domyślne hasło

Domyślne hasło to fabryczny login i hasło, z którym urządzenie, panel albo program wychodzi od producenta, na przykład para admin/admin. CERT Polska nazywa hasło wspólne dla wszystkich egzemplarzy produktu uniwersalnym hasłem domyślnym i zaznacza, że takie hasło nie jest tajemnicą ^[1]. MITRE opisuje ten błąd jako słabość CWE-1392: produkt używa domyślnych danych uwierzytelniających, takich jak hasła lub klucze kryptograficzne, do potencjalnie krytycznych funkcji ^[2]. Problem dotyczy routerów, kamer, paneli hostingu i instalatorów oprogramowania.

Jak działa

Producenci ustawiają domyślne dane logowania, by ułatwić produkcję i pierwszą konfigurację. Jeśli administrator ich nie zmieni, atakujący może szybko obejść uwierzytelnianie w wielu organizacjach jednocześnie ^[2]. CERT Polska zwraca uwagę, że wielu użytkowników po prostu podłącza urządzenie i zaczyna z niego korzystać ^[1]. Domyślne loginy i hasła do większości urządzeń łatwo znaleźć w internecie ^[3].

Atak nie wymaga więc zgadywania. Wystarczy krótka lista par login–hasło i automat, który sprawdza je na kolejnych adresach, jak na schemacie poniżej.

RYS. 1Przejęcie urządzenia przez domyślne hasło

Domyślne hasło różni się od hasła zaszytego w kodzie. Domyślne można zwykle zmienić, a zaszytego nie. W praktyce oba błędy dają ten sam skutek: dane logowania znane wszystkim.

Zagrożenia i skutki

MITRE wymienia jako skutek obejście mechanizmów uwierzytelniania, nieuprawniony dostęp i podniesienie uprawnień ^[2]. Wśród przykładów podaje CVE-2022-30270, domyślne konto SSH w urządzeniu RTU, i CVE-2021-38759, domyślne hasło dające dostęp administratora do płytki z mikrokontrolerem ^[2].

Na dużą skalę domyślne hasła zasilają botnety. Według alertu CISA z października 2016 roku złośliwe oprogramowanie Mirai stale skanowało internet w poszukiwaniu podatnych urządzeń IoT i używało krótkiej listy 62 popularnych domyślnych par login–hasło ^[3]. 20 września 2016 roku atak na blog Krebs on Security przekroczył 620 Gb/s, a pod koniec września atak na hostingodawcę OVH osiągnął co najmniej 1,1 Tb/s ^[3]. Autor Mirai twierdził, że w ataku na Krebsa użyto ponad 380 000 urządzeń ^[3]. Takie urządzenia służą potem do ataków DDoS, także na strony internetowe.

Jak się bronić

MITRE zaleca zakaz domyślnych i zaszytych danych uwierzytelniających, które nie różnią się między instalacjami, oraz wymuszenie ich zmiany podczas instalacji przez administratora ^[2]. CERT Polska opisuje dwa bezpieczne podejścia dla producentów ^[1].

Według CERT Polska unikalne hasło egzemplarza powinno być generowane kryptograficznie, na przykład z użyciem HMAC-SHA-256, i na tyle długie, by jego automatyczne odgadnięcie było niepraktyczne ^[1]. W drugim podejściu dostęp administracyjny jest możliwy dopiero po utworzeniu konta, a jego założenie wymaga na przykład fizycznego przycisku albo bezpośredniego połączenia z urządzeniem ^[1].

Przepisy idą w tę samą stronę. CERT Polska wskazuje normę ETSI EN 303 645 oraz regulacje: brytyjskie PSTI i unijny Cyber Resilience Act, które wymagają bezpiecznej konfiguracji domyślnej ^[1]. Brytyjskie rozporządzenie, obowiązujące od 29 kwietnia 2024 roku, stanowi, że hasła w podłączanych produktach muszą być unikalne dla egzemplarza albo ustawione przez użytkownika ^[4]. Unikalne hasła nie mogą opierać się na licznikach, publicznie dostępnych informacjach ani łatwych do odgadnięcia wzorcach ^[4].

CISA w alercie o Mirai zalecała zmianę wszystkich domyślnych haseł na silne, szybkie instalowanie poprawek bezpieczeństwa, wyłączenie UPnP, jeśli nie jest potrzebne, oraz kupowanie urządzeń od renomowanych producentów ^[3]. Radziła też obserwować ruch na portach 2323/TCP, 23/TCP i 48101 w poszukiwaniu podejrzanej aktywności ^[3]. MITRE ocenia zakaz wspólnych danych logowania i wymuszenie ich zmiany przy instalacji jako środki o wysokiej skuteczności, a samą możliwość zmiany przez administratora jako umiarkowanie skuteczną ^[2].

Użytkownik powinien zmienić hasło od razu po uruchomieniu urządzenia, zgodnie z zasadami bezpiecznych haseł, najlepiej z pomocą menedżera haseł. To samo dotyczy bezpieczeństwa IoT (internetu rzeczy) w domu i w biurze.

W WordPressie

WordPress nie ma fabrycznego hasła: instalator prosi o wybraną nazwę użytkownika i hasło podane dwukrotnie ^[7]. Odpowiednikiem domyślnego hasła jest konto „admin” ze słabym hasłem ustawionym przy instalacji. Dokumentacja zaleca, by przy tworzeniu konta administratora unikać łatwych do odgadnięcia nazw, takich jak admin czy webmaster, bo są atakowane w pierwszej kolejności ^[5]. Poradnik o atakach siłowych mówi wprost: nie używaj nazwy użytkownika admin; utwórz osobne konto administratora, a stare konta o tej nazwie usuń albo obniż ich uprawnienia ^[6].

Dokumentacja przypomina, że włamywacz z dostępem do konta administratora może zainstalować złośliwe skrypty, które zagrażają całemu serwerowi, a wiele ataków na WordPressa prowadzą automatycznie złośliwe boty ^[5]. Dlatego obok zmiany nazwy konta liczą się:

• limit prób logowania i ograniczanie ruchu do wp-login.php na poziomie serwera ^[6], jako ochrona przed atakiem siłowym (brute-force);
• uwierzytelnianie dwuskładnikowe (2FA) dla wszystkich administratorów albo passkey ^[6];
• hasła aplikacji (application passwords), dostępne od WordPressa 5.6, dla usług łączących się przez API zamiast głównego hasła ^[6];
• zmiana domyślnego prefiksu tabel wp_, bo część opublikowanych ataków SQL injection zakłada jego użycie ^[5].

Domyślne hasła występują też wokół WordPressa: w panelach hostingu, routerach biura i urządzeniach sieciowych. Włamanie do nich omija wszystkie zabezpieczenia samej strony.