الماسحات الضوئية في المطار لها حسابات خلفية ، وكلمات مرور افتراضية

كم من الأشخاص الذين استمعوا إلى Black Hat يتحدثون عن الحسابات الخلفية الموجودة في الماسحات الضوئية التي تستخدمها العديد من المطارات في الولايات المتحدة وفكروا "كيف سأعود إلى المنزل بعد هذا؟" أعلم أنني فعلت.

صرح بيلي ريوس ، مدير مخابرات التهديد في كواليس ، للحضور في مؤتمر بلاك هات يوم الأربعاء ، أن العديد من الأجهزة التي تم نشرها عند نقاط التفتيش الأمنية في المطار تضم حسابات بكلمات مرور افتراضية يمكن إساءة استخدامها. في هذه الحالة ، يتمثل القلق في أن المهاجمين قد يكونون قادرين على استخدام الحسابات كقاعدة خلفية للوصول إلى النظام.

لم تتم إضافة الحسابات المدمجة على الماسحات الضوئية كخلفية ضارة. ترغب الشركات المصنعة في إنشاء حسابات مضمنة بكلمات مرور مضغوطة لأغراض الصيانة والدعم. على الرغم من أن هذه الحسابات مريحة ، فإنها تسبب مشاكل عندما لا يعرف المسؤولون وجود هذه الحسابات ، ولا يمكنهم حتى تغيير كلمات المرور إلى شيء آخر.

وجدت Rios أنه يمكن الوصول إلى بعض أجهزة مسح المطار هذه من الإنترنت العام. اجمع بين حقيقة أن هذه الأنظمة قد تعرضت وأن حسابات الباب الخلفي كانت بها كلمات مرور افتراضية مضغوطة ، وأن الآثار المترتبة عليها مخيفة بعض الشيء. إذا كان لدى المهاجم إمكانية الوصول إلى الماسح الضوئي عن بُعد ، فهل يمكنه التلاعب بنتائج الاختبار؟

استند هذا الحديث إلى نظام الكشف عن المتفجرات وبقايا Morpho Detection Itemiser 3 المستخدم في البحث عن آثار المخدرات والمتفجرات الموجودة على الأمتعة ونظام ساعة الوقت Kronos 4500. عثر ريوس على حوالي 6000 نظام كرونوس على شبكة الإنترنت العامة ، ولكن لحسن الحظ تم نشر اثنين فقط في المطارات. وقال ريوس إنه تمت إزالة واحدة والآخر لا يزال قيد الاستخدام.

أصدرت دائرة ICS-CERT التابعة لوزارة الأمن الداخلي في هولماندوم مشورة حول عيب Itemiser في 24 يوليو.

الجانب المقلق الآخر من النقاش هو حقيقة أن وكالة النقل والأمن لم تتحقق من ميزات المنتج والتحقق من أن النظام يعمل كما تم تسويقه. تتضمن المستشفيات تقييمات أمنية كجزء من عملية الاستحواذ. لماذا لا يحدث هذا مع TSA؟

وقال ريوس "هذا ما أود أن أفعله TSA. انظر قبل قبول المنتج والبحث عن كلمة مرور مستتر دون الاعتماد على حسن نية البائعين" لتغيير كلمة المرور.