TSA检查站存在黑客后门 - 彭博社

运输安全管理局，这个我们都曾为之脱鞋、脱夹克和掏零钱的机场守护者，正面临着一个令人担忧的安全问题，来自Qualys的网络研究员表示。

据比利·里奥斯（Billy Rios）所说，可能在机场和其他安全检查点使用的两种设备存在“后门”——硬编码在设备中的用户名和密码，黑客可以利用这些信息进入机器。他在拉斯维加斯的黑帽安全会议上讨论了这一发现。

制造商为什么会创造这种风险？这实际上相当普遍——通常是为了便于维护，以便技术人员能够进入并对机器进行服务。

里奥斯是Qualys的威胁情报总监，该公司提供网络安全服务，他在eBay上购买了两种不同的设备：一种用于跟踪TSA员工工作的打卡系统，价格约为200美元，另一种是名为Itemiser的毒品和爆炸物检测系统，价格约为800美元。

由Kronos制造的时间跟踪系统，通过硬编码的用户名和密码有两个后门。更糟糕的是，里奥斯发现大约有6000台设备连接到互联网，包括旧金山国际机场的一台——里奥斯表示，他与国土安全部合作将其下线。

他，或者一个黑客，可能已经使用技术人员的凭据登录并控制了那些机器，从而进入设备连接的任何网络。例如，如果Kronos被用于访问控制，你也可以颠覆或操纵它，Rios说。

“人们最重要的 takeaway 是，如果设备连接到互联网和另一个网络，这种情况非常普遍，你基本上就有了一座桥，”他说。“对于非机场来说，风险仍然是一样的。如果你有一个连接到互联网的Kronos，同时也连接到你的公司网络，那么你就给了某人访问你公司网络的权限。”

Kronos发送了一份电子邮件声明，表示公司不对其设备的特定客户使用发表评论：“我们没有看到Qualys的研究，但描述的问题似乎是多年前识别出的一个问题，我们已经进行了修复，并提供了补丁。”

第二件设备，Morpho Detection的 Itemiser 3，是一种可以在安全人员在你的手或包上擦拭棉签后找到毒品或爆炸物痕迹的机器。Rios说，他在网上购买了一个带有联邦监狱标签的设备。

Rios无法购买TSA使用的版本——一种叫做Itemiser DX的新型号——也无法查看有多少这些设备连接到互联网。但他说，同样的担忧，硬编码的用户名和密码可能会让黑客获得访问权限，仍然适用。

Morpho Detection 在2010年停止了 Itemiser 3 的生产，TSA 并不拥有或操作任何设备，公司的总裁兼首席执行官 Karen Bomba 在一封电子邮件声明中表示，并且计划在年底之前消除 Itemiser 3 的漏洞。

与此同时，Rios 向国土安全部提交了他的分析，该部门在七月发布了一份 通告，将 Itemiser 漏洞的严重性评级定为最高。

Rios 说，关键在于 TSA 可能对其购买的设备中的网络安全风险没有很好的理解。

“我希望他们开始提高他们的网络安全标准，”他说，敦促供应商消除诸如硬编码凭证等缺陷。“TSA 确实有足够的影响力来推动事情朝着正确的方向发展，他们也有责任这样做。”

TSA 的发言人 Ross Feinstein 表示，该机构对技术有严格的认证和认可流程：“这个流程确保信息技术安全风险被识别，并在必要时制定缓解计划。我们使用的大多数设备并不对外销售或提供给任何其他实体。”