Kompromitácia webmailu NBÚ

Server Blackhole.sk ako známe útočisko pre zverejneňovanie informácií o prienikoch (pre nechápavejších: anonymne zašlete informácie o svojom prieniku a oni to proste zverejnia), včera podvečer zverejnil hodnoverne znejúci popis prieniku na servery NBÚ.

Prvý pohľad na článok ma zarazil: NBÚ má webmail? Ups. Tohto slova sa osobne veľmi bojím. Mám zafixované riziko rýchlej kompromitácie takejto aplikácie. V momente ako niekoho napadne „spravme si prístup“ na čítanie mejlov v robote z domu, tak rotvajler trhá až kým na dreň neohlodá všetky sprosté zámienky a nezostanú čisté, skutočné a pádne dôvody. Zatiaľ také nezostali a rotvajler sa nažral a nápad zmizol.
Kompromitácia strojov sa skladá z dvoch rizík:
# poškodenie imidžu; úspešný, čiastočne úspešný, hypotetický, domnelý alebo dokonca nikdy neuskutočnený (lož) útok neuskutoční žiadne skutočné škody a často je realizovaný na najmenej podstatnej vrstve počítačovej siete, ktorý už pri svojej výstavbe „počíta“ s kompromitáciou. Celú rolu v poškodzovaní zohrá skôr medializácia takejto udalosti a pôsobí skôr neobjektívne ako objektívne pričom sa zavádzajú ekvivalencie alebo implikácie v zmysle „ak sa dajú napadnúť tu, tak potom, čo sa deje tam?“,
# skutočná škoda; záleží na hodnotení vlastníka, čo je skutočná škoda. Útočník môže považovať prienik za škodu, vlastník pohne ramenami a vytiahne zálohu. Objektívne sa škoda môže merať len nákladmi na asanovanie následkov prieniku. Často sú skutočnými škodami napr. prezradenie citlivých údajov, osobných informácií – proste veci, ktoré sa nedajú riešiť „obnovením“ stavu alebo odstránením problematických častí
V prípade NBÚ ide hlavne o poškodenie imidžu:
# zjavne postavili svoj mejlový systém ako nedôležitú súčasť organizácie, vyslovene povedané – mejly tam boli iba na „sprostosti“,
# zjavne niekto s právomocami sa rozhodol, že chce si čítať mejly „zvonku“ (toto rozhodnutie je to, ktoré je kritické a krúti sa mi pri tom hlava),
# zjavne sa v súlade s predošlým bodom vykonávatelia prispôsobili heslu „vyššia berie“ a proste to museli zrealizovať a zrejme dodávateľ urobil svoju „čiernu skrinku“ a tú odovzdal ako zákazku,
# situácia je proste taká, že všetci naozaj dobrí admini (čiže nie premakaní linuxáci ale skôr premýšľaví ľudia, ktorí nerobia iba to, čo sa im povie) nie sú v štátnych úradoch a tí, čo tam sú majú skôr úroveň „vyvíjam sa“ a keď niečo nevieme, máme dodávateľa. Toto je daný stav a bohužiaľ sa tak rýchlo nezmení. Je samozrejmé, že je to potom sústo pre médiá (ale ani medializácia to nezmení) a hacker nerozoznáva a nehodnotí okolnosti, to je jasné tiež,
# mailový systém vďaka opatreniu nekomunikovať (poviem to rovno) pracovné záležitosti e-mailom, neobsahuje žiadne naozaj citlivé údaje a mejluje sa tam skôr neformálne (ja dúfam, že to chápu aj ľudia, ktorí si dnes a denne preposielajú chuj… firemnými mejlami), čo svojim spôsobom pri kompromitácií poškodzuje imidž ale nie je to nezvyklý jav (viem, čo si v domnení súkromia môže písať mejlami ktokoľvek),
Čo by som urobil ja?
# v prípade pochybností o bezpečnosti webmailu by som odmietol prevziať zaň zodpovednosť,
# v prípade realizácie prístupu k mejlu zamestnancami by som sa najprv vzdal akejkoľvek zodpovednosti za ich činnosť a zdôraznil by som riziká kompromitácie a preniesol by som zodpovednosť za rozhodnutie medzi bezpečnosťou mimo mňa,
# webmailový server by som nikdy neotvoril iným ako 80 portom (a to by som sa už triasol) :-)
# webmailový software by som vyberal veľmi dlho :-) a potom by som si nevybral nič ;-)
Čo týmto chcem povedať? Po nápade: chceme sa zhocikade dostať do svojho firemého mailu, by som dal naozaj najvyšším zodpovedným na zváženie:
# stojí nám ten prístup k schránke za možné poškodenie imidžu pri vedomí, že ŽIADNE IT riešenia resp. admini nedokážu kompromitácií nikdy zabrániť?
# naozaj je náš postoj „je to iba naše nedôležité mejlovanie“ správny aj z uhla pohľadu verejnosti?
A čo posmeškári z diskusií pod článkami o tejto udalosti?
Iba dostali zjavne zaujímavé sústo ale pod slovami „ale sú tam nekompetentní ľudia“ je vidieť iba škodoradosť pretože, pokiaľ by im skutočne išlo o ich dane a zmysluplné fungovanie takýchto organizácií, tak by sa tam už títo vševidiaci odborníci tlačili v húfoch, aby sa predviedli. Zvyčajne reptali vedia o problematike menej ako sa zdá z napísaných rečí :-)