Nacionalinio kibernetinio saugumo centro (NKSC) vadovas Antanas Aleknavičius teigia, kad Lietuvoje aptikta maždaug šimtas interneto svetainių, pažeidžiamų dėl PHP programinio kodo spragos. Šią programavimo kalbą, NKSC vertinimu, naudoja 80–90 proc. šalies svetainių – tiek privataus verslo, tiek valstybės institucijų.
Pasak A. Aleknavičiaus, NKSC reguliariai skenuoja Lietuvoje veikiančias svetaines, vertina jų pažeidžiamumą ir šiuo metu yra nustatęs apie šimtą su minėta spraga susijusių pažeidžiamų svetainių.
Centras atlieka pakartotinį skenavimą, kad tiksliau įvertintų problemos mastą. Gavę ekspertų įžvalgas, specialistai ketina spręsti, kokių priemonių reikėtų imtis.
Trečiadienį NKSC institucijas įspėjo dėl tarptautiniu mastu paskelbtos informacijos apie pasaulinio masto PHP programinio kodo pažeidžiamumą.
Dalies paslaugų veikimas buvo sustabdytas
Po įspėjimo Registrų centras buvo laikinai išjungęs dalį paslaugų. Ketvirtadienį pranešta, kad jos atkuriamos.
NKSC kol kas neturi duomenų, kiek institucijų ėmėsi veiksmų savo svetainėms apsaugoti. A. Aleknavičius sako, kad įstaigos apie grėsmę ir būtinas priemones buvo informuotos iš anksto.
NKSC vadovas teigiamai įvertino Registrų centro sprendimą nedelsiant reaguoti ir teigė, kad šiuo klausimu dirba ir kitos institucijos. Jo manymu, laikinai nepasiekiama paslauga gali reikšti, kad įstaiga ėmėsi skubių saugumo veiksmų, o kitais atvejais vartotojai sutrikimų gali nepastebėti, jei apsaugos priemonės bus įdiegtos greitai.
A. Aleknavičius pabrėžė, kad atsakingos institucijos supranta grėsmės rimtumą. Joms buvo nurodyta, kad pažeidžiamumo lygis siekia 9,5 balo iš dešimties, todėl reaguoti būtina nedelsiant.
Visos svetainės vienu metu sutvarkytos nebus, tačiau, pasak NKSC vadovo, įstaigoms įtraukus darbus į savo planus, problema turėtų būti sprendžiama gana greitai. Terminai priklausys nuo naudojamų svetainių versijų: naujesnes sistemas atnaujinti bus paprasčiau, o kai kurias svetaines gali tekti sukurti iš naujo.
Nesiėmus veiksmų, gali būti užvaldytos ne tik pačios svetainės, bet ir serveriai, kuriuose jos įdiegtos bei prižiūrimos. Galimos žalos mastas priklausytų nuo svetainėse įdiegtų apsaugos priemonių ir jose saugomų duomenų.
A. Aleknavičiaus teigimu, dėl spragos gali būti reikšmingai sutrikdytas informacinių sistemų veikimas. Institucijoms, kurios tinkamai valdo kibernetinį saugumą, reikalingi atnaujinimai neturėtų būti neįprasta užduotis – tai turėtų būti įprasto proceso dalis.
NKSC vadovas taip pat nurodė, kad kuriami įrankiai, galintys padėti išnaudoti šias spragas. Vis dėlto kol kas nėra duomenų, kad pažeidžiamumas jau būtų panaudotas.
Registrų centras žada atkurti visas paslaugas
Registrų centras pranešė, kad, įdiegus pagal tarptautines rekomendacijas numatytus programinius pakeitimus ir atlikus būtinus testus savitarnoje, visas paslaugas planuojama atkurti per ketvirtadienį.
Įstaigos IT direktorius Antanas Raguotis teigė, kad klientai, negavę konkrečių paslaugų ar susidūrę su dėl sustiprinto saugumo taikomais apribojimais, turėtų kreiptis telefonu ir paprašyti paaiškinimo.
Pasak A. Raguočio, pasinaudojus pažeidžiamumu buvo galima be autorizacijos patekti į sistemas, keisti arba pavogti duomenis ir iš esmės perimti sistemų valdymą. Jis tai įvardijo kaip itin didelę riziką.
Registrų centras apie PHP spragą informaciją pirmiausia pastebėjo gamintojo svetainėje, o ne iš NKSC. Įstaiga teigė pradėjusi reaguoti ir rinkti duomenis dar anksčiau.
A. Raguotis taip pat atkreipė dėmesį, kad kritinė spraga aptikta plačiai naudojamoje Java programavimo kalboje. „Oracle“ paskelbus atitinkamą informaciją, Registrų centras analizuoja, kaip ši problema gali paveikti jo sistemas. Prireikus būtų imamasi panašių veiksmų – stabdomos paslaugos ir tvarkomos sistemos.
Šiuo metu laukiama tarptautinių rekomendacijų dėl Java pažeidžiamumo.
Registrų centro IT direktorius teigė, kad kiekviena technologija turi saugumo spragų, tačiau situaciją keičia dirbtinio intelekto galimybės. Jis gali labai greitai aptikti pažeidžiamumus, todėl atakų vykdytoju praktiškai gali tapti bet kuris žmogus, turintis prieigą prie dirbtinio intelekto, net jei neišmano technologijų.
A. Raguočio vertinimu, dėl to gerokai išsiplėtė galimų atakų mastas, būdai ir gylis. Atsiradus naujoms technologijoms, pirmiausia sukuriami jų išnaudojimo įrankiai, o tik vėliau – apsaugos priemonės. Jo teigimu, visas pasaulis šiuo metu susiduria su masiškai atskleidžiamomis saugumo spragomis ir atakomis, kuriose naudojamas dirbtinis intelektas.
