San Francisco DA onthult Netwerkwachtwoorden City

In zijn poging om de stad te beschermen tegen één computerbeveiligingsrisico, heeft de San Francisco District Attorney's Office misschien wel een nieuwe gemaakt.

Het kantoor van San Francisco District Attorney, Kamala Harris, heeft ongeveer 150 gebruikersnamen en wachtwoorden die door verschillende afdelingen om verbinding te maken met het virtuele privénetwerk van de stad. De wachtwoorden werden deze week ingediend als bewijsstuk A in een gerechtelijk document waarin geprotesteerd werd tegen een verlaging van de borgtocht van US $ 5 miljoen in het geval van Terry Childs, die ervan wordt beschuldigd het stadsnetwerk te hebben gegijzeld door te weigeren beheerdersnetwerkwachtwoorden op te geven. Childs werd op 12 juli gearresteerd op beschuldiging van geknoei met de computer en wordt vastgehouden in de gevangenis.

Hoewel ze de wachtwoorden in het openbare register hebben geplaatst, lijken stadse officiers van justitie wel te denken dat ze gevoelig zijn.

De wachtwoorden, ontdekt op de computer van Childs, vormen een "onmiddellijke dreiging" voor het computernetwerk van de stad, volgens de rechterlijke aanklacht. Childs kan de namen en wachtwoorden gebruiken om "zich voor te doen als een van de legitieme gebruikers in de stad door hun wachtwoord te gebruiken om toegang te krijgen tot het systeem", de motie tegen de instellingen voor borgtochtvermindering.

Hoewel het kantoor van de DA niet zei wat de er zijn wachtwoorden gebruikt, een bron die bekend was met de situatie zei dat ze moesten inloggen op het virtuele privé-netwerk van de stad en dat dit soort informatie iets is dat een netwerkbeheerder zoals Childs zou moeten hebben.

Deze wachtwoorden plaatsen in het openbaar creëert een beveiligingsrisico, hoewel de wachtwoorden niet voldoende zijn om een ​​crimineel toegang te geven tot de VPN van de stad. De wachtwoorden zijn zogenaamde "fase één" -wachtwoorden en moeten worden gecombineerd met een tweede wachtwoord voor toegang tot het netwerk, zei de bron.

De wachtwoorden worden gebruikt door stadswerkers die toegang hebben tot het netwerk vanaf thuiscomputers of via laptops terwijl zij zijn buiten de kantoren van de stad. De wachtwoorden zijn voor veel stadsafdelingen, waaronder de politie, het kantoor van de burgemeester en het Department of Telecommunications and Information Services (DTIS), waar Childs werkte.

De stad zou "zeer agressief moeten zijn" om de wachtwoorden zo snel te wijzigen Robert Grapes, hoofdtechnoloog van datacenteroplossingen voor Cloakware, een leverancier van software voor wachtwoordbeheer.

Erica Derryck, een woordvoerster van het kantoor van de DA, weigerde commentaar te leveren op deze kwestie. Het kantoor van de burgemeester, die toezicht houdt op DTIS, heeft geen berichten teruggestuurd voor commentaar op dit verhaal

Om de wachtwoorden te wijzigen, moet de stad de VPN-software opnieuw configureren die wordt uitgevoerd op elke pc die op afstand verbinding maakt, wat hij nog niet heeft gedaan, de zei bron.

Sommige van de wachtwoorden zouden baat hebben bij een wijziging omdat ze identiek zijn aan de VPN-loginnaam of bijzonder gemakkelijk te raden zijn.

De zaak Childs is al bijna twee jaar een topnieuws in San Francisco weken.

Negen dagen na zijn arrestatie op 12 juli weigerde hij administratieve wachtwoorden over te dragen aan de vijf centrale netwerkapparaten op het FiberWAN-netwerk van de stad, dat ongeveer 60 procent van het netwerkverkeer van de stadsbestuur voor zijn rekening neemt. Childs, een hoofdingenieur bij DTIS die de inlogmogelijkheid Maggot617 gebruikte, was al maandenlang in conflict met het management en hield zich aan de wachtwoorden, zelfs nadat hij gevangen was gezet. Maandag gaf hij ze aan de burgemeester na een geheime gevangenisvergadering tussen de twee. De advocaat van Childs beweert dat de burgemeester vanwege de incompetentie van de afdeling de enige persoon was die gekwalificeerd was om de sleutels van het netwerk te overhandigen. Gezien de strafrechtelijke aanklacht tegen Childs, zou de stad deze wachtwoorden al moeten resetten, zei Bruce Schneier, chief security technology officer bij BT. "Nu repareren," zei hij. "Ga daarheen, verstrijk ieders wachtwoorden en zorg dat ze allemaal opnieuw inloggen. Doe het nu, dit is niet moeilijk."