test/test – takimi danymi logowania zabezpieczony był serwer z e-mailami spółki, prywatnymi i służbowymi plikami zarządu, danymi medycznymi oraz nielegalnym oprogramowaniem

Zobaczcie na tę sprawę sądową (2019r.), na którą skierował nas jeden z czytelników. W sprawie chodzi o przywrócenie do pracy zwolnionego pracownika.

W czym był problem? Otóż pracodawca rozwiązał z pewnym adminem umowę o pracę, swoją decyzję argumentując m.in. tak:

W trakcie tych testów polegających na wyszukiwaniu, po zeskanowaniu całej sieci, słabych momentów, jeżeli chodzi o bezpieczeństwo danych, natrafiono na serwer S., do którego można było wejść i zalogować za pomocą hasła test test i stwierdzono, że znajdują się tam dane gromadzone od roku 2009 i min. stwierdzono tam: istnienie plików programu pocztowego, w których zapisuje się całą korespondencję pocztową, a także pliki dokumentów prywatne i służbowe członków zarządu pozwanej spółki, biura obsługi zarządu, sekretariatu, dane byłych członków zarządu , dane prywatne o charakterze medycznym, nielegalne oprogramowanie ( min. nawigacje samochodowe, program do tworzenia stron internetowych, klient zdalnego połączenia, obsługa kart pamięci i pendrive, synchronizacja klienta pocztowego, program do wykonywania kopii bezpieczeństwa, muzyka w formacie MP3.

W wyroku czytamy, że serwer S. był serwerem kopii zapasowych a nieszczęsne test/test dawało dostęp na udział sieciowy oraz przez przeglądarkę. W uzasadnieniu zwolnienia, pracodawca wskazywał m.in. zachowania polegające na (…):

nienależytym zabezpieczeniu danych wymienionych w pkt 1 i 2 przed nieuprawnionym dostępem innych osób-użytkowników ogólnozakładowej sieci komputerowej pracodawcy, umożliwiającym pełny dostęp poprzez zalogowanie się na udział sieciowy \\10.2.17.10\P. włącznie za pomocą użytkownika „test” i hasła „test” lub bezpośrednio przez przeglądarkę www podając adres (…) oraz użytkownika „test” i hasło „test”.

Czy test/test jest dużym problemem? To zależy jak uda się całość przedstawić w sądzie:

(…) świadek zeznał, że zestaw słów „test test” jest trywialny, ale trzeba mieć pomysł , że takie hasło może być. Zeznania tego świadka są, w ocenie sądu, istotne bo nadzorował on pracę zespołu przeprowadzającego penetracyjne testy bezpieczeństwa, a więc znał istotę sprawy i skoro zarzutem skierowanym wobec powoda jest, że jego działania w zakresie zabezpieczenia danych zgromadzonych w katalogu (…) były nienależyte i mogły spowodować ujawnienie tajemnicy informacji zgromadzonych na serwerze S., to odpowiedzi tego świadka na pytanie o możliwości nieuprawnionego dostępu do tych plików, jako specjalisty w tym zakresie, mają wartość istotną.

Warto też zwrócić uwagę na ten fragment:

serwer S. był przeznaczony tylko dla potrzeb serwisu, niedostępny dla innych obszarów firmy, bo był on w sieci chronionej, czyli zabezpieczonej przed włamaniami i ingerencją z zewnątrz. 

Nie jest więc do końca jasne czy „sieć chroniona” – to sieć całkowicie odseparowana od reszty sieci LAN, czy „tylko” odseparowana od sieci Internet. Szczególnie, że dalej czytamy:

jeżeli ktoś miałby dostęp do sieci zakładowej i był wybitnym informatykiem, miałby wiedzę, że jest takie urządzenie [tj. serwer backupu – przyp. sekurak] i wiedziałby jakby je wywołać [tj. jak się dostać na udział sieciowy – przyp. sekurak], to taka osoba mogłaby mieć dostęp do tych danych, ale jest to mało prawdopodobne

Trochę dalej nie wiadomo czy w określeniu „wybitny informatyk” zawiera się umiejętność zlokalizowania danego udziału sieciowego oraz spróbowania kombinacji logowania „test”/”test” – czy bardziej chodzi tutaj o przełamanie separacji: sieć LAN <-> sieć z serwerem backup.

Tak czy siak – sprawdźcie czy przypadkiem Wasze serwery backupowe (i inne) nie mają możliwości dostępu za pomocą test/test, admin/admin, itp.

~ms