What I found in my system log

A short write-up (in English) about what the Chinese government appears to be doing to my systems.

DigiNotar och deras ansvar

Ibland tror jag att det stora hotet mot Internet inte är att skurkarna är onda, utan att de goda vägrar samarbeta.

Igår var det en sån dag.

Det finns en holländsk Certificate Authority, CA, som heter DigiNotar. Det är de som intygar att det är det holländska justititedepartementet du kommer till när du går till justitie.nl, holländska försvarsdepartementet när du går till defensie.nl. De har nämligen utfärdat digitala certifikat till holländska justitie- och försvarsdepartementen (och alla sina andra kunder) som innehavaren kan presentera för sina besökare för att intyga sin identitet. Du litar underförstått på DigiNotar, för alla webläsare kommer med den CA:n förinstallerad.

Den 19:e juli upptäckte DigiNotar att de råkat ut för ett intrång och att någon lyckats ställa ut ett antal certifikat för olika websajter till sig själv.

De berättade det inte för någon. De trodde att de identifierat alla de falska certifikaten och revokerade (ogiltigförklarade) dem. Sedan lät de saken bero.

Men i förrgår dök det plötsligt upp ett falskt certifikat för Google, utfärdat genom DigiNotars system den 19:e juli. Det dök upp i Iran, och användes för att avlyssna krypterad Gmail-trafik som annars varit säker.

Är den iranska regimen ond? Skulle de tortera, kanske döda en regimkritiker?

I Iran hänger ditt liv på kryptografin.

DigiNotar har fått ansvaret att driva en CA. De har svikit det ansvaret. Att de råkade ut för intrång är en sak. Att de försökte hemlighålla det är en helt annan. Deras underlåtenhet har riskerat livet på iranska disidenter.

Det visar sig i efterhand att DigiNotar varit utsatta för intrång från flera grupper sedan åtminstone 2009, uppenbarligen utan att upptäcka det. Det gör mig mållös. Och mycket arg.

Virtuell sekretess

Mm, fantastiskt.

Socialförvaltningen på en stockholmskommun faxar en beställning av vårdtjänster tillsammans med detaljerade patientuppgifter till ett vårdgivande företag. Fast företaget har ingen pappersfax, utan bara en virtuell fax hos faxa.se, vilket betyder att patientuppgifterna hamnar som en PDF i en Gmail-inlåda tillhörande en person på företaget. Den här personen vidarebefordrar PDF:en till en annan Gmail-adress.

Uppenbarligen fel adress. För den tillhör min fru. Som absolut inte har med saken att göra.

Däremot har hon mångårig erfarenhet av att ställa upp regelverk för hantering av sekretessbelagd information inom offentlig förvaltning.

Fiskar. Varma.

OMFG

Jag har ju tidigare rant:at utförligt om det onda med att ha statiska defaultlösenord på sina produkter, men det här tar nog priset - ett statiskt lösenord som inte kan bytas. "Changing the access data would impede communication between WinCC and the database and is therefore not recommended", som leverantören Siemens säger.

Rick Falkvinge, fan och bibeln

Rick Falkvinge har läst ett dokument från ministerrådet och vrider sig i konvulsioner över det.

På något sätt - jag förstår inte riktigt hur - lyckas han vrida till det så att ett uttalande om att man behöver bättre kartlägga IT-brottslighet, "including crime related to the invasion of privacy, financial cybercrime, unauthorized access for the purpose of sabotage, crime against intellectual property, attacks on networks and against information systems, on-line fraud, child pornography and spam, and trafficking in illicit substances", till att det här skulle vara orsaker man vill släcka nätet för. Duh? Foliemössa?

Rick skriver "det faktum att det står i ett dokument om censuren tycker jag är talande nog i sig självt". Nej, Rick, det är det inte. Det här dokumentet handlar om arbetet att ta fram en strategi mot IT-brottslighet. Att en av delpunkterna handlar om Internetfiltrering som varken du eller jag gillar, innebär inte att dokumentet handlar om censur.

Nästan hela dokumentets innehåll är faktiskt alldeles utmärkt. Vi behöver ett utökat och effektivare internationellt samarbete mellan rättsvårdande myndigheter och alla de olika IT-säkerhetsoperatörerna.

Rick, du och Christian brukar säga att barnporrsproblemen inte ska sopas under mattan med filtrering, utan att man ska gå direkt på de fula fiskarna istället. Min fråga är hur i helvete det ska gå till utan initiativ som det här?

Förresten håller MSB på att samordna framtagandet av en nationell strategi för samhällets informationssäkerhet (se till exempel kapitlet om informationssäkerhet i den här skrivelsen från regeringen). Trots ett starkt inslag av snömos i målformuleringarna hoppas jag att det leder till nånting bra. Men du kan säkert hitta en konspirationsteori även här.

[Edit: trasig länk fixad]

hatt += 1

Och hur är det egentligen att jobba på Nationellt Superdatorcentrum, då? Tja, till vardags är det som jobb är mest. För mycket möten, ofta stressigt, ibland frustrerande, för det mesta roligt. Man ska försöka klämma in tillräckligt mycket arbetstid kring dagishämtningar, husrenoveringar, umgänge och annat för att lyckas uppfylla sina åtaganden någorlunda.

Men ibland, när man håller ett föredrag eller så, får man tillfälle att reflektera lite grann.

I vårt arbete hjälper vi forskare från många olika discipliner. Det kan handla om att simulera blodflödet genom hjärtat hos en kärlkrampspatient, att utveckla bättre klimatmodeller eller att studera materians allra minsta beståndsdelar. "Vad är det bra till, då?", brukar journalister och politiker fråga, och jag brukar svara "Det vet vi inte än. Fråga mig om femtio år.".

Långsiktig, högkvalitativ grundforskning är mycket viktig för vår framtid. Helt uppriktigt kan jag säga att det vi gör på NSC för mänskligheten framåt. Det låter kanske pompöst, men det är sant, och jag är stolt.

Men så finns det de som vill sabotera. Hela tiden måste vi vara vaksamma på risken för intrång i våra system från de som är målmedvetet inriktade på att bryta sig in och störa verksamheten. Det gör mig arg och mycket envis. Not on my watch.

Från och med måndag har jag ytterligare ett åtagande att uppfylla. Då startar nämligen EGI - European Grid Initiative - en EU-finansierad driftorganisation som kopplar ihop ett par hundra beräkningscentra som NSC, och jag är utsedd att leda organisationens Incident Response Task Force, en multinationell grupp som ska styra EGIs operativa säkerhetsarbete.

Det känns mycket stimulerande.

Well, duh

DN berättar att det finns "Avancerade förfalskade SL-kort i omlopp".

Nå, det var kanske inte världens bästa idé att driftsätta kort med kända grava säkerhetsproblem, när allting kommer omkring?

Edit: Duh myself, det där gällde ju magnetremsekort. Men då kan man ju istället ställa sig frågan om det är världens bästa idé att ersätta magnetremsekorten med rfid-kort med kända grava säkerhetsproblem? (Jag har noterat att det dykt upp nya versioner av Mifare-kort som åtminstone har vettiga kryptoalgoritmer, men jag vet inte om det räcker för att lösa alla problem kring dem.)

Hysteri och FUD

"Attack i cyberrymden" har SvD satt som rubrik på en artikel om cyberkrigföring. Lätt hysterisk som såna här artiklar brukar vara. "Det är fullt möjligt att via internet allvarligt störa vår elförsörjning." säger en anonym tjänsteman på FRA.

Nåja. Man ska hålla i minnet att FRA-mannen har ett egenintresse av att IT-(o)säkerhet ska framstå som ett mellanstatligt hot, nånting som militären ska hantera. Och som vanligt är det bara lösa handviftningar - vi får aldrig veta nånting konkret, utan ska bara blint lita på FRA-mannen.

IT-säkerhet är ett civilt problem. Angriparna är i princip alltid vanliga jävla brottslingar.

Fler borde se Marcus Ranums keynote-presentation "Cyber War is Bullshit".

Malware på nya android-telefoner

Det här var ju spännande, eller nåt; en anställd på Panda Security köpte en ny HTC Magic från Vodafone, pluggade in den i sin dator, och vips gick säkerhetslarmet på datorn. Telefonens minneskort var nämligen infekterat med såväl mariposa, confiker som lineage.

Telefonen i sig var inte påverkad (den kör ju Linux), men alla (Windows-)datorer den anslöts till angreps.

Det här är ju långt från första gången fabriksny elektronik distribueras med malware förinstallerat, men jag tror inte jag har sett det på en telefon tidigare.

LiU får på moppo

Corren skriver idag om hur Riksrevisionen granskat informationssäkerhetsarbetet på Linköpings universitet och kommit med ett antal anmärkningar.

Det här gäller i första hand de centrala funktionerna, ett snäpp upp från mig i organisationen. Det är bra att sånt här granskas och att brister påpekas. Det ska bli intressant att se hur det hanteras.

Sedan ska det påpekas att det som granskats är formerna för säkerhetsarbetet, inte arbetets innehåll. På samma sätt som man kan bygga bra bilar utan att vara ISO9000-certifierad, kan man bedriva ett bra säkerhetsarbete utan att följa ISO27000. Det kan till och med vara lättare om man slipper den administrativa overheaden. Och jag tycker att LiU är riktigt duktiga (säger jag helt opartiskt) i det praktiska arbetet.

MSB utfärdade för övrigt föreskrifter häromdagen som gör det obligatoriskt för myndigheter att "tillämpa ett ledningssystem för informationssäkerhet". Helst ska man följa ISO27000, och om man inte gör det fullt ut ska man dokumentera varför. (Liknande föreskrifter utfärdades av Verva strax innan verket avskaffades, men de har hängt lite grann i limbo.)

Det är väl bra, antar jag, även om kvalitetsprocesser tenderar att få mig att somna.

Gudskelov

Nångång emellanåt vinner faktiskt det sunda förnuftet. Utredaren Jan Hyllander föreslog idag att SITIC ska överföras till MSB, inte till FRA.

Bra. Då kan vi kanske få lite mer oomph i den statliga IT-säkerheten.

Ett centralt resonemang i förslaget är detta:

Utredarens bedömning är att Sitic behöver placeras vid en myndighet med en stark och trovärdig ställning såväl bland myndigheter och andra offentliga aktörer som bland privata aktörer. Förtroendet för verksamheten är därmed en viktig aspekt då det gäller att väga de två alternativen mot varandra. Förtroendefrågan rymmer inom sig flera olika dimensioner såsom tekniskt kunnande, intern säkerhetskultur,
förmåga att förmedla relevant information i rätt tid samt integritetsaspekter. Det är av största vikt att samarbetspartners både inom och utom landet, både offentliga och privata känner att en förtroendefull samverkan är möjlig.

Det är intressant att utredaren kommer fram till att förtroendet för FRA är för dåligt för att de skulle kunna samverka med andra aktörer. Undrar hur utfallet hade blivit om FRA-lagen inte drivits genom?

(Utredarens delbetänkande, Computer Sweden)

DN missar poängen

From: Fredrik.Reinfeldt@regeringen.se
To: nixon@lysator.liu.se
Subject: Du har vunnit!

Hej Leif,

Regeringen beslutade idag att tilldela dig en miljon kronor för att du är en sån hyvens kille.

Mvh,
Fredrik

Dagens Nyheter hade igår ett uppslag med flera texter om problemet med förfalskade ("spoofade") avsändaradresser. Och trots en lång och utförlig text och namnkunniga intervjuoffer så lyckas man ändå inte tydligt framföra själva poängen - att man kan sätta vilken avsändaradress som helst på sina mail. Man behöver inte "kapa" någons konto eller knäcka några lösenord - med en tillräckligt kapabel mailläsare är det bara att skriva vilken adress som helst på avsändarraden.

Det finns visserligen tekniker som GPG och SPF och allt vad det nu är som kan lösa eller förmildra problemet, men de kräver att man använder samma teknik i mottagaränden. Och att mottagaren verkligen bryr sig om att verifiera avsändaradressen. Det är inget som används i någon större skala.

Det hjälper bara minimalt om jag skulle GPG-signera varenda mail jag skickar, för det är mottagaren som måste kontrollera signaturen. Och alla som får ett mail med min adress som avsändare skulle behöva veta att jag alltid signerar mina mail, och veta att de ska vara misstänksamma om de får ett mail från mig som inte är signerat. (Så i praktiken bryr jag mig bara om att signera särskilt viktiga mail.)

Det enda egentliga skyddet är att så många Internetanvändare som möjligt vet att man inte blint ska lita på vad som står på avsändarraden i mail. Och här kommer DN-artikeln så väldigt, väldigt nära:

Jonas Thambert, IT-säkerhetsrådgivare på Sveriges IT-incidentcentrum, Sitic, bekräftar att problemet är stort. Och enligt honom finns det i dag bara ett sätt att skydda sig: ökad medvetenhet hos användarna (se faktaruta).

Men vad skriver DN då i denna faktaruta? Jo:

• Ha alltid uppdaterade antivirusprogram och brandväggar.
• Se till att själva operativsystemet är uppdaterat.
• Svara inte på så kallad spam.
• Exponera inte din e-postadress på hemsidor du inte litar på.
• Behåll dina lösenord och inloggningsuppgifter för dig själv, skicka aldrig dessa uppgifter via e-post.
• Byt lösenord regelbundet.

Det är på sitt sätt utmärkta råd, men... yxskaft.

Säkerhetsen fortsätter

Häromveckan åkte jag och min fru till Paris för att fira vår bröllopsdag. Det var jättetrevligt. Lite extra trevligt var det att pursern på planet från Köpenhamn spontant gav oss tre extra kvartsflaskor champagne att ta med till hotellet. Tack så mycket, SAS! Fast vi lyckades inte dricka upp alla tre, så jag försökte med berått mod smuggla med en i handbagaget på hemvägen.

Jag åkte naturligtvis fast i säkerhetskontrollen. "En flaska vin", sa röntgenkillen, och en vakt förklarade urskuldande att jag inte fick ta med den, utan att den skulle förstöras. Och så var det inte mer med det.

Hade jag verkligen varit en terrorist som hade försökt smuggla ombord flytande sprängmedel på planet hade jag kunnat svära tyst för mig själv och sedan helt enkelt försöka igen på min nästa flight om en vecka. Eller jag hade kunnat hälla sprängmedlet i en linsvätskeflaska istället, för såna får man ta med sig ombord.

På juldagen brände en misslyckad terrorist sönder sitt skrev med en icke-fungerande bomb som han hade insydd i kalsongerna. Flera länders myndigheter reagerar på detta genom att införa nakenscanners. Vilket gissningsvis bara innebär att näste terrorist-wannabe kommer att ha sprängämnet gömt i ändtarmen - ett liknande attentat har redan utförts.

Sanningen är att det är omöjligt att med hundraprocentig säkerhet hindra en intelligent terrorist att ta med sig sprängmedel ombord på ett passagerarflygplan.

Därmed inte sagt att vi ska skrota alla säkerhetskontroller på flygplatsen (nota bene, Staffan!). De fyller ändå ett syfte. Naturligtvis ska det vara någorlunda svårt att ta med sig ett skjutvapen ombord, till exempel.

Man ska också komma ihåg att de flesta terrorister in spe är ganska måttligt begåvade. (Minns till exempel den bensinfyllda bilen som kraschades in i Glasgows flygplats - de killarna hade uppenbarligen hämtat sina fysikkunskaper från Hollywood.)

Det kan alltså vara fullkomligt rimligt med en säkerhetskontroll som bara fångar korkade terrorister; för de flesta terroristerna är korkade. Och bara existensen av en kontroll kan göra en terrorist så nervös att han avslöjar sig eller begår allvarliga misstag.

Men - och det här är en av de springande punkterna - man måste också se till kostnaden för säkerhetskontrollerna. Kostnaden för själva apparaturen och kostnaden för säkerhetspersonalen. Kostnaden i förlorad arbetstid för att man måste köa en timme extra och kostnaden för missade och försenade flygförbindelser. Och den mänskliga kostnaden i form av förnedringen att bli behandlad som boskap, att få sina ägodelar genomsökta inför övriga resenärer, att få sin bröllopsdagschampagne uthälld, att få sin femtonåriga dotter nakenscannad av en fet femtioåring.

Man måste också se till helhetsbilden. Vi har inte haft en terroristincident på ett flygplan i europeiskt luftrum sedan Lockerbie-attentatet för 22 år sedan. Däremot har ett par hundra personer dött det senaste decenniet i attentat mot tåg och tunnelbana (London, Madrid). Man kan fundera över rimligheten i att jag kan ta med mig vad som helst på ett X2000-tåg som åker över Öresundsbron, men att jag inte får ta med mig en av SAS' kvartsflaskor champagne på ett flygplan.

Sanningen är att flygsäkerheten har hamnat i en ond spiral, där de ansvariga blint reagerar på varje upplevt hot med ytterligare kontroller och restriktioner, oavsett hur allvarligt eller realistiskt hotet egentligen är. De är nämligen bara ansvariga för säkerheten, inte för kostnaderna.

Det är sorgligt, men inte förvånande, att Staffan Danielsson omedelbart stödde tanken på nakenscanning med kommentaren att han "inte utesluter att klädröntgen i vissa lägen skulle kunna accepteras, om detta bedöms öka säkerheten vid flygresan".

Alla åtgärder är som vanligt OK i Staffans ögon, bara det känns som om de skulle kunna minska ett upplevt hot.

Stort unix-botnet aktiverat

Botnets är - tyvärr - inte någonting unikt för Windows-världen. Som varje administratör av Unix-liknande system vet (eller borde veta) pågår det ständigt brute-force-attacker där knäckta maskiner försöker logga in som användare "admin" med lösenord "admin" och liknande. Lyckas angriparen logga in startar han (mer eller mindre automatiserat) ytterligare en kopia av sitt scanningsprogram på din dator.

De senaste dagarna har det här dock exploderat. SANS rapporterar mer än 100000 angripande maskiner per dygn, att jämföra med bakgrundsnivån på 30000 maskiner. Och det är bara de maskiner som råkar angripa deras sensorer; det totala antalet lär vara större. Varje angriparmaskin försöker bara logga in en eller två gånger på varje målmaskin, så det är svårt att skydda sig med fail2ban och liknande metoder. Det här är ett rejält stort botnet som någon håller på att aktivera.

Bland angriparna ser jag även en del svenska IP-adresser; typiskt ADSL-anslutna hemdatorer.

Det finns all anledning att hålla ett extra öga på sina loggar just nu, om man tillåter lösenordsbaserad fjärrinloggning.

Nixons Patenterade Trepunktslista

I dessa dagar finns det anledning att påminna om Nixons Patenterade Tvåpunktslista för en Säkrare Windows-upplevelse.

Vid närmare eftertanke finns det faktiskt ytterligare en punkt jag skulle vilja lägga till:

3. Använd en annan PDF-läsare än den ohyggligt uppsvällda Adobe Reader.

Att säkra den osäkra staten

Den 29 oktober skrev Sten Tolgfors ett brev till Myndigheten för samhällsskydd och beredskap (MSB).

I budgetpropositionen för 2010 har regeringen angivit att det finns anledning att se över informationssäkerhetsfrågorna.

No shit. Han måste läsa min blogg.

I brevet uppdras till MSB att "lämna förslag på åtgärder för att förebygga och hantera IT-incidenter [...]", vilket MSB nu gjort i form av en 69-sidig rapport.

Jag tycker att MSB:s förslag är överlag vettiga. Jag gillar särskilt punkten "MSB avser att utreda hur ett system för obligatorisk IT-incident-rapportering skulle kunna införas för statliga myndigheter.".

Det är nämligen fortfarande så att de allra, allra flesta som drabbas av IT-brott försöker tysta ner saken - det gäller såväl företag som myndigheter. För det mesta handlar det om att man är orolig för dålig publicitet. Jag känner till en incident där det skedde allvarliga intrång hos flera myndigheter via system som placerats hos dem av en outsourcing-leverantör. Fjärrinloggning med okrypterad telnet är... ingen bra idé.

Ledde det till polisanmälan och brottsutredning? Nä. Leverantören betalade skadestånd till myndigheterna i fråga, men själva brottet utreddes aldrig. Varken myndigheterna eller leverantören ville figurera i pressen.

En rapportskyldighet till SITIC skulle åtminstone vara ett första steg för att faktiskt göra nånting när en myndighet blir utsatt för IT-brott.

(I förbigående kan man förresten notera att Google gör allting rätt genom att inte lägga locket på när de drabbas av intrång.)

Men i första hand är MSBs rapport sextionio sidor argumentation för att SITIC (hej, SITIC!) ska överföras från PTS till MSB. Det är inte så konstigt, eftersom den frågan just nu utreds i utredningen Fö 2009:04, "Viss översyn av ansvarsfördelning och organisation när det gäller samhällets informationssäkerhet". Som jag skrivit tidigare ska Fö 2009:04 ta ställning till huruvida SITIC ska överföras till MSB (rätt!) eller till FRA (fel, fel, fel!).

I morgon 1 februari ska utredningen presentera sin slutrapport sitt första delbetänkande. Det ska bli mycket spännande att se vilket svar man kommer fram till. Rätt eller fel?

Microsoft dDOSar W3C

Microsoft släppte igår en out-of-band-uppdatering för Windows' XML-parser (MSXML).

Orsaken? Jo, om man tittar i början av en HTML-fil hittar man typiskt nånting i stil med:

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN"
"http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">

Det här ska uttydas "det här dokumentet är formatterat enligt XHTML-standarden, vars exakta definition (DTD) går att hitta på den här adressen hos W3C". En XML-parser som vill tolka dokumentet kan alltså ladda ner DTD:n för att ta reda på exakt hur tolkningen ska gå till.

Men i praktiken brukar program som ska hantera XHTML naturligtvis inte ladda ner XHTML-definitionen om och om igen för varje dokument som ska tolkas; det är ju en välkänd dokumenttyp som programmet redan har inbyggd kunskap om hur den ska hanteras.

Fast, uhm, MSXML har tydligen gjort just det. Laddat ner XHTML-DTD:n om och om och om igen. Från världens alla Windowsdatorer. W3Cs stackars webserver har tydligen inte alls tyckt om det. Från Microsofts supportartikel för gårdagens uppdatering:

Consider the following scenario:

• You run an application on a computer that is running one of the following operating systems:
  • Windows XP
  • Windows Server 2003
  • Windows Vista
  • Windows Server 2008
• The application uses Microsoft XML Core Services (MSXML) to process XHTML files.
• The application generates many requests when it tries to retrieve well known Document Type Definition (DTD) files from a World Wide Web Consortium (W3C) Web server.
• These redundant retrieval requests cause the W3C server to block the DTD requests.

In this scenario, XHTML parsing fails.

Det här är en klockren dDOS-attack på W3C. Det skulle kunna betraktas som lite pinsamt för Microsoft, tycker jag. Inte minst eftersom precis samma sak hände för snart tre år sedan, när DTD-filen för RSS-flöden plötsligt inte längre var tillgänglig.

What the...?

Att det ska utredas huruvida SITIC ska flyttas från Post- och telestyrelsen till Myndigheten för samhällsskydd och beredskap visste jag sedan tidigare - det vore en utmärkt idé, inte minst för att MSB faktiskt har föreskriftsrätt inom området - men hur i hela fridens namn kan man komma på tanken att FRA skulle kunna vara en alternativ hemvist för SITIC? IT-säkerhetsfolket på FRA är duktigt, men det här vore inte en lämplig uppgift för dem.

Jisses. Det slår vågor av revirpissningsstank ända hit.

Jag - en digital brandman

Eftersom jag just nu jobbar med att etablera en gemensam CERT-funktion för de svenska superdatorcentrumen är det roligt att se att DN har intervjuat den nye föreståndaren för ENISA, Udo Helmbrecht.

Men det blev en väldigt lustig rubrik på artikeln:

"Digital brandkår" sätts in mot spam

Akronymen "CERT" står för "Computer Emergency Response Team", så det är lätt att se hur man snubblar in på brandkårer när man översätter, men... det blev kanske inte så lyckat.

Hm, undrar om jag ska montera in en sån där brandmansstång från övervåningen.

Polycom - insecure by default

As you may or may not know, all computers connected to the Internet are under constant attack. Our systems see up to a hundred thousand malicious login attempts each day. Usually these are just probing for weak passwords; trying to log in as user "bob" with password "bob", and so on.

For some time, I have been seeing attempts to log in as the user "PlcmSpIp". This username is not something I immediately recognize, and I have been filing the attacks as targeting some unknown third party software product. Today, out of idle curiosity, I made the effort to actually google it.

It turns out that these attacks are related to the Soundpoint range of IP telephones from Polycom.

When a Soundpoint phone boots, it tries to download a settings file from a server. Exactly how this download is performed can be configured using very flexible mechanisms (see the section "Supported provisioning protocols" in the Soundpoint administration manual). The local administrator can rather easily create a setup where the phones download their settings in a secure manner.

The default configuration, however, is less than secure. Because by default, the phone expects the DHCP server to send a server name as DHCP option 66. The phone proceeds to log in to this server, using clear-text FTP, as the user "PlcmSpIp" with password "PlcmSpIp", and then retrieve its settings file.

Convenient? Yes. Secure? Well, perhaps not so much.

So, we have a situation where the local administrator can choose between a convenient default configuration, or spending some time and effort to create a secure configuration of his own.

It should not come as a great surprise that the Internet is full of configuration guides that instruct people that want to support Polycom phones to simply create a user account called "PlcmSpIp" with the password "PlcmSpIp".

My favourite among these guides comes from the Canadian company Objectworld, who in the configuration manual for their product "UC Server 4.2" state:

However, Polycom's PlcmSpIp password does not meet the default password complexity policy for domain controllers [...]

No shit? So, what do they propose to do about it?

To create the domain account user "PlcmSpIp" the default password policy must be temporarily modified.

You know, sometimes I get this urge to just hurt somebody.

So, we get all these servers with "PlcmSpIp" users with password "PlcmSpIp". Of course, many of these machines will be reachable from the Internet, and many of them will be running ssh servers. No wonder I've been seeing those attacks; this is a minor goldmine for the bad guys.

Thank you, Polycom. Thank you, Objectworld. Thanks a lot.