推測されやすいデフォルトパスワード禁止へ…イギリスで新法施行

国内外製のルーター・NAS等において、あるいはソフトウェアでもLinuxディストリビューションのインストール時等において、デフォルトのパスワードが簡単なものであったり、そうでなくても同品番の全ての機器で同じであるケースは珍しくなく、そういったデフォルトパスワードの情報を集めているWebサイトも存在します。

攻撃者は、オープンポートや管理画面等に外部からアクセス可能な機器が検索可能な「Syodan」「Censys」等のサイトも利用し、パスワードが変更されていない機器がないか日々探し回り、侵入の機会を窺っていることでしょう。

あらゆるサーバーからネットワーク機器に至るまで、導入時には必ず管理者パスワードをデフォルトのものから機器ごとに異なるかつ推測されにくいものに変更することが肝要です。

委託先会社に不手際があったと名指しで指定する事態となっており、同26日にはスターティア社からも本件について発表がありました。

テスト用か否かに拘らず、パスワードはもちろんIDが推測されやすいものは攻撃者にターゲットとされやすいため、導入前のテスト段階から複雑なものであるべきです。

また、任意のアクセス元からSSHによってサーバーにログインするような場面では、既にIDとパスワードのみでの認証は推奨されず公開鍵による認証が一般的となっており、UTMを経由してのVPN接続においてもユーザー毎に証明書を発行したり、その他の多要素認証の導入が強く推奨されます。