【工場出荷時】デフォルト認証情報リストの存在
はじめに
私たちはビジネスにおいてもプライベートにおいても、ソフトウェアが搭載された様々な機器を利用しています。
それらの機器を運用する際、工場出荷時にあらかじめ設定されてあるデフォルトの認証情報を変更せずにそのままにしておくことで、悪意ある第三者に認証を突破されてしまうインシデントをよく耳にします。
そういった工場出荷時の認証情報というのは集約されデータベース化されているため、悪意ある第三者自身が触れることができない製品であっても、比較的容易に工場出荷時の認証情報を把握することができます。
リスト一覧
CIRT.net
以下のURLからアクセスすることができます。
531ものベンダー、そして2117もの製品の工場出荷時におけるデフォルト認証情報がデータベース化されています。
※2024/04/19時点の集計です。
例えば、印刷機器メーカーXeroxのDocument Centre 432（複合機）における工場出荷時のデフォルト認証情報を探します。
検索フォームにXeroxと入力して送信します。
すると、いくつかのXerox製品が羅列されるため、欲しい製品の認証情報を探します。
しばらくスクロールすると、欲しい情報を見つけました。
このようにして、悪意ある第三者自身が製品を購入して検証することなく認証情報を入手することができます。
SecLists
以下のURLからアクセスすることができます。 収集済みのベンダー数や製品数、製品名は公開されていないものの、ベンダー名とデフォルト認証情報が紐づいたリストが公開されています。
例えば、ビジネス向けのコミュニケーションシステムやクラウドベースのコラボレーションツールを提供しているAvayaの製品で扱われているデフォルトの認証情報を探します。
ありましたね。
CIRT.netとは異なり製品名は記載されておりませんが、総当たりで認証試行すればどれかにヒットしてくれるはずなので些細なことです。
default password list
以下のURLからアクセスすることができます。 CIRT.netやSecListsとは異なり、様々な情報が羅列されています。（以下に記載）
Manufactor：メーカー
Product：製品
Revision：バージョン
Protocol：プロトコル
User：ユーザID
Password：パスワード
せっかくなので、電子機器メーカーThomsonのTCW710（ケーブルモデム）を探してみましょうか。
検索フォームがないので、Ctrl + Fでサイト内検索を行います。
しばらくスクロールすると、欲しい情報が見つかりました。
まとめ
工場出荷時のデフォルト認証情報というのは、その情報の公開有無にかかわらずいつのまにか集約されているものです。
デフォルト認証情報での運用は望ましくないということは百も承知ですが、このように簡単に誰でも把握できる環境が整ってしまっているため、この機会に自身の運用している製品の認証情報を見直してみてはいかがでしょうか。
Discussion