SAP में नया डिफ़ॉल्ट पासवर्ड

SAP में डिफ़ॉल्ट पासवर्ड अब समाचार नहीं हैं। कई प्रसिद्ध मानक पासवर्ड सुरक्षा पर कई पुस्तकों और लेखों में पहले ही प्रकाशित हो चुके हैं। ऐसा लगता है कि इस विषय पर नया पाया जा सकता है?
ग्राहकों में से एक के साथ SAP सुरक्षा ऑडिट आयोजित करना, हमें एक अज्ञात TMSADM उपयोगकर्ता पासवर्ड मिला। यह पासवर्ड हमें सिस्टम द्वारा स्वयं प्रदर्शित किया गया था: जब प्रसिद्ध रिपोर्ट RSUSR003 में मानक खातों का विश्लेषण किया गया था, तो निम्नलिखित परिणाम प्राप्त हुए थे।



TMSADM - PASSWORD - के लिए मानक पासवर्ड वास्तव में व्यापक रूप से जाना जाता है, लेकिन मैं पहली बार $ 1Pawd2 और पासवर्ड के बारे में सुनता हूं। चलिए इसका पता लगाते हैं ...
पहली बात जो दिमाग में आती है वह है इंटरनेट पर सर्च करना। Google SAP वेबसाइट पर केवल दो लिंक देता है - 6 लिंक। इनमें से कोई भी लिंक हमारे प्रश्न को स्पष्ट नहीं करता है: मूल रूप से, एक गुप्त पासवर्ड ABAP कोड के प्रकाशित टुकड़ों में पाया जाता है।
खैर, जाहिरा तौर पर, हमें कोड में जवाब भी देखना चाहिए। RSUSR003 रिपोर्ट के स्रोत कोड को खोलने के बाद, हम आसानी से उस संदेश का पाठ पा सकते हैं जो हमने स्क्रीन पर पहले देखा था (संदेश संख्या - 028)।



हमें प्रोग्राम के स्रोत कोड में "वायर्ड" होने वाले सभी डिफ़ॉल्ट पासवर्डों की हैश भी मिलती है। दिलचस्प है, TMSADM उपयोगकर्ता के पास हैश के दो समूह हैं: एक पासवर्ड पासवर्ड के लिए और दूसरा $ 1Pawd2 & के लिए। यहाँ हैश हैं (मुझे लगता है कि वे ऑडिट, पेंटेस्ट, आदि के लिए किसी के लिए उपयोगी हो सकते हैं)।

* अर्लीवाच
lc_ewa TYPE xucode VALUE '13C810002A147DEE',
lc_ewb TYPE xucode VALUE 'BD5E494D3ECBF5E2',
lc_ewd TYPE xucode VALUE '573822832DF89B9C',
lc_ewe TYPE xucode VALUE 'B3ADDFE95DCD036F',
lc_ewf1 TYPE hash160x VALUE '924127D88EE3C1820A2C88495EC4825E819C9249',
lc_ewf2 TYPE hash160x VALUE '760293CCD7AC111298A7AC70D3304242E442320F',
* CPIC
lc_cpa TYPE xucode VALUE 'FC49DBF6F3FDCF36',
lc_cpb TYPE xucode VALUE '7D806C248F03813D',
lc_cpd TYPE xucode VALUE '35C7AB28316EA22F',
lc_cpe TYPE xucode VALUE '5A5F45726821A147',
lc_cpf1 TYPE hash160x VALUE '57CF364A7D83FA563025C7BCFFFB3B579DFB23F3'
lc_cpf2 TYPE हैश 160x वैल्यू '38AE55102813F3BBBC3B3BCA09285ED5A9E0423F',
* डीडीआईसी
lc_dda TYPE xucode VALUE '5FA752863FB70BA9',
lc_ddb TYPE xucode VALUE '61D26428640DBAB5',
lc_ddd TYPE xucode VALUE 'DCA44BB71C073A05',
lc_dde TYPE xucode VALUE '08FA7683A46D9AA9',
lc_ddf TYPE hash160x VALUE '905F5E6CE67B7C60D0F7BA9C4063AAF0D8602B45'
* SAP *
lc_saa TYPE xucode VALUE 'C75E6D9600AB5710',
lc_sab TYPE xucode VALUE 'D0BFF4276DA1E208',
lc_sad TYPE xucode VALUE 'A83ECB9EC4D34C08',
lc_sae TYPE xucode VALUE '95984B6A25BA20E9',
lc_saf TYPE hash160x VALUE '8948310AF768FA9061598E8F68FD144CE65B7480',
* TMSADM (PW1)
lc_tms1a TYPE xucode VALUE '7671D2F2729F27F0',
lc_tms1b TYPE xucode VALUE '942B9DC0F2394D85',
lc_tms1d TYPE xucode VALUE '7C6433CE69099272',
lc_tms1e TYPE xucode VALUE '940BAB0E12A36DC2',
lc_tms1 TYPE हैश 160x वैल्यू 'C9AA19DA354DC8397D7AC8EA8B4C04DF49CB58FF'
* TMSADM (PW2)
lc_tms2a TYPE xucode VALUE '05CB79BE189802A0',
lc_tms2b TYPE xucode VALUE 'B7E2F82C0A3E54C4',
lc_tms2d TYPE xucode VALUE '4DD4438D3C19138C',
lc_tms2e TYPE xucode VALUE 'D527A90BC0CAF484',
lc_tms2 TYPE हैश 160x वैल्यू 'A6BF38EE57F90B78C8D88A5212BB11BA9A966ABB'

नोट। प्रत्येक खाते के लिए, 5 हैश दिए गए हैं: एसएपी (ए, बी, डी, ई, एफ) में उपयोग किए जाने वाले प्रत्येक हैश एल्गोरिथ्म के लिए एक। कुछ उपयोगकर्ता खाते (CPIC, EARLYWATCH) में F एल्गोरिथ्म के लिए दो पासवर्ड हैश हैं - ऊपरी और निचले मामले में पासवर्ड के लिए।

अब याद रखें कि RSUSR003 रिपोर्ट के पुराने संस्करणों में TMSADM परिवहन प्रणाली के उपयोगकर्ता के बारे में कोई जानकारी नहीं थी। जैसा कि आप देख सकते हैं, विश्लेषण के परिणामों को प्रदर्शित करते समय ऐसा खाता आम तौर पर अनुपस्थित होता है।



इस रिपोर्ट को स्पष्ट रूप से हाल ही में नया रूप दिया गया था, और इसके नए संस्करणों में TMSADM के लिए डिफ़ॉल्ट पासवर्ड और पासवर्ड के बारे में जानकारी है। पुनर्नवीनीकरण ... और तुरंत एक नया, सार्वजनिक पासवर्ड अज्ञात हो गया। हम जांच करते हैं: हम रिपोर्ट के स्रोत कोड की शुरुआत की ओर जाते हैं, आमतौर पर संशोधनों और किए गए परिवर्तनों के बारे में जानकारी होती है।



सबसे हालिया स्रोत कोड अपडेट उपयोगकर्ता के लिए चेक जोड़ने के लिए समर्पित है। अधिक जानकारी के लिए, हम नोट के पाठ की ओर मुड़ते हैं (कोड बदलने के एक महीने बाद, 27 अप्रैल, 2011 को जारी)।



सब कुछ पक्का है। 2011 की शुरुआत में, SAP डेवलपर्स ने अपनी रिपोर्ट RSUSR003 में परिवर्तन किए, इसमें TMSADM उपयोगकर्ता के लिए चेक जोड़े, दो संभावित पासवर्ड विकल्पों: PASSWORD और $ 1Pawd2 & को ध्यान में रखते हुए।

हम निष्कर्ष क्या निकाल सकते हैं:
1. SAP सिस्टम की सुरक्षा का विश्लेषण करते समय, कृपया ध्यान दें कि TMSADM उपयोगकर्ता के लिए एक और डिफ़ॉल्ट पासवर्ड है। आपको यह सत्यापित करना होगा कि सिस्टम में प्रयुक्त पासवर्ड दो पूर्वनिर्धारित विकल्पों से अलग है। (पासवर्ड $ 1Pawd2 और हमारे दो परीक्षण बेंचों पर पाया गया, साथ ही ग्राहकों में से एक पर एक बूथ पर, यानी यह आपके सिस्टम में आसानी से हो सकता है)।
2. अपने एसएपी सिस्टम की सुरक्षा के लिए जिम्मेदार विशेषज्ञ को 1552894 के नोट का उपयोग करना चाहिए ताकि यह सुनिश्चित हो सके कि सिस्टम उपयोगकर्ताओं के लिए मानक पासवर्ड, जिनमें टीएमएसएडीएम उपयोगकर्ता भी शामिल हैं, बदले हुए हैं।

द्वारा पोस्ट किया गया
दिमित्री गुत्सो,
सकारात्मक प्रौद्योगिकी,
अनुसंधान केंद्र सकारात्मक अनुसंधान।