Saya sudah membuka tiket dukungan karena masalah kernel NVIDIA setelah pembaruan ke QuTS Hero 6.0.1.3500.
Meja dukungan mereka sekarang meminta saya memberikan password akun admin lewat tiket tersebut. Mereka tidak meminta saya untuk mengaktifkan opsi dukungan jarak jauh. Menurut saya, ini sangat mencurigakan. Permintaan ini muncul di tiket, jadi bukan seseorang yang mengirim email dengan alamat spoofing, tapi opsi dukungan jarak jauh seharusnya sudah memungkinkan mereka mengakses perangkat secara administratif untuk tujuan troubleshooting driver dan kernel, dan mereka tidak meminta untuk mengaktifkan itu.
Jika kamu merasa tidak nyaman memberikan informasi tersebut, minta saja mereka untuk melakukan sesi remote sebagai gantinya dan lihat bagaimana mereka merespons.
Saya sudah di respons awal ke mereka, menjelaskan bahwa membagikan password admin jelas BUKAN praktik keamanan standar.
Balasan yang saya terima:
«Akun admin default adalah pengguna root dan mungkin diperlukan untuk mengatasi masalah ini lebih dalam. Karena itulah akun admin tidak bisa dihapus, hanya bisa dinonaktifkan.
Saya akan memberi tahu mereka bahwa remote helpdesk sudah diaktifkan sehingga mereka bisa melakukan beberapa pengujian. Jika mereka perlu menggunakan akun admin, apa kamu keberatan kalau mereka memaksa password untuk mengaksesnya? Saya bisa mendiskusikan dengan mereka apakah bisa mengembalikan password asli setelah selesai, jika memang harus memaksa passwordnya.»
Kalau mereka bisa mengganti password lalu mengembalikan ke password asli, kenapa mereka tanya juga? LOL
Itu untuk akun sementara yang digunakan oleh dukungan qnap selama sesi jarak jauh mereka. Selain itu, mereka menginginkan akun administrator “lokal” yang sebenarnya di mesin tersebut.
Terima kasih telah memberitahukan hal ini kepada kami. Terkait situasi yang Anda sebutkan, kami akan menindaklanjuti dengan tim dukungan kami untuk menelusurinya lebih lanjut. Kami sungguh-sungguh meminta maaf atas ketidaknyamanan yang mungkin telah Anda alami.
Hai SteveKo,
Terima kasih sudah meninjau hal ini, tapi ini bukan soal ketidaknyamanan. Ini soal keamanan perangkat dan standar industri. Harus ada metode yang lebih baik untuk membagikan informasi tersebut, bukan melalui sistem dukungan di mana setiap teknisi bisa mengaksesnya, yang kemudian bisa rentan terhadap akses yang tidak sah. Dan QNAP juga punya riwayat keamanan yang buruk dengan sistem mereka.
Kami sudah memberi tahu kamu untuk meminta dukungan jarak jauh dan kamu bisa memasukkan kata sandi di browser menggunakan TeamViewer. Kalau kamu khawatir, kamu bisa langsung mengganti kata sandi setelah sesi selesai.
Aku tahu apa yang diberitahukan padaku, Franklin — aku bisa membaca. Tapi itu tidak mengubah fakta bahwa mereka perlu memperbarui praktik mereka dan menawarkan alternatif seperti yang kamu sarankan ketika seseorang menyampaikan kekhawatirannya. Lagipula, tidak semua pengguna mereka sadar akan implikasi dari praktik ini.
Terima kasih telah menyampaikan hal ini, dan kami sepenuhnya memahami mengapa permintaan tersebut dapat menimbulkan kekhawatiran terkait keamanan.
Setelah kami tinjau secara internal, kami mengakui bahwa hal ini tidak ditangani dengan sebaik yang seharusnya. Sebagai aturan umum, kami tidak meminta pengguna untuk memberikan kata sandi mereka, dan kami sungguh-sungguh meminta maaf atas kekhawatiran yang ditimbulkan.
Kami telah meninjau SOP terkait bersama tim dukungan kami dan memperkuat pelatihan internal untuk memastikan hal seperti ini tidak terulang kembali. Keamanan data pengguna kami selalu menjadi prioritas utama, dan masukan seperti ini sangat membantu kami dalam menjaga standar tersebut. Sekali lagi, terima kasih telah membawa masalah ini ke perhatian kami.
Ini adalah contoh bagus mengapa saya sangat mendukung QNAP dan produk-produknya. Saya menemukan dukungan teknis mereka sangat baik, dan saat ada masalah, QNAP selalu segera memberi konfirmasi (dan tidak menyangkal), lalu memperbaiki; ini sangat berbeda dengan perusahaan teknologi lainnya.
Baru saja saya menerima pembaruan email dari perwakilan yang menangani kasus ini, yang telah melibatkan tim developer terkait masalahnya. Mereka menghubungi saya untuk memberi tahu bahwa sesi dukungan jarak jauh sudah berakhir dan developer telah mendapatkan informasi yang mereka butuhkan.
Alasan saya memberikan masukan ini adalah karena mereka diberikan akses ke akun admin saya 28 hari yang lalu, dan saya baru diberitahu sekarang bahwa saya bisa menonaktifkan akun admin atau mengganti kata sandinya. Padahal saya secara khusus meminta agar diberi tahu sesegera mungkin ketika mereka selesai menggunakan akun tersebut karena kekhawatiran saya terkait keamanan.
Saat saya melihat bahwa tim telah memutuskan koneksi sebelum koneksi secara otomatis ditutup setelah 14 hari, saya langsung menonaktifkan aksesnya sendiri, jadi sistem saya tidak terlalu lama terekspos, tapi, saya hanya ingin memberi tahu kamu tentang lamanya waktu yang berlalu sebelum saya diberitahu bahwa saya “bisa mengganti kata sandi admin atau menonaktifkan akunnya”.
Hasil yang saya dapatkan adalah “Para developer mengatakan masalah ini dikonfirmasi sebagai bug pada skrip startup NVIDIA_GPU_DRIVER. Mereka sedang berusaha memperbaikinya, tapi belum ada perkiraan waktu penyelesaiannya.” Namun, individu yang menghubungi saya memberi tahu bahwa masalahnya akan diatasi pada rilis firmware berikutnya.