Et script, der skal køre om natten, har brug for at logge på et system. Den hurtigste løsning er at skrive brugernavn og adgangskode direkte i filen. Løsningen virker, og derfor bliver den stående, måske i mange år. En intern test finder den, fordi filen ligger et sted, som andre end driften kan læse, og fordi kontoen bag adgangskoden kan have flere rettigheder end nogen anden i virksomheden. Svaret på, hvad I gør, hviler på tre skridt: skift de adgangskoder, der er fundet, begræns hvem der kan læse filerne, og flyt hemmelighederne over i en løsning, der er bygget til at opbevare dem.
Hvorfor fundet opstår
Adgangskoder i filer er ikke tegn på dårligt arbejde. De er et biprodukt af, at driften skal automatisere, og at der ikke har været et bedre sted at lægge dem. Fundet kan opstå i disse situationer.
- Planlagte opgaver · scripts til sikkerhedskopiering, oprydning eller dataoverførsel, som kører uden en bruger.
- Login- og opstartsscripts · scripts, der kører på alle maskiner, og som skal forbinde til et drev eller en tjeneste.
- Konfigurationsfiler · programmer, der læser forbindelsen til en database eller et andet system fra en fil.
- Installationspakker · pakker, der installerer software med en konto, som har lokale administratorrettigheder.
- Dokumentation og noter · driftsvejledninger med adgangskoder skrevet ind, så kollegaen kan overtage.
Fejlen er beskrevet som en kendt svaghedstype, CWE-798, der dækker faste loginoplysninger indlejret i kode eller konfiguration.
Hvorfor fundet vægtes højt
Alvoren afhænger af to ting: hvem der kan læse filen, og hvad kontoen kan. Et script i en mappe, som kun to administratorer kan læse, er mindre alvorligt end det samme script i en delt mappe, som alle ansatte kan åbne. → Delte mapper og filservere
Kontoen kan være det, der gør fundet alvorligt. Konti, der bruges i automatisering, er sjældent personlige, og de har tit fået brede rettigheder for at være sikre på, at scriptet virker. Nogle er medlem af privilegerede grupper. Adgangskoden udløber måske aldrig, fordi et skift ville stoppe scriptet. Det gør kontoen til en af de mest værdifulde på nettet, og adgangskoden til den ligger i en fil. → Tjenestekonti
Det tredje forhold er genbrug. Samme adgangskode bruges måske i flere scripts, til flere konti eller både lokalt og i cloud. Et enkelt fund kan derfor åbne for mere, end filen selv afslører.
Hvad I gør med det samme
Når rapporten peger på en adgangskode i en fil, er den kompromitteret i den forstand, at den har været tilgængelig for flere end tilsigtet. Den skal skiftes.
- Skift adgangskoden · og opdatér de scripts og systemer, der bruger den, i samme ændring.
- Begræns adgangen til filen · så kun de konti, der skal køre den, kan læse den.
- Find andre steder · samme adgangskode kan ligge i andre filer, versioner eller sikkerhedskopier.
- Gennemgå kontoens rettigheder · har den brug for det, den kan?
- Se i loggen · hvis logningen tillader det, kontrollér, om kontoen er brugt fra uventede steder.
Skiftet skal planlægges, så scripts ikke holder op med at virke midt i natten. Et skift uden overblik over afhængighederne kan stoppe sikkerhedskopieringen. Hvornår adgangskoder i øvrigt skal nulstilles efter en test, er beskrevet i → Skal adgangskoder nulstilles efter testen?
Hvem ejer scriptet?
Mange af de scripts, testen finder, har ingen tydelig ejer. De er skrevet af en tidligere kollega, en konsulent eller driftsleverandøren, og de kører, fordi ingen har haft grund til at røre dem. Det gør rettelsen langsommere, fordi ingen tør ændre noget, de ikke forstår.
Registrér derfor for hvert fund, hvem der ejer scriptet eller systemet, hvad det gør, og hvilken konto det bruger. Den liste er nyttig langt ud over testen. Den viser, hvilke automatiserede job virksomheden er afhængig af, og den gør det muligt at fjerne de scripts, som ingen længere har brug for. Et script, der kan slettes, er den mest sikre rettelse.
Hvad der erstatter adgangskoder i filer
Den varige løsning er ikke at gemme filerne bedre, men at fjerne adgangskoderne fra dem. På begrebsniveau findes der nogle få principper, som kan kombineres.
- Central opbevaring af hemmeligheder · adgangskoder og nøgler ligger i en løsning, der er bygget til formålet, og scripts henter dem, når de kører.
- Konti, som systemet selv styrer · nogle platforme har kontotyper, hvor adgangskoden skiftes automatisk og aldrig skal kendes af en person.
- Identitet frem for adgangskode · i cloudmiljøer kan en tjeneste få adgang ud fra sin egen identitet, uden at en hemmelighed skal gemmes. → Nøgler og hemmeligheder i cloud
- Mindre rettigheder · konti til automatisering får præcis det, scriptet skal bruge, og ikke mere.
- Jævnlige skift · adgangskoder, der stadig findes, skiftes regelmæssigt, helst automatisk.
OWASP’s vejledning om håndtering af hemmeligheder beskriver, hvordan hemmeligheder i klartekst i kode og konfiguration let lækker, og anbefaler central opbevaring, styring af adgang og regelmæssig udskiftning, så en stjålen hemmelighed kun virker i kort tid.
Find dem, før næste test gør
Testeren finder måske kun en del af de adgangskoder, der ligger i filer. Brug fundet som anledning til en gennemgang af de steder, hvor driftens scripts og konfiguration ligger: fællesmapper til scripts, mapper med opstartsscripts og politikker, installationspakker, driftsdokumentation og kodeopbevaring. → Gruppepolitikker som testområde
Interne værktøjer, som IT selv har bygget, er et særligt sted at kigge, fordi de måske ikke er gennemgået af andre end dem, der skrev dem. → Interne værktøjer bygget af IT selv
Gør det også til en regel for nye scripts, at hemmeligheder aldrig skrives ind i filen. En regel, der er kendt af alle i driften, forhindrer flere fund end en oprydning hvert andet år.
Det skal I lade være med
- At flytte filen og beholde adgangskoden. Den har været eksponeret og skal skiftes.
- At skifte adgangskoden uden at kende afhængighederne. Så stopper vigtige job.
- At give automatiseringskonti brede rettigheder for en sikkerheds skyld. Det gør fundet alvorligere.
- At lade adgangskoder aldrig udløbe uden en plan for skift. Så bliver de evige.
- At kigge kun i den mappe, testeren nævnte. Samme mønster findes sandsynligvis andre steder.
Hvad kan og ikke kan konkluderes
Fundet viser, at bestemte adgangsoplysninger var læsbare for de konti, testeren havde. Det siger ikke, at de er misbrugt, og det er ikke en fuld liste over alle hemmeligheder i filer. Når rapporten har vist, at kontoen gav adgang til mere, er det et konkret eksempel på, hvor langt én fil kan række.
Tjekliste efter fundet
- ☐ Er de fundne adgangskoder skiftet, og virker scripts stadig?
- ☐ Er adgangen til filerne begrænset?
- ☐ Er kontiene gennemgået for unødige rettigheder?
- ☐ Er lignende steder gennemsøgt?
- ☐ Er der valgt en løsning til central opbevaring af hemmeligheder?
- ☐ Kender driften reglen om, at hemmeligheder ikke skrives i filer?
Kilder
- OWASP Secrets Management Cheat Sheet: hemmeligheder i klartekst i kode og konfiguration, central opbevaring og regelmæssig udskiftning.
- CWE-798: Use of Hard-coded Credentials: faste loginoplysninger indlejret i kode eller konfiguration som svaghedstype.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: API-nøgler og integrationskonti · Testeren fandt følsomme data
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
