Zaszyte dane logowania
Dane logowania wbudowane na stałe w aplikację, firmware lub urządzenie — często takie same we wszystkich egzemplarzach i niemożliwe do zmiany przez użytkownika. Powszechne i niesławne w urządzeniach IoT, gdzie jedno wyciekłe domyślne hasło może narazić miliony gadżetów.
Różnią się od „sekretów w kodzie” (przypadkowo wrzuconych do repozytorium) tym, że są wbudowane celowo — np. ukryte konto administratora, domyślne hasło w firmware albo klucz API skompilowany w aplikacji. Problem: dane można wyciągnąć (dekompilacja aplikacji, zrzut firmware’u) i często są identyczne w każdym urządzeniu → jeśli ktoś znajdzie jedne, podatne są WSZYSTKIE egzemplarze. Niesławne w IoT (kamery, routery), gdzie to samo admin/admin albo tajny backdoor występuje w całych liniach produktów — botnet Mirai powstał dokładnie na zaszytych domyślnych danych logowania. Obrona: wymuszanie unikalnych haseł przy pierwszym uruchomieniu, brak ukrytych kont, pobieranie sekretów z bezpiecznego źródła zamiast wbudowywania i uwierzytelnianie oparte na certyfikatach. Pojawiają się regulacje (np. zakaz uniwersalnych haseł domyślnych). Powiązane z sekretami w kodzie i uwierzytelnianiem bez haseł.