Usikret trådløst nettverk ga full tilgang til hele datasystemet

Alle med noen år bak seg i databransjen vet – eller burde vite – viktigheten av å sikre sine trådløse nettverk med både passord og kryptering for å hindre at uvedkommende får tilgang til dataene sine. Dette, og mye mer, manglet fullstendig hos den relativt ny-etablerte Euronics-butikken på Raglamyr utenfor Haugesund.

Mobiltelefonen avslørte butikken
Det hele startet rimelig uskyldig. En liten kjøretur rundt på det aktuelle området en lørdag formiddag sammen med Nokia N95′en (som har innebygget trådløst nettverkskort og som dermed oppdager eventuelle trådløse nettverk i nærheten) gjorde at jeg oppdaget minst 15 trådløse nettverk bare innenfor en radius på en kilometer. De fleste av disse var relativt godt sikret med kryptering og passord – slik de skal være -, men mot slutten av den relativt uskyldige – og helt lovlige – søkerunden oppdaget mobilen et tilsynelatende åpent nettverk.

I seg selv behøver ikke det være så veldig alvorlig, men i dette tilfellet var nettverket så dårlig satt opp at det – foruten totalt fravær av passord og krypteringssikring – også tildelte en såkalt DHCP IP-adresse, det vil si at den “ga” eventuelle PCer som oppdaget nettverket automatisk full tilgang til det.

Etter ca 30 sekunders trykking på en bærbar PC som tilfeldigvis var med på turen var følgende informasjon tilgjengelig:
- den trådløse routeren var av typen Linksys WRT54G
- IP-adressen til routeren var 192.168.1.1
- routeren var satt opp som DHCP-server, noe som betyr at den bokstavelig talt ga alle PCer i nærheten full tilgang til nettverket sitt

Ekstremt enkelt å misbruke
Å få tilgang til et åpent trådløst nettverk som dette gir oss i utgangspunktet kun tilgang til internett, men i tillegg til å kunne surfe gratis (og i verste fall svindle med VISA-kort, osv i butikkens navn) var det i dette tilfelle også automatisk tildelt full tilgang til hele det lokale nettverket i butikken, der serveren (!) sammen med alle PCene lå åpent tilgjengelig for hvem som helst.

Alle kundeopplysninger lå åpent ute
Og det skulle bli verre, for da serveren etter nye 30 sekunder ble oppdaget lå det et helt åpent såkalt share (et delt område) på den – uten sikring med verken brukernavn eller passord der heller – der hele butikkens datasystem lå. Her fantes flere tusen filer med all informasjon om alle kunder og hva de hadde kjøpt, alle salgsrapporter, detaljert varebeskrivelse med informasjon om hva butikken tok i fortjeneste på hver enkelt vare, oversikt over hele økonomien, osv.

Det ble også oppdaget andre opplysninger, med disse er utelatt fra artikkelen av hensyn til firmaet.

Usikret butikksystem var prikken over i’en
Også selve butikksystemet var kritikkverdig konfigurert opp (her må nok selve butikken ta hovedansvaret) ettersom det var helt usikret uten noen seriøs form for passordbeskyttelse eller kryptering. Det tok bare noen minutter å få opp absolutt all informasjonen som var lagret i det, inkludert generell informasjon om kort-transaksjoner som var blitt foretatt, mm. Og dette uten å måtte kopiere ut en eneste byte av butikkens data. Det er alltid veldig viktig å sikre at et datasystem er sikkert slik at brukerne ikke kommer inn på systemet, selv om selve nettverket ligger åpent.

Ekstremt kunnskapsløst
At en elektrobutikk, som lever av å selge PCer, datautstyr (inkludert trådløst utstyr) og liknende, lar sitt eget nettverk bli eksponert på en slik måte er i beste fall ekstremt kunnskapsløst, men at alle kundedata ligger så åpent tilgjengelig for hvem som helst er helt klart langt over grensen til hva man som kunde bør akseptere.

Administrerende direktør takket for opplysningene
Da dette ble oppdaget sendte jeg en epost til både butikken og kjeden den tilhører, der jeg i detalj la frem hvordan nettverket deres var satt opp, hva som var allment tilgjengelig og hvordan de kunne sikre det.

Jeg skrev også at jeg snarest måtte få en bekreftelse på at systemene var sikret, da dette i ettertid ville bli allment kjent.

Kenneth Baltzersen, administrerende direktør i Euronics Norge, svarte – etter fire dager – på forespørselen jeg sendte dem, der han takket for opplysningene og sa at det hadde vært en alvorlig svikt i sikkerhetsrutinene. Han bekreftet også at det var iverksatt sikkerhetstiltak for å sikre systemene.

Sjekk ditt eget nettverk
Bruken av trådløse nettverk har eksplodert de siste årene og svært mange lar være å sikre dem med passord og kryptering fordi de enten ikke vet hvordan dette gjøres eller de gidder ikke å lese bruksanvisningen. Vårt råd er at dersom du ikke vet hvordan du gjør dette selv så må du få tak i kyndig datahjelp (og da mener vi ikke fra denne aktuelle databutikken), alternativt la være å bruke trådløst nettverk.

Husk at et usikret trådløst nettverk er enda farligere enn å legge nøkkelen til huset ditt under dørmatten sammen med en stor lapp på døra som forteller eventuelle uvedkommende hvor alle verdisakene i huset er lokalisert, der du i tillegg skriver at du er bortreist på en fem-ukers skiferie i indre Alaska.

Det var nettopp dette, og mye mer, Euronics i Haugesund gjorde..

PS: Denne artikkelen ble – av hensyn til butikken – ikke publisert før etter at administrerende direktør hadde bekreftet at sikkerhetstiltak var iverksatt.

Tagged as: hacking, sikkerhet