Home / Security / Wachtwoordbeveiliging Oracle makkelijk te kraken
Anoniem op 6 juni 2007 om 13:28 Meld misbruik
Ja, hoevaak zie je databases met default admin password beveiligd?
(sysdba,masterkey)
(sysadm,sysadm)
Vaak wordt dit niet als een risico gezien, omdat je voordat je überhaupt kunt inloggen, al zoveel ringen van beveiliging bent doorgegaan, dat ze je het admin-account gratis als beloning geven....
Dit heb ik heel vaak gezien, men beschouwd het als een voordeel, want ik heb ook al gezien dat de sysadmin met de noorderzon was vertrokken en niemand nog toegang had tot het admin-account, en vaak zie je wachtwoorden op monitors geplakt,...
Het hoort niet, en in een omgeving met een hoge mate van beveiliging zal dit niet voorkomen, maar het aantal grote bedrijven/ziekenhuizen/overheidsdiensten die het wel zo doen is naar mijn ervaring, als ik die mag extrapoleren, erg groot.
Anoniem op 6 juni 2007 om 13:00 Meld misbruik
ik? vakantie?
"de laatste keer dat ik vakantie had was toen ze het nog met een "c" schreven", zei Jules Deelder gisterenavond.
Anoniem op 6 juni 2007 om 09:43 Meld misbruik
Ik geef geen minnetjes, Mr. Right, soms wel plusjes omdat ik wil dat een opmerking lang leesbaar blijft, dus jij krijgt een plusje, dit geef ik je vaker. Ik zou willen dat jij dat ook zou doen.
Dan nu jouw MS SQL Server
De 2000 versie is nog erg slecht, veel advisories, sommige unpatched, sommige highly critical. Maar de 2005 versie is qua security tot op dit moment onovertroffen. Proficiat Microsoft.
Er zijn natuurlijk (behalve security) meer redenen waarom je voor een bepaalde database kiest. Bijvoorbeeld benchmarks, features, ondersteuning van open standaarden, connectivity, platform, prijs.......
Naast prijs en performance en security tellen ook de stabiliteit van de platforms, de benchmarks voor de platforms, de hardware voor een platform en nog veel meer.
In deze mix van criteria kom ik, en dat hangt heel erg van het doel af waarvoor een database wordt gebruikt, slechts heel zelden tot MS SQL Server 2005 (eigenlijk nooit) ondanks de outstanding security. En dat mag best benoemd worden
Anoniem op 5 juni 2007 om 23:51 Meld misbruik
O zit je hier. Hoe was de vakantie?
Anoniem op 5 juni 2007 om 20:05 Meld misbruik
Blij dat ik dan toch al lange tijd (en naar grote tevredenheid) Microsoft SQL Server gebruik.
Kom maar op met die minnetjes! (Ik ben toch al tevreden)
Anoniem op 5 juni 2007 om 19:32 Meld misbruik
Ik hoop dat je gelijk hebt, maar een proof-of-concept op basis van een virus, een slecht geschreven (web)applicatie, een openliggend WLAN, enzovoort. Dit is inderdaad geen probleem als er verder ook helemaal niets anders verkeerd gaat. De praktijk is echter dat mensen fouten maken, programma's lekken hebben, netwerkbeveiliging soms faalt of systeembeheer problemen heeft. Kortom: in een perfecte wereld had je niet eens databasewachtwoorden nodig.
Anoniem op 5 juni 2007 om 17:57 Meld misbruik
"In december werd een week afgelast waarin elke dag een nieuw lek zou worden"
Gaan ze deze week dan later weer inlassen ?of is deze gewoon weg ?
Anoniem op 5 juni 2007 om 15:43 Meld misbruik
Zoals eerder gezegd. Al heb je enorm veel computerinzicht, dan nog zit kom je niet in de database. Je dient al een login te hebben voor die database. M.a.w. het lek kan alleen maar misbruikt worden door iemand van binnen de organisatie.
Als er iemand vanuit binnen de organisatie dit al zou proberen en het ook nog zou lukken, en het vervolgens ook nog gaat publiceren aan derden, nou dan vrees ik dat deze persoon veel eenvoudiger nog veel meer gevoelige info op straat kan storten.
Al met al dus paniek om weinig. Uiteraard moeten ze hier wel wat aan doen!
Anoniem op 5 juni 2007 om 15:00 Meld misbruik
Als iemand met een beetje computerinzicht de database binnen 5 minuten kan kraken
Klinkt spannend, maar een beetje computer inzicht en vijf minuten is niet voldoende.
Anoniem op 5 juni 2007 om 14:59 Meld misbruik
precies, dat bedoel ik, ik had het goed gelezen. Er zijn uitstekende vrij verkrijgbare routines om passwords te hashen (een-weg versleuteling)
7Penselen op 5 juni 2007 om 14:43 Meld misbruik
Het lelijkste is dat jouw gegevens in hun databasen zitten opgeslagen. Als iemand met een beetje computerinzicht de database binnen 5 minuten kan kraken liggen jouw gegevens, die er in staan gewoon op straat. :-(
Dit is niet alleen een flater voor Oracle, maar ook een ernstig privacy probleem, gezien veel gegevens van burgers in databases liggen opgeslagen.
RobIII op 5 juni 2007 om 14:27 Meld misbruik
Dan moet je het artikel wat beter lezen ;)
Vervolgens gebruikt het bedrijf een simpele combinatie van deze code en de gebruikersnaam voor de DES-versleuteling.
Anoniem op 5 juni 2007 om 13:51 Meld misbruik
En dat terwijl er gewoon open source dozijnen goede routines voor passwordhash te vinden zijn.
Anoniem op 5 juni 2007 om 13:13 Meld misbruik
Loopt allemaal wel los denk ik. Echter wel grappig dat dit soort companies schermen met "magic" terwijl het eigenlijk ook maar prutsers zijn net als veel bedrijven in de business.
Anoniem op 5 juni 2007 om 12:48 Meld misbruik
Zo erg is de fout niet. Je hebt of fysieke toegang nodig to de database: Ook windows wachtwoorden zijn te kraken met fysieke wachtwoorden. Of je hebt toegang nodig tot de oracle database, dus een privilegde evaluation.
Dit is een security bug, maar niet zo erg als het op het eerste gezicht lijkt.
RobIII op 5 juni 2007 om 12:17 Meld misbruik
Hopelijk wordt het snel gepatched! En niet pas over enkele maanden!!
Ik vrees dat de impact hiervan "te groot" is om "zomaar effe" te patchen; dat kon nog wel eens even duren voor het gefix0red is.
En dan fixen ze het met 0xFEDCBA9876543210 :P
Anoniem op 5 juni 2007 om 12:00 Meld misbruik
'fixed magicnummer' dat niet ingewikkelder is dan 0x01234567890ABCDEF. en ik altijd maar denken dat de 'fixed magicnumber' "Larry Ellison" was.
Maar dit is echt een probleem. Hopelijk wordt het snel gepatched! En niet pas over enkele maanden!!
dlerewbew op 5 juni 2007 om 11:34 Meld misbruik
Oracle patched eens in de zoveel maanden. Ze hadden het pas nog gedaan, volgende keer zal wel ergens rond september of oktober zijn. En dan is het nog maar de vraag of ze patchen, want daar zijn ze ook niet echt gretig op.
RobIII op 5 juni 2007 om 11:06 Meld misbruik
Duidelijk gevalletje van NIH.
Ik vraag me af of ze deze traditie doorzetten met hun "unbreakable linux" ;)
Dit is natuurlijk weer een mooi stukje luiheid. Ik hoop dat ze dit snel patchen, al vraag ik me af hoeveel oracle servers van het web benaderbaar zijn. Maar vanuit de interne organisatie is dit natuurlijk wel mogelijk. Hoe slecht...