Western Digital lekte ip-adressen gebruikers via dns-instelling
Harde schijffabrikant Western Digital heeft de ip-adressen en hostnames van meer dan een miljoen gebruikers gelekt omdat het een dns-instelling van een dns-server niet goed had ingesteld. Het domain name system (dns) is het systeem en netwerkprotocol dat op internet wordt gebruikt om namen van computers naar numerieke IP-adressen te vertalen en omgekeerd. Dns-servers laten computers onder andere weten waar ze bepaalde websites of domeinen kunnen vinden.
In het geval van Western Digital was een dns-server niet goed ingesteld. Het was daardoor mogelijk om een 'zone transfer' uit te voeren. Hierbij worden de dns-gegevens van de ene dns-server naar een andere gekopieerd, zoals ingestelde hostnames en ip-adressen. Verschillende partijen, waaronder het Nationaal Cyber Security Center (pdf) van de overheid en Certified Secure (pdf), adviseren dan ook om externe partijen geen zone transfers uit te laten voeren, aangezien ze zo allerlei informatie over hostnames en ip-adressen in handen krijgen.
Deze informatie kan vervolgens voor verdere aanvallen worden gebruikt, omdat het helpt bij het vinden van potentieel interessante websites of ip-adressen die de aanvaller op andere kwetsbaarheden kan scannen. In het geval van Western Digital was het mogelijk om een zone transfer uit te voeren en zo de dns-gegevens van de dns-server oriondns2.wd2go.com in handen te krijgen. Een onderzoeker ontdekte op deze manier 1,1 miljoen ip-adressen en bijbehorende hostnames van WD My Cloud-gebruikers. WD My Cloud is een persoonlijke cloudopslagdienst. Gebruikers kunnen hun externe Western Digital-schijf via een hostname van over het hele internet benaderen.
"Gegeven de informatie die op een dergelijk apparaat wordt bewaard zou het om een gigantische hoeveelheid foto's, privégegevens, bankinformatie en andere zaken kunnen gaan", aldus onderzoeker John Garrett tegenover SecurityWeek. Na te zijn ingelicht heeft Western Digital het probleem verholpen en alle andere dns-servers op de mogelijkheid van zone transfers gecontroleerd. Het probleem van zone transfers speelt echter niet alleen bij Western Digital. Garrett scande 6,8 miljoen domeinen op internet. 509.000 domeinen en 130.000 dns-servers stonden een zone transfer toe, aldus het onderzoek van de onderzoeker.
behalve misschien de Cloud mogelijkheden niet gebruiken, of geen WD-netwerkschijf aanschaffen?
behalve misschien de Cloud mogelijkheden niet gebruiken, of geen WD-netwerkschijf aanschaffen?
Als je het zelf beheert kan het ook fout gaan natuurlijk, maar dan weet je tenminste wie de schuld heeft.
Geen flauw idee waar je vandaan haalt dat hij klantgegevens heeft gepubliceerd. Volgens het artikel heeft hij het netjes eerst gemeld en gewacht tot het was opgelost voor bekend te maken wat voor probleem er speelt:
“We sincerely thank John W. Garrett for engaging Western Digital to responsibly disclose this concern in a manner that puts our customers and their security first."
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.