Dwaj polscy specjaliści od cyberbezpieczeństwa postanowili sprawdzić, jak odporne na ewentualne ataki jest nasze rodzime internetowe podwórko. Zamiast drobnych usterek, natrafili na absolutnie porażającą skalę zaniedbań w cyfrowej infrastrukturze państwa. Ich niezależny audyt, przedstawiony podczas konferencji Def Con w Las Vegas, ujawnił powszechne błędy, mogące zagrozić kluczowym instytucjom w kraju.
Porażająca skala nieprzygotowania
Motywacją dla Roberta Kruczka oraz Kamila Szczurowskiego miał być czysty patriotyzm i chęć realnego zwiększenia bezpieczeństwa Polaków w sieci. Kiedy jednak duet badaczy zaczął skanować publiczny segment polskiego internetu, skala odkrytych nieprawidłowości przerosła najczarniejsze scenariusze. Jak donosi serwis TechCrunch, prześwietlenie sieci ujawniło ponad 10 tysięcy podatnych podmiotów publicznych oraz aż 250 tysięcy witryn internetowych z lukami bezpieczeństwa.
Zagrożenie nie dotyczyło wyłącznie niszowych serwisów informacyjnych, lecz objęło kluczowe elementy państwowej infrastruktury. Wśród dotkniętych jednostek miały znaleźć się obiekty o znaczeniu strategicznym, takie jak lotniska, szpitale, sądy czy urzędy.
Wejście bez hasła i porzucony kod
Jeden z najbardziej rażących błędów dotyczył popularnego w polskiej administracji systemu zarządzania treścią Pad CMS. Wykryta w nim krytyczna podatność miała pozwolić na uzyskanie pełnego dostępu do ponad 400 witryn publicznych bez konieczności wpisywania jakiegokolwiek hasła. Co gorsza, deweloper odpowiedzialny za oprogramowanie nie przygotował podobno żadnej łatki naprawczej.
To jednak nie koniec problemów z państwowymi serwisami. Kolejna odnaleziona usterka miała stworzyć możliwość uzyskania nieautoryzowanego dostępu do stron internetowych stanowiących około dwóch trzecich całego polskiego sądownictwa.
Zgłoszenie błędu traktowane jako niedogodność
Problem z polską e-administracją nie sprowadza się jednak wyłącznie do samych błędów w kodzie dostarczanym przez zewnętrznych dostawców. Równie dużym wyzwaniem jest podobno powszechny brak programów typu bug bounty oraz przejrzystych ścieżek raportowania zagrożeń. To pierwsze to specjalne inicjatywy, w których firmy, organizacje lub instytucje oferują nagrody (zazwyczaj finansowe) niezależnym badaczom bezpieczeństwa oraz tzw. „etycznym hakerom” za znalezienie i odpowiedzialne zgłoszenie podatności lub luk w ich oprogramowaniu bądź infrastrukturze.
Gdy wspomniani polscy badacze próbowali przekazać informacje o usterkach, natrafiali na pewnego rodzaju opór. Mimo że część wykrytych luk była banalnie prosta do wykorzystania, niektórzy dostawcy oprogramowania mieli określać zgłoszenia o błędach mianem „zwykłych niedogodności”.
Warto zwrócić uwagę, że cała analiza ujrzała światło dzienne w momencie, gdy Polska próbuje(?!) wzmocnić własne linie obrony przed cyberatakami. Kraj zmaga się z falą różnych podejrzanych uderzeń hakerskich skierowanych między innymi w infrastrukturę energetyczną oraz dostawców wody. Incydenty te miały wykorzystywać właśnie istniejące słabości w zabezpieczeniach. Jeśli skala nieprawidłowości rzeczywiście jest aż tak porażająca, jak ujawniono to wcale się nie dziwię, że ktoś z nieprzyzwoitymi zamiarami mógł to wykorzystać. Nie najlepiej to jednak o nas świadczy.
Robert Kruczek i Kamil Szczurowski mieli przekazać swoje szczegółowe ustalenia rządowi poprzez oficjalne kanały informacyjne. Podsumowując swój występ przed międzynarodową publicznością w Las Vegas, mieli podkreślić, że poświęcony czas i wysiłek były tego warte.
Cóż – były warte, bo jeśli dzięki temu działaniu chociaż część usterek zostanie realnie zlikwidowana, wszyscy będziemy mogli czuć się choć trochę bardziej bezpieczni w polskiej sieci.
Źródło: TechCrunch / Zdj. otwierające: unsplash.com (@juliolopez)