TROLL.UZ

Что должен делать человек, обнаруживший уязвимость в государственной информационной системе?

Один программист рассказал мне историю, которая заставляет задуматься о состоянии кибербезопасности в Узбекистане.

В конце сентября он обнаружил серьёзную уязвимость на платформе одного из министерств Узбекистана.

Проблема заключалась в том, что любой человек мог без авторизации, ограничений и каких-либо лимитов перебирать данные населения страны.

В результате можно было получить:

• ФИО и фотографию человека;
• дату рождения;
• серию и номер ID-карты, свидетельства о рождении или загранпаспорта;
• ПИНФЛ;
• место учёбы и направление;
• адрес прописки и кадастровый номер.

По словам разработчика, база охватывала практически всё население Узбекистана — около 40 миллионов граждан, а также иностранных граждан, имеющих регистрацию в стране.

Оценка уязвимости по CVSS составляла 8,6 балла из 10. Это высокий уровень критичности.

Но самое интересное началось после обнаружения проблемы.

Разработчик попытался сообщить об уязвимости через колл-центр министерства. Ответ сотрудника был примерно таким:

«Ты типа хакер? Приезжай в офис, я покажу, что у нас всё нормально».

Через другой официальный канал информацию всё-таки удалось донести до нужных людей. Разработчика пригласили в министерство, где он объяснил проблему.

Но вместо оперативного устранения он услышал:

«Мы знаем, что она есть. Но проблема ли это? Давай потом как-нибудь починим».

При этом, по его словам, ему сообщили, что министерство недавно прошло все необходимые проверки безопасности и никаких проблем выявлено не было.

Прошло пять дней. Уязвимость всё ещё оставалась открытой.

В итоге разработчику пришлось обратиться в Центр кибербезопасности Узбекистана (CSC), чтобы воспользоваться процедурой Responsible Disclosure — ответственного раскрытия информации об уязвимости.

И тут тоже обнаружились интересные нюансы:

• Нет удобного онлайн-механизма для анонимного сообщения об уязвимости. Предлагается обращаться через Telegram, по телефону или лично в офис.
• Центр, как правило, не предоставляет вознаграждений за обнаруженные уязвимости. Благодарственное письмо можно получить по отдельному запросу.
• Нет гарантированных сроков устранения проблемы. Центр может лишь направить официальный запрос ответственному ведомству.

В итоге проблему устранили спустя восемь дней после обращения. Причём сначала не полностью.

Разработчику даже написали:

«Проверьте сами, пожалуйста. Они вроде написали, что починили».

То есть человек, обнаруживший уязвимость, должен самостоятельно проверять, действительно ли её устранили.

И ещё один момент: разработчику сообщили, что публично рассказывать о таких случаях пока нельзя, поскольку соответствующая законодательная база не готова.

Теперь немного о возможных последствиях.

Если бы подобные данные попали в открытый доступ или были проданы злоумышленникам, последствия могли бы быть катастрофическими.

По оценке самого разработчика, потенциальный экономический ущерб может составить около $50 на одного человека — с учётом мошенничества, оформления кредитов и других злоупотреблений с использованием персональных данных.

При базе в 40 миллионов человек речь идёт о потенциальных $2 млрд ущерба.

Это, конечно, условная оценка, а не подтверждённый прогноз потерь. Но даже без неё масштаб потенциальной проблемы очевиден.

И вот главный вопрос.

Какую мотивацию должен иметь специалист, чтобы сообщить государству об обнаруженной уязвимости, а не воспользоваться ею самостоятельно или продать информацию?

Он потратил время, пытался связаться с ответственными лицами, несколько раз объяснял проблему, ждал её устранения и в итоге получил максимум возможность запросить благодарственное письмо.

При этом нет понятного механизма анонимного обращения, прозрачных сроков реакции, гарантии обратной связи и публичного признания результатов работы.

Responsible Disclosure работает только тогда, когда обе стороны понимают свои обязанности.

2👍186🤬8242❤25😢13🔥4

25.5K views07:36