Säkerhetsslarv på Tietoevry: "Ofta var lösenordet admin"

Haha otippat. Aged like milk:
"Tietoevry efter attacken: Inga brister i vår it-säkerhet"

Finns en hel del nackdelar med att bara titta på kvartalsrapporter.

"Only a Sith deals in absolutes". Det var ju uppenbart felaktigt uttalande redan då, alla som har den minsta koll på IT-säkerhet vet att det inte finns något som heter 100% säkert.

Jisses, vilka clowner! 🤡

Att till och med en IT-tjänsteleverantörs ledning ser IT-säkerhet som en onödig kostnad är ju... spännande.

Till saken hör dock att det, enligt tidningens källa, framförallt handlat om att sminka grisen (mitt uttryck) eftersom man ville sälja verksamhetsområdet där det aktuella datacentret ingick. Dock ser väl de flesta inte detta då artikeln är låst.

"I maj 2023 gick Tietoevry ut med att bolaget vill sälja affärsområdet Tech Services, där det drabbade svenska datacentret ingår.

– Den försäljningen förklarar varför man snålat in på långsiktiga investeringar. Strategin har varit att maxa vinsten nu, säger källan."

Han chefade på F-Secure innan också, så man hade kunnat tänka sig att han kunnat plocka upp något på vägen... Eller så slog det åt andra hållet istället.

https://www.tietoevry.com/en/investor-relations/governance/gr...

Säkerhet och säkra rutiner kostar pengar, det är nog svaret på varför det gick som det gick.

Följande har jag använt i mitt exjobb för att generera och validera lösenord:

Generera ett kryptografiskt säkert lösenord (om random_int() betraktas kryptografiskt säkert)

// This function generates a random password
function generatePassword($length = 16)
{
    // Define the characters that can be used in the random string
    $characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ!@#$%^*()_+{}|:?-=[]\;,./';
    $lowercase = 'abcdefghijklmnopqrstuvwxyz';
    $uppercase = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
    $special = '!@#$%^*()_+{}|:?-=[]\;,./';

    // Define the length of the characters
    $charactersLength = mb_strlen($characters);

    // Define the random string
    $randomString = '';

    // Loop through the length of the string
    for ($i = 0; $i < $length; $i++) {

        // Append a random character from the characters string to the random string
        // random_int is cryptographically secure!!
        $randomString .= $characters[random_int(0, $charactersLength - 1)];
    }

    // Now before we return the random string (password), we must check that it actually contains at least one number (0-9),
    // one uppercase letter (A-Z), one lowercase letter (a-z) and one special character (!@#$%^*()_+{}|:?-=[]\;,./)
    // otherwise just add one of each to the end of the string
    if (!preg_match('/[0-9]/', $randomString)) {
        $randomString .= random_int(0, 9);
    }
    if (!preg_match('/[A-Z]/', $randomString)) {
        $randomString .= $lowercase[random_int(0, mb_strlen($lowercase) - 1)];
    }
    if (!preg_match('/[a-z]/', $randomString)) {
        $randomString .= $uppercase[random_int(0, mb_strlen($uppercase) - 1)];
    }
    if (!preg_match('/[!@#\$%\^*()_+\{\}\|\:\?\-\=\[\]\\\\;\,\.\-\/]/', $randomString)) {
        $randomString .= $special[random_int(0, mb_strlen($special) - 1)];
    }

    // Now, return the random string
    return $randomString;
}

Möjligen bör lösenordsgeneratorn förbättras genom att de saknade tecknen för ett starkt lösenord blandas in någonstans i den annars färdiga strängen istället för att bara läggas till slutet som den gör just nu. Array_splice() med random_int() för position?

Validera eget inmatat nytt lösenord

// Function that validates empty, min and max length of a string
// that is specifically of the type password using the reference to
// an error variable that will be set if the validation fails.
function validatePassword($input, &$errorReference, $minLength, $maxLength, $fieldName, &$allOK)
{
    // Check if the input is empty
    if (empty($input)) {
        $errorReference = "$fieldName is required!";
        $allOK = false;
    }  // Check if the input is too short
    else if (mb_strlen($input) < $minLength) {
        $errorReference = "$fieldName is too short! Must be at least $minLength characters!";
        $allOK = false;
    }  // Check if the input is too long
    else if (mb_strlen($input) > $maxLength) {
        $errorReference = "$fieldName is too long! Must be at most $maxLength characters!";
        $allOK = false;
    }  // Check if the input contains at least one uppercase letter
    else if (!preg_match("/[A-Z]/", $input)) {
        $errorReference = "$fieldName must contain at least one uppercase letter! (A-Z)";
        $allOK = false;
    }  // Check if the input contains at least one lowercase letter
    else if (!preg_match("/[a-z]/", $input)) {
        $errorReference = "$fieldName must contain at least one lowercase letter! (a-z)";
        $allOK = false;
    }  // Check if the input contains at least one number
    else if (!preg_match("/[0-9]/", $input)) {
        $errorReference = "$fieldName must contain at least one number! (0-9)";
        $allOK = false;
    } // Check if the input contains at least one special character
    else if (!preg_match("/[^a-zA-Z0-9]/", $input)) {
        $errorReference = "$fieldName must contain at least one special character! (!@#$%^*()_+{}|:?-=[]\;,./)";
        $allOK = false;
    }
}

Jag hoppas att Tietoevrys ledning tar in åtminstone en person som vill tänka förebyggande och inte enbart "Snabba cash". Det är pinsamt att företaget har bristande IT-säkerhet - som om ett städbolag med bajskorvar utanför sina egna toalettsitsar!

Mvh,
WKL.

Nu har TietoEvry ökat säkerheten och infört "Sommar2024" som säkert lösenord på samtliga nyinstallationer

Nää, aDm1n...

// This function generates a random password
function generatePassword($length = 16)
{
    // Define the characters that can be used in the random string
    $characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ!@#$%^*()_+{}|:?-=[]\;,./';
    $lowercase = 'abcdefghijklmnopqrstuvwxyz';
    $uppercase = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
    $special = '!@#$%^*()_+{}|:?-=[]\;,./';

    // Define the length of the characters
    $charactersLength = mb_strlen($characters);

    // Define the random string
    $randomString = '';

    // Loop through the length of the string
    for ($i = 0; $i < $length; $i++) {

        // Append a random character from the characters string to the random string
        // random_int is cryptographically secure!!
        $randomString .= $characters[random_int(0, $charactersLength - 1)];
    }

    // Now before we return the random string (password), we must check that it actually contains at least one number (0-9),
    // one uppercase letter (A-Z), one lowercase letter (a-z) and one special character (!@#$%^*()_+{}|:?-=[]\;,./)
    // otherwise just add one of each to the end of the string
    if (!preg_match('/[0-9]/', $randomString)) {
        $randomString .= random_int(0, 9);
    }
    if (!preg_match('/[A-Z]/', $randomString)) {
        $randomString .= $lowercase[random_int(0, mb_strlen($lowercase) - 1)];
    }
    if (!preg_match('/[a-z]/', $randomString)) {
        $randomString .= $uppercase[random_int(0, mb_strlen($uppercase) - 1)];
    }
    if (!preg_match('/[!@#\$%\^*()_+\{\}\|\:\?\-\=\[\]\\\\;\,\.\-\/]/', $randomString)) {
        $randomString .= $special[random_int(0, mb_strlen($special) - 1)];
    }

    // Now, return the random string
    return $randomString;
}

// Function that validates empty, min and max length of a string
// that is specifically of the type password using the reference to
// an error variable that will be set if the validation fails.
function validatePassword($input, &$errorReference, $minLength, $maxLength, $fieldName, &$allOK)
{
    // Check if the input is empty
    if (empty($input)) {
        $errorReference = "$fieldName is required!";
        $allOK = false;
    }  // Check if the input is too short
    else if (mb_strlen($input) < $minLength) {
        $errorReference = "$fieldName is too short! Must be at least $minLength characters!";
        $allOK = false;
    }  // Check if the input is too long
    else if (mb_strlen($input) > $maxLength) {
        $errorReference = "$fieldName is too long! Must be at most $maxLength characters!";
        $allOK = false;
    }  // Check if the input contains at least one uppercase letter
    else if (!preg_match("/[A-Z]/", $input)) {
        $errorReference = "$fieldName must contain at least one uppercase letter! (A-Z)";
        $allOK = false;
    }  // Check if the input contains at least one lowercase letter
    else if (!preg_match("/[a-z]/", $input)) {
        $errorReference = "$fieldName must contain at least one lowercase letter! (a-z)";
        $allOK = false;
    }  // Check if the input contains at least one number
    else if (!preg_match("/[0-9]/", $input)) {
        $errorReference = "$fieldName must contain at least one number! (0-9)";
        $allOK = false;
    } // Check if the input contains at least one special character
    else if (!preg_match("/[^a-zA-Z0-9]/", $input)) {
        $errorReference = "$fieldName must contain at least one special character! (!@#$%^*()_+{}|:?-=[]\;,./)";
        $allOK = false;
    }
}

Med din funktion kan lösenordet bli längre än 16 tecken långt, dessutom är det i sig svagt att alltid lägga till de extra tecknen på slutet då det skapar en obalans. Finns bättre algoritmer att göra detta med - generellt är det bättre att inte själv skriva kryptografisk eller säkerhetskritisk kod, utan använda beprövade bibliotek för detta.

Själv gillar jag lösenord i stil med;

ring112,omkallestoppatKöttbullRinäsan!

Här har vi alltså en VD som har 10 miljoner i årslön (EUR 888 987/year) och vad är konsekvensen för honom? Ingen.

Han borde få sparken och stämmas av företagen som förlorade pengar på denna attack.
Avträde

Det du beskriver är motsatsen till SSO.

I en SSO-lösning så är det inga lösenord som synkas fram och tillbaka, utan istället loggar man in en gång på ett ställe och är inloggad i hela miljön, inte att man kan logga in i flera system med samma lösenord, då är det inte SSO längre.

Jo, fast det kan ju även lätt bli att man "infört SSO", finstilt: "på allt utom x, y och z", och sedan arbetar som att man har SSO.

Håller förstås med, men folk i verkligheten gör olämpliga saker precis hela tiden, särskilt om det upplevs enklare.

Japp, därför bör man införa en lösenordshanterare inom bolaget och sätta så långa och krångliga lösenordskrav på systemen att det är enklare att använda en lösenordshanterare än att memorera och knappa själv.

Det är fan så att man blir lite smått förbannad av sånt här. Det är ändå ett ganska stort bolag med många stora kunder vi snackar om, och inte något jävla garderobföretag. Min otekniska mamma har fan starkare lösenord än dessa IT-stollar! Skäms på er!