מהנדסי ASUS שמרו על סיסמאות פנימיות פתוחות ב-GitHub במשך חודשים

ברור שצוות האבטחה של ASUS עבר חודש רע במרץ. האשמות חדשות על הפרות אבטחה חמורות על ידי עובדי החברה הופיעו, הפעם עם GitHub. החדשות מגיעות בעקבות שערורייה הכרוכה בהפצת נקודות תורפה באמצעות שרתי Live Update רשמיים.

אנליסט אבטחה מ- SchizoDuckie פנה ל-Techcrunch כדי לשתף פרטים על ליקוי אבטחה נוסף שגילה בחומת האש של ASUS. לדבריו, החברה פרסמה בטעות את הסיסמאות של העובדים עצמם במאגרים ב-GitHub. כתוצאה מכך, הוא השיג גישה לאימייל פנימי של החברה שבו עובדים החליפו קישורים לבנייה מוקדמת של יישומים, דרייברים וכלים.

החשבון היה שייך למהנדס שלפי הדיווחים השאיר אותו פתוח למשך שנה לפחות. SchizoDuckie דיווח גם שהוא גילה סיסמאות פנימיות של החברה שפורסמו ב-GitHub בחשבונות של שני מהנדסים נוספים ביצרן הטיוואני. המקור שיתף צילומי מסך עם עיתונאים המאששים את מסקנותיו, למרות שהתמונות עצמן לא פורסמו.

ראוי לציין כי מדובר בפגיעות שונה לחלוטין בהשוואה למתקפה הקודמת, בה האקרים קיבלו גישה לשרתי ASUS ושינו את התוכנה הרשמית על ידי הטמעת דלת אחורית לתוכה (לאחריה ASUS הוסיפה לה תעודת מקוריות והחלה להפיץ זה דרך ערוצים רשמיים). אלא שבמקרה זה התגלה ליקוי אבטחה שעלול לחשוף את החברה לסיכון של התקפות דומות.

"לחברות אין מושג מה המתכנתים שלהן עושים עם הקוד שלהם ב-GitHub", אמר SchizoDuckie. ASUS אמרה שהיא לא יכולה לאמת את הטענות של המומחה, אך היא בוחנת באופן אקטיבי את כל המערכות כדי להסיר איומים ידועים מהשרתים ומהתוכנות התומכות שלה, וכדי לוודא שאין דליפות נתונים.

בעיות אבטחה כאלה אינן ייחודיות ל-ASUS – לעיתים קרובות גם חברות גדולות מאוד מוצאות את עצמן במצבים דומים הקשורים לרשלנות של עובדים. כל זה מראה עד כמה קשה המשימה של הבטחת האבטחה בתשתית מודרנית וכמה קל להתרחש דליפות נתונים.

מקור: 3dnews.ru