惠普存儲:后臺程序安全性成問題
Bob 發(fā)表于：13年07月09日 13:25 [翻譯] DOIT.com.cn
DOSTOR存儲在線 7月9日國外消息：Technion發(fā)表博文稱惠普存儲StoreOnce出現一個無證的后門木馬（backdoor注解：繞過安全性控制而獲取對程序或系統(tǒng)訪問權的方法。在軟件的開發(fā)階段，程序員常會在軟件內創(chuàng)建后門以便可以修改程序中的缺陷。如果后門被其他人知道，或是在發(fā)布軟件之前沒有刪除后門，那么它就成了安全風險。），其他惠普產品上也出現了類似的問題，由公司技術支持論壇上公開的，但在當時卻被忽視。根據他的搜羅各種惠普論壇,告訴媒體（The Register ）基于LeftHand的操作系統(tǒng)StoreVirtual SAN產品被公司植入了backdoor。
所用的硬件包括一個硬件式的重置按鍵，設定為出廠默認值，但是這是作為一項安全措施（即讓使用人員無法對他們不應該訪問的硬件的管理員權限進行重置）。然而，解決方案似乎沒有更好的技術手段：現在只能通過惠普技術支持進行遠程管理密碼恢復。
這表明早在2009年的賬目存在，惠普訪問支持賬戶已被納入LeftHand的9.0及更高版本的代碼。已經多次證明,任何可遠程訪問的登錄提供了一個潛在的攻擊媒介,使得用戶ID和密碼被攻擊者所發(fā)現。
通過Technion論壇以及惠普方面了解的情況可以明確確定的是：管理員丟失的密碼通過惠普是可以恢復的。一個方法、從2011年11月,指出:“你需要電話支持和他們可以進入支持和重置它給你。1-800-633-3600'LeftHand的解決方案。另外發(fā)布于2009年，由LeftHand的產品經理說：“呼叫支持。他們可以遠程重置密碼。”
The Register 上周接觸惠普，今天收到回應：“惠普為廣大客戶的責任，重視其維持當前的安全政策作為重中之重。我們意識到惠普StoreVirtual一個潛在的安全問題，并正在積極努力為我們的客戶進行了修復。我們一經提供就會共享更多的信息 。”
