Matej Kovačič: Katastrofalna varnost spletnih portalov davkarije in notranjega ministrstva

Davčna uprava in ministrstvo za notranje zadeve sta se danes pohvalila, da njuni spletni strani za poslovanje z občani in podjetji nimata težav z varnostjo. Njuni trditvi ne bi mogli biti dlje od resnice.

Davčna uprava in ministrstvo za notranje zadeve sta se danes pohvalila, da njuni spletni strani za poslovanje z občani in podjetji nimata težav z varnostjo. Njuni trditvi ne bi mogli biti dlje od resnice.

edavki spletna stran

Pred kratkim so varnostni raziskovalci odkrili eno večjih varnostnih ranljivosti v tem letu, nekateri so celo mnenja, da gre za ranljivost desetletja. Gre za ranljivost poimenovano Heartbleed. Ranljivost oziroma napaka v programski kodi kriptografske knjižnice OpenSSL, ki se na številnih spletnih straneh uporablja za šifriranje spletnih komunikacij, pa tudi elektronske pošte, virtualnih zasebnih omrežij, aplikacij za neposredno sporočanje in podobno, napadalcem omogoča pridobitev neposrednega dostopa do pomnilnika na strežniku. Posledično napadalec lahko kljub šifrirani povezavi pridobi ne samo podatke drugih uporabnikov, vključno z gesli in aktivnimi sejami, ampak tudi podatke samega strežnika, na primer dnevniške zapise in celo šifrirne ključe. Slednje naj bi bilo po najnovejših ugotovitvah varnostnih strokovnjakov sicer razmeroma težko, ni pa povsem izključeno.

Po nekaterih ocenah je ranljivih vsaj pol milijona spletnih strani, kamor pa niso všteti VPN, poštni in drugi strežniki, niti različne specializirane naprave, kot na primer različni plačilni terminali, telefonske centrale ter drugi namenski sistemi. Mimogrede, ranljivih je tudi več milijonov mobilnih telefonov in tablic z operacijskim sistemom Android 4.4.1., nekateri podatki pa kažejo, da je za ranljivost že dlje časa vedela in jo tudi izkoriščala ameriška tajna služba NSA. Zato ne preseneča, da se je tema, ki sicer praviloma zaposluje le ozko računalniško publiko, tokrat prebila tudi v splošne medije.

Tako je slovenski časnik Dnevnik danes poročal o izjavi ministrstva za notranje zadeve, da so »informacijski sistemi slovenske javne uprave varni pred morebitnimi zlorabami, saj pomanjkljivega šifrirnega mehanizma OpenSSL ne uporabljajo«. Časnik navaja tudi pojasnilo Davčne uprave, da varnost njihovega spletnega mesta ni ogrožena, in da »v zvezi s tem nimajo nobenih težav«.

Takšne drzne izjave kar kličejo po podrobnejši analizi. Zato smo si podrobneje ogledali spletno mesto eDavki, ki ga upravlja DURS, in spletno mesto E-uprava, ki ga upravlja MNZ.

Prva ugotovitev je, da ne ene ne druga spletna stran ne trpi  za Heartbleed ranljivostjo. A podrobnejši pregled pokaže, da nikakor nista varni. Podrobnosti si oglejmo v nadaljevanju.

Varnost spletnega mesta eDavki (https://edavki.durs.si)

Digitalno potrdilo spletnega mesta je podpisano s strani overitelja SIGOV-CA, ki ga spletni brskalniki sicer privzeto nimajo shranjenega v shrambi digitalnih potrdil. To je sicer problematično in Durs bi si verjetno lahko privoščil nekaj evrov visok letni strošek overjanja svojega digitalnega potrdila s strani enega izmed zaupanja vrednih overiteljev. Kljub temu pa je ta pomanjkljivost pravzaprav ena manjših na omenjeni spletni strani, treba pa je tudi poudariti, da ne pride do izraza, če si uporabniki v svoj brskalnik sami namestimo digitalno potrdilo overitelja SIGOV-CA. Digitalna potrdila so nekakšni digitalni identifikacijski dokumenti, s katerimi se spletni strežnik identificira uporabniku. Z njihovo pomočjo preprečimo, da bi napadalec ustvaril spletno stran, ki je na videz identična na primer spletni strani eDavki in nato promet uporabnikov usmeril na to svojo spletno stran. Ker se obiskovalec lažne spletne strani ne bi zavedal, da je na spletni strani napadalca, bi ji izdal podatke, ki bi jih drugače izdal le davkariji.

eDavki
Spletna stran eDavki za elektronsko poslovanje z davčno upravo ima katastrofalno varnost. Zato si je na varnostnem testu prislužila najnižjo oceno, F.

Bistveno bolj problematično je dejstvo, da spletno mesto eDavki uporablja samo starejša kriptografska protokola SSL 3 (tega je celo priporočljivo izključiti) in TLS 1.0, ne pa tudi TLS 1.1 in TLS 1.2. Varnost ob uporabi tega spletnega mesta je zato bistveno slabša, kot bi lahko bila.

Poleg tega je strežnik (nepravilno) nastavljen tako, da omogoča tako imenovano ponovno pogajanje za vzpostavitev SSL seje s strani odjemalca (client-initiated session renegotiation). To napadalcu omogoča tako imenovan napad s posrednikom, s pomočjo katerega lahko uspešno pridobi zaupne podatke, ki si jih uporabniki izmenjujejo s spletnim strežnikom. Napad s posrednikom pomeni, da napadalec prestreza vašo komunikacijo z na primer spletno stranjo eDavki, tej strani pa nato pošilja poljubne podatke. Tako vam lahko povzroči dvojno škodo – izve za vaše skrivnosti, obenem pa lahko v vašem imenu spletni strani pošilja drugačne podatke, kot bi si želeli vi. Torej vam ukrade identiteto.

Strežnik ravno tako ni nastavljen tako, da bi onemogočal BEAST napad. BEAST (Browser Exploit Against SSL/TLS) napad sta leta 2011 prikazala varnostna raziskovalca Thai Duong in Juliano Rizzoplet, napadalcu pa omogoča izvedbo kriptoanalize (dešifriranja šifriranih podatkov) in posledično rekonstrukcijo sejnega kriptografskega ključa. S tem podatkom nato lahko napadalec na primer ukrade spletni piškotek žrtve ter spet izvede krajo identitete.

Strežnik tudi ni nastavljen tako, da bi omogočal poudarjeno zaupnost (ang. perfect forward security oz. forward secrecy). Gre za varnostno nastavitev, ki omogoča samodejno spreminjanje šifrirnih ključev za vsako novo spletno sejo oziroma na določeno časovno obdobje. Če napadalec uspe razbiti enega izmed šifrirnih ključev, bo lahko dešifriral le spletni promet, ki je bil šifriran v dani seji, torej v kratkem časovnem obdobju, za vse ostale seje pa bo moral izvesti ponoven (navadno zamuden) napad. S pomočjo poudarjene zaupnosti upravljavec spletnega strežnika poskrbi, da je škoda ob morebitnem uspešnem napadu čim manjša.

Podrobnejši pregled nastavitev strežnika je tudi razkril, da eDavki ne uporabljajo kakšnih drugih sodobnejših varnostnih mehanizmov, kot na primer preferenčnega vrstnega reda uporabljenih šifrirnih algoritmov, uporabo HTTP Strict-Transport-Security vzglavij in podobnih mehanizmov, ki občutno povečajo varnost spletnega mesta.

Varnost spletnega mesta E-uprava (https://e-uprava.gov.si)

Podobno kot DURS tudi MNZ nima denarja za nakup overjenega digitalnega potrdila od enega izmed zaupanja vrednih izdajateljev, oziroma upravitelji spletnega mesta pričakujejo, da si bomo uporabniki v svoj brskalnik sami namestili digitalno potrdilo overitelja SIGOV-CA. A hiter varnostni pregled tega spletnega mesta pokaže, da varnost portala E-uprava še nekoliko bolj odstopa od »varnostnih standardov« E-davkov. Žal v negativnem smislu.

E-uprava vsebuje večino varnostnih pomankljivosti, kot smo jih lahko zaznali na eDavkih (razen ponovnega pogajanja za vzpostavitev SSL seje s strani odjemalca), poleg njih pa smo na tem mestu odkrili še nekaj dodatnih. Spletna stran namreč poleg TLS 1.0 in SSL 3 podpira tudi močno zastarel in ranljiv protokol SSL 2. Spletni strežnik podobno kot eDavki nima preferenčnega vrstnega reda uporabljenih šifrirnih algoritmov, poleg tega pa omogoča uporabo celo skrajno zastarelih šifrirnih algoritmov z zgolj 40-bitnim šifrirnim ključem, ki ga je mogoče relativno hitro razbiti (sodobna spletna mesta uporabljajo 128 ali 256-bitne ključe).

eUprava
Varnost spletne strani za elektronsko poslovanje z javno upravo je še slabša od eDavkov.

Kvaliteto postavitve obeh HTTPS strežnikov sicer lahko prek spletne storitve SSL Labs preveri vsakdo. Obe spletišči sta bili s strani SSL Labs ocenjeni z najnižjo oceno, F.

Sklenemo lahko, da je kvaliteta postavitve HTTPS povezave na obeh spletiščih katastrofalna, sploh če vemo, da uporabniki tem spletiščem redno posredujejo svoje osebne podatke ali podatke, ki predstavljajo davčno tajnost. Vsekakor ne moremo trditi, da sta spletišči »varni pred zlorabami«, oziroma da njuna »varnost ni ogrožena«. Odsotnost Heartbleed ranljivosti je pravzaprav ena redkih, če ne celo edina pozitivna lastnost, ki jo imata navedeni spletišči v varnostnem smislu.

Dr. Matej Kovačič je strokovnjak za informacijsko varnost. Njegove analize lahko spremljate na blogu Pravokator.

Nastanek tega članka ste omogočili bralci z donacijami. Podpri Pod črto

Deli zgodbo 0 komentarjev



Več iz teme: Komunikacijska varnost

Kako varno je naše komuniciranje z drugimi prek spleta, telefona in ostalih komunikacijskih kanalov? Preverjamo varnost različnih oblik komunikacije.

36 prispevkov

Kdo je odgovoren za slabo informacijsko varnost na UKC Ljubljana

UKC Ljubljana je slabo zavaroval podatke o zdravstvenem stanju posameznikov. Pooblaščenec za informacijsko varnost v UKC Ljubljana je nekdanji direktor …

Tema: Komunikacijska varnost
Članek,

Zakaj FURS strankam priporoča uporabo varnostno ranljivih brskalnikov

Finančna uprava je v začetku marca razburila z nasvetom, naj uporabniki Mac in Linux operacijskih sistemov prenehajo posodabljati brskalnik Firefox.

Tema: Komunikacijska varnost
Članek,

0 komentarjev

Dodaj odgovor

Vaš e-naslov ne bo objavljen. * označuje zahtevana polja

This site uses Akismet to reduce spam. Learn how your comment data is processed.

Zadnje objavljeno