang ingin kulihat TSA lakukan. Lihat sebelum kamu menerima produk, dan cari kata sandi pintu belakang tanpa mengandalkan niat baik vendor" untuk mengubah kata sandi, kata Rios.