Kétséges az Oracle jelszórendszerének biztonsága

Kiss Ádám Zoltán, 2005. október 28. 21:09

Szakértők szerint az adatbáziskezelők jelszóvédelme nem megfelelően szigorú, így nem jelent különösebb kihívást hozzájutni vállalati adatokhoz.

A kutatók még a jól megfogalmazott jelszavakat is képesek voltak néhány perc alatt azonosítani, így védelmi szintjük szerintük nem elégséges. Joshua Wright a SANS Institute és Carlos Sid, a Royal Holloway College (University of London) részéről adott felvilágosítást eredményeiről a Sans hálózatbiztonsági konferenciáján Los Angelesben. Wright kifejtette, milyen módon titkosítják a jelszavakat eltárolás előtt, és bemutatott egy saját fejlesztésű alkalmazást, melyet kifejezetten az Oracle jelszavas védelmének feltörésére készített.

Wright és Cid szerint gondot jelent, hogy a titkosítás nem közvetlenül történik, hanem előbb minden karaktert nagybetűssé alakítanak, ez gyengíti a rendszert. A két kutató eredményeiről még júliusban beszámolt az Oracle-nek, ám ismételt megkereséseikre sem kaptak választ. A cég a Cnet érdeklődésére sem reagált. A kutatók a felhasználók számára a hozzáférési jogok leszűkítéseit ajánlja, valamint az Oracle megkeresését az ügyben. Az utóbbi időben nem az első eset, hogy az Oracle-t támadás éri biztonságtechnikai gyakorlata miatt, a területtel foglalkozó vállalatok sorra kritizálták a vállalatot mivel szerintük az Oracle lassan reagál a bejelentett hibákra, és gyakran hibás a megkésett javítás is -írja a Cnet.