- Πολωνοί ερευνητές ασφάλειας αποκάλυψαν στο Def Con ότι πάνω από 250.000 κρατικές ιστοσελίδες και υποδομές κρίσιμης σημασίας διαθέτουν κρίσιμα κενά ασφαλείας.
- Το μεγαλύτερο πρόβλημα εντοπίζεται στη χρήση «end-of-life» λογισμικού, όπως το δημοφιλές CMS Pad CMS, και στην αδιαφορία των προμηθευτών.
- Η υπόθεση αναδεικνύει την τεράστια απειλή των ρωσικών κυβερνοεπιθέσεων σε ευρωπαϊκές κρατικές υποδομές και την παντελή έλλειψη προγραμμάτων bug bounty.
Η ελληνική πραγματικότητα στις υποδομές
Όταν δύο Πολωνοί ερευνητές, οι Robert Kruczek και Kamil Szczurowski, αποφάσισαν να χαρτογραφήσουν την κυβερνοασφάλεια της χώρας τους από αίσθημα πατριωτισμού, δεν περίμεναν ότι θα βρουν μια ωρολογιακή βόμβα. Σύμφωνα με όσα παρουσίασαν στο Las Vegas, περισσότερες από 10.000 δημόσιες οντότητες και 250.000 ιστοσελίδες —συμπεριλαμβανομένων νοσοκομείων, αεροδρομίων και δικαστηρίων— ήταν πλήρως εκτεθειμένες σε κυβερνοεπιθέσεις.
Εμείς στο TechNoid αναρωτιόμαστε πόσο διαφορετικά είναι τα πράγματα στην ελληνική δημόσια διοίκηση, όπου η ψηφιακή μετάβαση έτρεξε με ιλιγγιώδεις ταχύτητες αλλά συχνά χωρίς τους απαραίτητους ελέγχους διείσδυσης (penetration tests). Όταν ένα και μόνο κενό ασφαλείας σε σύστημα διαχείρισης περιεχομένου μπορεί να δώσει πρόσβαση στο 66% των δικαστηρίων μιας ευρωπαϊκής χώρας χωρίς καν κωδικό, καταλαβαίνεις ότι η ασφάλεια των κρίσιμων υποδομών κρέμεται από μια κλωστή.
Τοξικό “end-of-life” λογισμικό στα κράτη
Το μεγαλύτερο αγκάθι που ανέδειξαν οι ερευνητές δεν είναι οι εξελιγμένες zero-day επιθέσεις, αλλά τα ξεπερασμένα συστήματα. Χαρακτηριστικό παράδειγμα αποτελεί το Pad CMS, ένα ευρέως χρησιμοποιούμενο σύστημα διαχείρισης περιεχομένου, το οποίο παρέμεινε απροστάτευτο επειδή ο κατασκευαστής του το είχε χαρακτηρίσει ως «end-of-life» και σταμάτησε να το υποστηρίζει.
Το ελληνικό Δημόσιο και οι ΟΤΑ χρησιμοποιούν δεκάδες παρόμοια custom ή εμπορικά CMS που έχουν εγκαταλειφθεί εδώ και χρόνια από τους δημιουργούς τους, ενώ οι ανάδοχοι εργολάβοι σπάνια προσφέρουν μακροχρόνια συμβόλαια συντήρησης ασφαλείας. Όπως αποκάλυψαν οι Kruczek και Szczurowski, όταν προσπάθησαν να ενημερώσουν τους vendors, εκείνοι αντιμετώπισαν τις σοβαρές ευπάθειες απλώς ως «ενοχλήσεις», δείχνοντας την ανευθυνότητα που βασιλεύει στην αγορά λογισμικού.
Η γεωπολιτική απειλή και η Ρωσία
Αυτά τα κενά δεν αφορούν απλώς τεχνικούς, αλλά την ίδια την εθνική ασφάλεια, ειδικά σε μια περίοδο που η Πολωνία βρίσκεται στο στόχαστρο υβριδικών επιθέσεων. Σύμφωνα με αναφορές, ενεργειακοί και υδατικοί πάροχοι της χώρας έχουν ήδη δεχτεί κύματα επιθέσεων από χάκερ που συνδέονται με τη Ρωσία, εκμεταλλευόμενοι ακριβώς αυτές τις βασικές αδυναμίες σταθερότητας και τα ανύπαρκτα προγράμματα bug bounty.
Όταν η πρόσβαση σε κρίσιμες υποδομές αποκτάται επειδή δεν υπάρχει κίνητρο για τους ερευνητές να αναφέρουν τα σφάλματα νόμιμα (μέσω αμοιβών εντοπισμού σφαλμάτων), τότε το κράτος αφήνει την πόρτα ορθάνοιχτη σε κρατικά sponsored APT groups. Η Ευρωπαϊκή Ένωση πιέζει με την οδηγία NIS2, αλλά αν οι τοπικοί οργανισμοί δεν σαρώσουν άμεσα τον κώδικά τους, τα πρόστιμα δεν θα αποτρέψουν καμία κατάρρευση συστήματος.
Η άποψή μας στο TechNoid
Εμείς πιστεύουμε ότι η Πολωνική αποκάλυψη δεν αποτελεί εξαίρεση αλλά τον κανόνα για ολόκληρη την Ανατολική και Νότια Ευρώπη. Το ελληνικό κράτος οφείλει άμεσα να θεσμοθετήσει γενναιόδωρα προγράμματα bug bounty και να αναγκάσει όλους τους δημόσιους φορείς να αποσύρουν χθεσινά, εγκαταλελειμμένα CMS. Το «patch or perish» δεν είναι απλώς ένα σύνθημα για developers — είναι ζήτημα εθνικής κυριαρχίας.
Συχνές Ερωτήσεις για την κυβερνοασφάλεια δημοσίων υποδομών
Ποιο ήταν το κύριο πρόβλημα που βρήκαν οι ερευνητές στην Πολωνία;
Ανακάλυψαν πάνω από 250.000 κυβερνητικές ιστοσελίδες και υποδομές με σοβαρά κενά ασφαλείας, κυρίως λόγω χρήσης ξεπερασμένου λογισμικού και έλλειψης ενημερώσεων.
Τι είναι το λογισμικό End-of-Life (EOL);
Είναι το λογισμικό του οποίου ο κατασκευαστής έχει σταματήσει επίσημα την υποστήριξη και τη διάθεση διορθώσεων ασφαλείας, αφήνοντάς το ευάλωτο σε νέες απειλές.
Γιατί οι προμηθευτές αγνοούν τις αναφορές σφαλμάτων;
Συχνά οι εταιρείες λογισμικού δεν διαθέτουν τμήματα 대응 ασφαλείας ή βλέπουν το κόστος επιδιόρθωσης παλιών προϊόντων ως οικονομικό βάρος, αγνοώντας τον κίνδυνο.
Πώς συνδέονται οι επιθέσεις αυτές με τη γεωπολιτική κατάσταση;
Οι ξένες δυνάμεις, όπως ρωσικές ομάδες χάκερ, εκμεταλλεύονται ακριβώς αυτά τα εύκολα κενά ασφαλείας για να διαταράξουν κρίσιμες υποδομές ενέργειας και νερού.
Τι είναι τα προγράμματα bug bounty;
Είναι πρωτοβουλίες όπου οργανισμοί ανταμείβουν ηθικούς χάκερ (white-hat hackers) για τον εντοπισμό και την αναφορά κενών ασφαλείας πριν αυτά αξιοποιηθούν κακόβουλα.
Πώς επηρεάζεται η Ελλάδα από αυτά τα ευρήματα;
Η ελληνική δημόσια διοίκηση μοιράζεται παρόμοιες παθογένειες με τη χρήση παρωχημένων τεχνολογιών και την έλλειψη εντατικών ελέγχων διείσδυσης σε όλους τους φορείς.
Ποια η ευρωπαϊκή νομοθεσία για την αντιμετώπιση τέτοιων κινδύνων;
Η οδηγία NIS2 επιβάλλει αυστηρότερα μέτρα κυβερνοασφάλειας και βαριές κυρώσεις σε δημόσιους και ιδιωτικούς φορείς κρίσιμων υποδομών σε ολόκληρη την Ε.Ε.
Διάβασε επίσης την ανάλυσή μας για το πώς το 5G μεταμορφώνει τα δίκτυα ασφαλείας και την πορεία της δορυφορικής ευρυζωνικότητας στην Ελλάδα.
