ERPScan公司技術(shù)負(fù)責(zé)人Alexander Polyakov指出，大量采用默認(rèn)安全設(shè)置導(dǎo)致眾多SAP HANA部署方案之密碼與根密鑰被外部攻擊者們輕易獲取。

攻擊者們能夠利用通用的默認(rèn)密鑰破解加密密碼，從而順利侵入到這套內(nèi)存內(nèi)、面向列的關(guān)系數(shù)據(jù)庫(kù)管理系統(tǒng)當(dāng)中。

Polyakov指出，很多管理員并沒(méi)有變更這些用于保護(hù)hdbuserstoresecure用戶(hù)存儲(chǔ)體系的默認(rèn)密鑰，而其中所包含的賬戶(hù)密碼及保存點(diǎn)密鑰也因此變得岌岌可危。

“人們往往誤以為SAP HANA這樣一套內(nèi)存內(nèi)數(shù)據(jù)庫(kù)并不會(huì)把任何敏感數(shù)據(jù)保存在磁盤(pán)驅(qū)動(dòng)器當(dāng)中，但事實(shí)上，一部分?jǐn)?shù)據(jù)確實(shí)會(huì)被保存在磁盤(pán)上，”Polyakov指出。

“一旦大家訪(fǎng)問(wèn)hdbuserstore文件并利用靜態(tài)主密鑰對(duì)其進(jìn)行解密——各安裝方案皆采用同樣的主密鑰內(nèi)容——那么各位就能借此獲得系統(tǒng)用戶(hù)密碼及磁盤(pán)加密密鑰。在此之后，所有數(shù)據(jù)都將可供訪(fǎng)問(wèn)。”

“根據(jù)我們的咨詢(xún)服務(wù)調(diào)查，當(dāng)前仍在使用默認(rèn)主密鑰來(lái)加密hdbuserstore的客戶(hù)比例高達(dá)100%。”

上述問(wèn)題是在本屆于荷蘭召開(kāi)的黑帽技術(shù)講座上公布的，一同被披露的還有HANA的另外幾項(xiàng)安全漏洞，包括XS Server當(dāng)中的補(bǔ)丁安裝后SQL注入漏洞。

使用默認(rèn)密鑰及硬編碼程度較低的安全憑證可以說(shuō)是IT系統(tǒng)領(lǐng)域的一大常見(jiàn)問(wèn)題，在這種情況下攻擊者們往往能夠在供應(yīng)商的產(chǎn)品說(shuō)明文檔內(nèi)查詢(xún)到安全建議并了解默認(rèn)密碼內(nèi)容。而作為另一種常見(jiàn)安全問(wèn)題，上述暴露出攻擊面的服務(wù)也將隨即被惡意人士鎖定。

“靜態(tài)密鑰與孱弱的加密算法在企業(yè)級(jí)商務(wù)應(yīng)用領(lǐng)域可謂司空見(jiàn)慣，例如企業(yè)的ERP系統(tǒng)中。”Polyakov表示。

SAP公司在說(shuō)明文檔（PDF格式）當(dāng)中指出，客戶(hù)應(yīng)當(dāng)對(duì)主密鑰進(jìn)行修改。

SAP方面還建議數(shù)據(jù)庫(kù)管理員進(jìn)行以下操作：

利用resecssfx工具變更SSFS主密鑰

利用hdbnsutil工具變更數(shù)據(jù)分卷加密根密鑰

利用hdbnsutil工具變更數(shù)據(jù)加密服務(wù)根密鑰

限制對(duì)該密鑰文件的訪(fǎng)問(wèn)

限制對(duì)該DAT文件的訪(fǎng)問(wèn)