Cisco reconhece falhas em segurança

A Cisco Systems passou por maus momentos nas últimas
duas semanas. Em 7 de abril, a empresa admitiu, em um relatório
oficial, falhas nas versões dos softwares recém-lançados
para gerenciamento de seus equipamentos sem fio – o Wireless LAN
Solution Engine (WLSE) e o Hosting Solution Engine (HSE). No mesmo
anúncio, a empresa disponibilizou a variante dos programas
com a correção.

Já no início da semana passada, a
Cisco havia admitido a vulnerabilidade em seu protocolo de autenticação
(Lightweight Extensible Authentication Protocol, LEAP), identificada
por especialistas de segurança.

De acordo com o relatório da empresa, a
origem do problema nos softwares de gerenciamento está
no risco de a combinação padrão da senha
com o nome do usuário, utilizada pela Cisco para acessar
o programa, se tornar público. As informações,
codificadas no programa, só poderiam ser desativadas com
a atualização do software.

Ou seja, além da combinação
de nome e senha criada pelo usuário, havia uma ”conta
escondida” para um acesso exclusivo da Cisco em um atendimento
ao cliente, no local ou remoto.

– Qualquer usuário que se logar com essa
combinação de dados terá total controle do
dispositivo – alerta o anúncio – Uma vez no sistema, é
possível acrescentar novos usuários ou modificar
detalhes dos clientes já existentes, além de alterar
a configuração do dispositivo.

Apesar de parecer uma prática estranha e
arriscada, Marcelo Bezerra, diretor-técnico da ISS Brasil,
especializada em segurança de sistemas, acredita que é
melhor para o consumidor que a Cisco tenha esta conta para evitar
uma possível reconfiguração do computador
devido a um problema.

– Mas é fundamental que a combinação
seja mantida em completo sigilo – ressalta.

Bezerra não considera que as falhas apresentadas
pela Cisco configurem um erro da companhia:

– Todos os sistemas, sem exceção,
estão vulneráveis a sofrer ataques de hackers. A
missão dos fabricantes deve ser manter tais vulnerabilidade
sob controle.

As falhas afetaram os softwares Wireless LAN Solution
Engine nas versões 2.0, 2.0.2 e 2.5 – usada para gerenciar
pontos de acesso wireless – e o Hosting Solution Engine nas variantes
1.7, 1.7.1, 1.7.2 e 1.7.3, usados para administração
da infra-estrutura de datacenters.

Segundo a Cisco, até a divulgação
da atualização dos produtos, não foi registrado
casos de exploração das vulnerabilidades.

Em relação ao problema com o LEAP,
a empresa anunciou que já apresenta um novo protocolo,
na qual a falha foi solucionada.

O erro no protocolo torna mais fácil para
o hacker lançar um ”ataque dicionário”, que testa
combinações em um arquivo de palavras até
encontrar possíveis códigos de acesso. Dessa forma,
a empresa perderia total controle sob as senhas utilizadas para
se conectar aos wireless LANs.

A empresa recomenda que os clientes usem um novo
protocolo de segurança chamado EAP-Fast (Extensible Authentication
Protocol-Flexible Authentication via Secure Tunneling), que ajuda
a reduzir a ameaça.

www.cisco.com/en/US/products/
products_security_advisory09186a00802119c8.shtml#revision