黑客指出，大部分SAP HANA仍在使用易于获取的默认密钥

ERPScan公司技术负责人Alexander Polyakov指出，大量采用默认安全设置导致众多SAPHANA部署方案之密码与根密钥被外部攻击者们轻易获取。

攻击者们能够利用通用的默认密钥破解加密密码，从而顺利侵入到这套内存内、面向列的关系数据库管理系统当中。

Polyakov指出，很多管理员并没有变更这些用于保护hdbuserstoresecure用户存储体系的默认密钥，而其中所包含的账户密码及保存点密钥也因此变得岌岌可危。

“人们往往误以为SAP HANA这样一套内存内数据库并不会把任何敏感数据保存在磁盘驱动器当中，但事实上，一部分数据确实会被保存在磁盘上，”Polyakov指出。

“一旦大家访问hdbuserstore文件并利用静态主密钥对其进行解密——各安装方案皆采用同样的主密钥内容——那么各位就能借此获得系统用户密码及磁盘加密密钥。在此之后，所有数据都将可供访问。”

“根据我们的咨询服务调查，当前仍在使用默认主密钥来加密hdbuserstore的客户比例高达100%。”

上述问题是在本届于荷兰召开的黑帽技术讲座上公布的，一同被披露的还有HANA的另外几项安全漏洞，包括XS Server当中的补丁安装后SQL注入漏洞。

使用默认密钥及硬编码程度较低的安全凭证可以说是IT系统领域的一大常见问题，在这种情况下攻击者们往往能够在供应商的产品说明文档内查询到安全建议并了解默认密码内容。而作为另一种常见安全问题，上述暴露出攻击面的服务也将随即被恶意人士锁定。

“静态密钥与孱弱的加密算法在企业级商务应用领域可谓司空见惯，例如企业的ERP系统中。”Polyakov表示。

SAP公司在说明文档（PDF格式）当中指出，客户应当对主密钥进行修改。

SAP方面还建议数据库管理员进行以下操作：

• 利用resecssfx工具变更SSFS主密钥
• 利用hdbnsutil工具变更数据分卷加密根密钥
• 利用hdbnsutil工具变更数据加密服务根密钥
• 限制对该密钥文件的访问
• 限制对该DAT文件的访问

微信扫一扫实时了解行业动态

微信扫一扫分享本文给好友