Lockheed Martin, en amerikansk leverandør av blant annet kampfly, bekreftet fredag at de hadde funnet bevis for at hacket de opplevde for to uker siden, skyldes en sårbarhet i RSAs tofaktor autentisering SecurID.
RSA er heleid datterselskap til EMC, en betrodd leverandør av avansert sikkerhetsutstyr, og en av verdens største leverandør av systemer for tofaktor autentisering.
I Norge er Lockheed Martin særlig kjent som utvikler av kampflyet F-35 («Joint Strike Fighter») som Stortinget har vedtatt å kjøpe.
I mars i år innrømmet EMC å ha opplevd vedvarende datainnbrudd mot RSA, og at SecurID kunne være kompromittert.
Lockheed sa at innbruddet mot dem ble gjennomført blant annet ved hjelp av informasjon som hackerne fikk tak i gjennom innbruddet mot EMC.
EMC erkjenner forholdet. RSA-eksperter arbeider nå med Lockheed og med andre kunder for å finne fram til tiltak som kan redusere risikoen for nye datainnbrudd.
Datainnbruddet mot Lockheed skal skyldes at hackerne greide å bruke stjålet informasjon fra RSA til å duplisere SecurID-generatoren til en Lockheed-leverandør med tilgang til selskapets interne systemer. Leverandørens passord og brukernavn skal hackerne ha skaffet seg gjennom «phishing». Phishing ble også brukt i innbruddet mot RSA.
Det er ikke gitt opplysninger om hva slags informasjon uvedkommende kan ha skaffet seg gjennom innbruddet mot Lockheed.
Lockheed sier de nå vil bytte ut 45.000 saksesskodegeneratorer til sine ansatte. RSA sier deres øvrige kunder også kan føle seg trygge på at selve løsningen fortsatt gir en hensiktsmessig sikkerhet. RSA har 25.000 kunder, hvorav de fleste av verdens største selskaper og mange offentlige organer.
Teknologisjef Harry Sverdlove i IT-sikkerhetsselskapet Bit9 – som ikke konkurrerer med RSA – sier til New York Times at RSA også må vurdere tiltak på systemsiden, for eksempel å omprogrammere kodegeneratorene eller utvikle en oppgradert utgave, for ikke å tape kunder.
Innbruddet mot RSA og det påfølgende innbruddet mot Lockheed vil kunne brukes som argumenter mot IT-sikkerhet basert på kodegeneratorer. Det kan bedre mulighetene til leverandører av biometrisk sikring, for eksempel norske Idex.
Hva om Norges regjering brukte dette i prisforhandlingene med Lockheed om F-35?
Les også:
- [20.09.2011] Kyberangrep mot Japan
- [07.06.2011] Bytter ut millioner av kodebrikker
- [18.03.2011] RSAs «SecurID» kan være kompromittert
