Credenziali predefinite
Nomi utente e password impostati in fabbrica e identici su ogni esemplare di un prodotto, che gli attaccanti possono trovare e usare se il proprietario non li cambia mai.
“admin / admin” e i suoi parenti hanno causato più compromissioni IoT di qualsiasi exploit sofisticato. Le credenziali predefinite (default credentials) sono comode per la configurazione e l’assistenza, ma sono pubblicate nei manuali e sui forum, quindi qualsiasi dispositivo raggiungibile da internet con quelle credenziali è di fatto aperto. A Mirai è bastato un elenco di poche decine di coppie di questo tipo per costruire una botnet.
Il rimedio è ben noto e ormai è legge in diversi paesi. Il PSTI Act britannico e ETSI EN 303 645 richiedono entrambi che le password siano univoche per dispositivo o impostate dall’utente al primo utilizzo, e che non sia possibile ripristinare i valori predefiniti a un valore universale. Stampare una password casuale per ogni esemplare sull’etichetta, o forzarne il cambio durante l’onboarding, soddisfa il requisito a costo minimo.
Parte del Glossario IoT. Hai trovato un errore o manca un termine? Scrivici.