Tường lửa Cisco dùng mật khẩu là "password": cuộc tranh cãi nảy lửa giữa IT và bộ phận kiểm toán

Một chuỗi nhà thuốc lớn tại Mỹ vừa trở thành tâm điểm trong câu chuyện về an ninh mạng khi tường lửa Cisco tiếp giáp Internet của họ sử dụng mật khẩu quản trị đúng nghĩa là "password". Điều đáng nói hơn nằm ở phản ứng: thay vì sửa ngay, phòng IT và bộ phận kiểm toán đã tranh cãi gay gắt hơn một giờ đồng hồ trong một cuộc gọi có sự tham gia của đông đảo các bên. Nguyên nhân sâu xa là một cơ chế thưởng phạt khiến việc thừa nhận lỗi hổng trở nên quá đắt đỏ.

Câu chuyện được chia sẻ bởi Dahvid Schloss, chuyên gia kiểm thử xâm nhập (pentest) và hiện là COO của Suzu Labs – công ty an ninh mạng tự giới thiệu "chúng tôi phá hệ thống của bạn trước khi kẻ tấn công làm điều đó". Với hơn 15 năm kinh nghiệm đánh giá an ninh cho nhiều doanh nghiệp, Schloss được thuê để kiểm toán toàn bộ switch, router và tường lửa doanh nghiệp của chuỗi nhà thuốc này. Ông không được yêu cầu xâm nhập, chỉ đánh giá cấu hình.

Lỗ hổng nằm ngay ở cửa ngõ ra Internet

Theo Schloss, chiếc tường lửa ông phát hiện là tường lửa biên (edge firewall) – thiết bị trực tiếp kết nối với Internet. Trên thiết bị Cisco, lệnh enable cho phép người dùng có quyền quản trị đối với tường lửa, tức là điều khiển toàn bộ luồng lưu lượng mạng. Và mật khẩu cho quyền quản trị này chỉ đơn giản là chuỗi ký tự "password".

"Đó là tường lửa biên, nghĩa là nó tiếp xúc với Internet. Mật khẩu enable – thuật ngữ Cisco dùng cho quyền quản trị viên – chính là 'password'. Đúng vậy, p-a-s-s-w-o-r-d."

Đáng chú ý, Schloss không đoán ra mật khẩu mà giải mã được tệp lưu mật khẩu bằng cách bẻ khóa cơ chế bảo vệ của chính Cisco – việc ông cho là khá dễ. Mật khẩu được lưu ở dạng Cisco IOS type 7, vốn không phải hàm băm thực sự mà chỉ là mã hóa có thể đảo ngược với khóa công khai. Kể cả khi được lưu an toàn, một mật khẩu như vậy cũng chỉ mất vài giây để đoán.

Nếu kẻ tấn công kết nối được tới tường lửa qua SSH hoặc khai thác một lỗ hổng, chúng có thể leo thang từ quyền người dùng thông thường lên quyền quản trị, rồi cắt toàn bộ lưu lượng từ mạng nội bộ ra bên ngoài. Schloss ghi nhận đây là một phát hiện mức nghiêm trọng cao (high finding) – loại lỗ hổng cần được khắc phục ngay lập tức.

Cuộc gọi căng thẳng và lý do thực sự phía sau

Khi báo cáo được chuyển tới bộ phận kiểm toán, Schloss bị đưa vào một cuộc gọi có sự tham gia của đội kiểm toán, toàn bộ phòng IT, quản lý của chính ông và nhiều người khác. Đội kiểm toán – bên đặt hàng đợt đánh giá – tỏ ra rất lo ngại về mật khẩu tường lửa. Phòng IT thì cho rằng đây không phải vấn đề nghiêm trọng.

"Đội kiểm toán nói 'phải sửa cái này'. Các giám đốc cũng nhấn mạnh 'việc này phải làm ngay'. Rồi phòng IT bắt đầu phản pháo: 'Tại sao? Ai làm? Có gì quan trọng? Không, đây không phải phát hiện ưu tiên cao. Cùng lắm là mức trung bình. Đúng, nó xấu, nhưng không đến mức đó.'"

Hai bên tranh cãi hơn một giờ đồng hồ, trong khi Schloss và đồng nghiệp ngồi im lặng nhìn màn hình camera. Cuộc gọi kéo dài đến mức ông không thể trình bày hết các phát hiện và khuyến nghị của mình. Mâu thuẫn gay gắt đến nỗi khách hàng còn tiếp tục liên hệ hỏi lại về phát hiện này trong suốt ba năm sau đó, rất lâu sau khi ông đã chuyển sang dự án khác.

Sự thật được hé lộ sau đó: bộ phận kiểm toán kiểm soát tiền thưởng của phòng IT, và có quy định rằng bất kỳ "phát hiện nghiêm trọng" nào cũng sẽ xóa sạch khoản thưởng đó. Vậy nên họ không chỉ tranh cãi về chữ "password" – họ đang tranh cãi về thu nhập của cả một bộ phận.

Bài học cho doanh nghiệp, kể cả tại Việt Nam

Câu chuyện này mang lại hai bài học tách biệt. Bài học thứ nhất hiển nhiên: đừng bao giờ dùng "password" làm mật khẩu, đừng dùng các dạng lưu trữ có thể đảo ngược như Cisco IOS type 7, và hãy bật xác thực đa yếu tố cho mọi thiết bị biên. Bài học thứ hai ít được chú ý hơn nhưng quan trọng không kém: xung đột lợi ích.

Việc gắn tình trạng bảo mật với tiền thưởng nghe có vẻ là cách tốt để khuyến khích nhân viên tuân thủ thông lệ an toàn. Nhưng thực tế nó tạo ra động lực phủ nhận trách nhiệm và hạ thấp mức độ nghiêm trọng của sai sót khi bị phát hiện. Khi một lỗ hổng có thể bị gắn nhãn "trung bình" để giữ thưởng, thì bảng xếp hạng rủi ro không còn phản ánh thực tế nữa.

Với các doanh nghiệp Việt Nam đang đẩy mạnh chuyển đổi số, đây là lời cảnh báo đáng cân nhắc. Nhiều tổ chức đang áp KPI bảo mật cho phòng IT – điều này tốt nếu chỉ số dựa trên việc sửa lỗi nhanh và đầy đủ, nhưng sẽ phản tác dụng nếu biến "ít phát hiện" thành thước đo thành tích. Khi nhân viên bị phạt vì báo cáo trung thực, họ sẽ học cách không báo cáo – và kẻ tấn công luôn là người được hưởng lợi.

Bài học cuối cùng: một thiết bị biên với mật khẩu mặc định không chỉ là lỗi kỹ thuật, mà là triệu chứng của một mô hình quản trị đang đặt sai động lực.