San Francisco DA oplyser byens netværksadgangskoder

I sit forsøg på at beskytte byen mod en computersikkerhedsrisiko kan San Francisco District Attorney's Office meget vel have skabt en anden.

Kontoret for San Francisco District Attorney Kamala Harris har offentliggjort tæt på 150 brugernavne og adgangskoder, der anvendes af forskellige afdelinger for at oprette forbindelse til byens virtuelle private netværk. Adgangskoderne blev indleveret denne uge som udstilling A i et retsdokument, der hævder mod en reduktion på 5 millioner dollars i borgere i tilfælde af Terry Childs, der er anklaget for at holde byens netværk gidsler ved at nægte at opgive administrative netværkskoder. Childs blev arresteret den 12. juli på grund af computerens manipulation og holdes i amts fængsel. Selvom de anbragte adgangskoderne i offentligt rekord, synes byanklagere at tro at de er følsomme.

Løberne opdagede på Childs 'computer udgør en "overhængende trussel" for byens computernetværk, ifølge domstolens arkivering. Childs kunne bruge navnene og adgangskoderne til at "efterligne nogen af ​​de legitime brugere i byen ved at bruge deres adgangskode for at få adgang til systemet", bevægelsen mod borgernes reduktionsstater.

Selvom DA's kontor ikke sagde, hvad passwords blev brugt til, en kilde, der er bekendt med situationen, sagde, at de er til at logge ind i byens virtuelle private netværk, og at denne type information er noget, som en netværksadministrator som Childs forventes at have.

Udstationering af disse adgangskoder offentligt skaber en sikkerhedsrisiko, selvom adgangskoderne ikke er nok til at give en kriminel adgang til byens VPN. Adgangskoderne er såkaldte "fase 1" adgangskoder og skal kombineres med et andet kodeord for at få adgang til netværket, siger kilden.

Adgangskoderne bruges af byarbejdere, der får adgang til netværket fra hjemmecomputere eller via bærbare computere, mens de er uden for bykontorer. Passordene er for mange byafdelinger, herunder politiets afdeling, borgmesterkontoret og DTIS, hvor Childs arbejdede.

Byen skal "bevæge sig meget aggressivt" for at ændre adgangskoderne så hurtigt som muligt. som det kan, sagde Robert Grapes, chefsteknolog for datacenterløsninger til Cloakware, en leverandør af software til adgangskodeadministration.

Erica Derryck, en talskvinde for DA's kontor, nægtede at kommentere sagen. Borgmesterkontoret, der fører tilsyn med DTIS, returnerede ikke meddelelser, der søgte kommentarer til denne historie.

For at ændre adgangskoderne skal byen omkonfigurere VPN-softwaren, der kører på hver pc, der forbinder fjernt, hvilket den endnu ikke har gjort kilde sagde.

Nogle af adgangskoderne ville have gavn af en ændring, fordi de er identiske med VPN-logonnavnet eller ekstremt let at gætte.

Childs-sagen har været en top nyhed i San Francisco i næsten to uger nu.

I ni dage efter arrestationen den 12. juli nægtede han at overdrage administrative adgangskoder til de fem centrale netværksenheder på byens FiberWAN-netværk, der bærer omkring 60 procent af byens regerings netværkstrafik. Childs, en ingeniørchef med DTIS, der brugte log-in Maggot617, havde været involveret i en månedslang konflikt med ledelsen og holdt fast på adgangskoderne, selv efter at han blev fængslet.

På mandag gav han dem over til borgmesteren efter et hemmeligt jailhouse møde mellem de to. Childs advokat hævder, at borgmesteren var den eneste person, der var kvalificeret til at blive afleveret nøglerne til netværket på grund af institutionel inkompetence.

I betragtning af de strafferetlige anklager mod Childs bør byen allerede nulstille disse adgangskoder, sagde Bruce Schneier, chef sikkerhedsteknolog officer hos BT. "Fix det nu," sagde han. "Gå ind der, udløber alles adgangskoder, og lad dem logge ind igen. Gør det lige nu. Dette er ikke svært."