NKSC: paveiktą programinę kalbą naudoja apie 80–90 proc. šalies svetainių

Nacionalinio kibernetinio saugumo centro (NKSC) vadovas Antanas Aleknavičius sako, kad Lietuvoje nustatyta apie šimtą dėl PHP programinio kodo spragos pažeidžiamų svetainių, šią programavimo kalbą iš viso naudoja iki 90 proc. šalies svetainių.

„Mūsų žiniomis, tai yra labai populiari programavimo kalba ir, mūsų vertinimu, 80–90 proc. visų Lietuvos svetainių, ar tai būtų privataus verslo, ar tai būtų valstybės institucijų, remiasi būtent PHP kalba“, – M1 informacijos tarnybai ketvirtadienį sakė jis.

Šiuo metu nustatyta apie šimtą pažeidžiamų svetainių.

„Periodiškai tikrinam visas Lietuvoje veikiančias svetaines, mes jas skenuojam, tikrinam, vertinam jų pažeidžiamumą, tai mes šiai dienai esame identifikavę apie šimtą pažeidžiamų svetainių būtent dėl šios spragos“, – kalbėjo A. Aleknavičius.

„Dabar atliekam papildomą pakartotiną skenavimą tam, kad suprastume realų mastą ir tuomet su tais duomenimis, gavę atitinkamas įžvalgas savo ekspertų, tuomet ieškosim geriausių sprendimų, kaip išspręsti“, – sakė jis.

Kaip skelbė BNS, Nacionalinis kibernetinio saugumo centras trečiadienį įspėjo įstaigas dėl tarptautiniu mastu paskelbtos informacijos apie pasaulinio masto pažeidžiamumą PHP programiniame kode.

Dėl įspėjimo apie pažeidžiamumą Registrų centras buvo išjungęs dalį paslaugų, ketvirtadienį pranešta, kad jos atkuriamos.

NKSC šiuo metu neturi duomenų, kiek institucijų ėmėsi veiksmų siekiant apsaugoti savo svetaines, tačiau, anot A. Aleknavičiaus, apie situaciją ir kokių priemonių derėtų imtis joms buvo pranešta iš anksto.

„Labai džiugu, kad iš tiesų Registrų centras ėmėsi nedelsiant veiksmų, bet ir kitos institucijos, mūsų žiniomis, tikrai dirba tuo klausimu. Tad jeigu viena kita paslauga neveiks, reiškia, šaunuoliai, ėmėsi veiksmų čia ir dabar ir tvarkosi, – kalbėjo NKSC vadovas. – Kitų gal vartotojai net nepajus tų sutrikimų, tų paslaugų neveikimo, nes bus įdiegta greičiau.“

Jis teigė manantis, kad už savo svetaines atsakingos institucijos puikiai supranta, jog grėsmė yra reali, nes jos buvo informuotos, kad grėsmės lygis siekia 9,5 balo iš dešimties, todėl veiksmų reikia imtis nedelsiant.

„Visi vienu metu, kaip pirštus spragtelėjus, tikrai nesusitvarkys, bet įsidėjus į planus, aš manau, kad pakankamai greitai turėtume susitvarkyti. Vėlgi, priklausomai nuo to, kokias svetainės turi versijas, jeigu tos naujesnės versijos, (...) bus greičiau, o kai kam gali tekti svetaines perkurti iš naujo“, – sakė A. Aleknavičius.

Institucijoms nesiėmus reikiamų veiksmų, anot jo, gali būti užvaldytos ne tik internetinės svetainės, bet ir per jas pasiekiami serveriai, kuriuose svetainės yra įdiegtos ir palaikomos. Galima žala priklauso nuo svetainėse pritaikytų saugiklių ir to, kokie duomenys jose talpinami.

„Iš esmės galima sutrikdyti informacinių sistemų veiklą pakankamai reikšmingai“, – teigė A. Aleknavičius.

„Tos institucijos ir įstaigos, kurios kibernetinį saugumą valdo ir supranta, tai tie atnaujinimai jiems neturėtų būti kažkas tai stebuklingo, nes tai būtų tiesiog rutininio proceso dalis“, – kalbėjo jis.

A. Aleknavičiaus turimomis žiniomis, kuriami įrankiai, galintys padėti išnaudoti šias spragas, tačiau duomenų apie tai, kad jos jau būtų išnaudotos, kol kas nėra.

Kaip pranešė Registrų centras, įdiegus pagal tarptautines rekomendacijas reikalingus programinius pakeitimus ir atlikus būtinus testus savitarnoje, visas paslaugas ketinama atkurti per ketvirtadienį.

„Jeigu klientai negaus kažkokių paslaugų, galbūt kažkokie tai apribojimai dėl sustiprinto saugumo (taikomi – BNS), turėtų tiesiog kreiptis telefonu dėl paaiškinimo“, – M1 informacijos tarnybai ketvirtadienį teigė Registrų centro IT direktorius Antanas Raguotis.

Pasak jo, išnaudojus pažeidžiamumą buvo galima be autorizacijos prisijungti prie sistemų, keisti ar pavogti duomenis, iš esmės perimti sistemų valdymą. A. Raguotis pabrėžė, kad tai kelia itin didelę riziką.

„Mes stebime pasaulinę spaudą ir apie šitą pažeidžiamumą (...) mes pamatėme net ne iš Nacionalinio kibernetinio saugumo centro, mes pamatėme gamintojo svetainėje. Mes de facto pradėjom reaguoti anksčiau ir kaupti informaciją“, – aiškino jis.

Dėl pastarojo įvykio bus atliktas tyrimas.

A. Raguotis atkreipė dėmesį, kad kritinis pažeidžiamumas aptiktas ir plačiai naudojamoje Java programavimo kalboje.

„Situacija iš aprašymo yra panaši. „Oracle“ paskelbė informaciją, kad Java irgi aptiktas kritinis pažeidžiamumas. Mes analizuojame, kaip tai liečia mūsų sistemas, ir, jeigu reikės, imsimės panašių priemonių, stabdysime paslaugas ir tvarkysime sistemas“, – kalbėjo Registrų centro atstovas.

Šiuo metu laukiama tarptautinių rekomendacijų dėl Java pažeidžiamumo.

„Tai nauja realybė. Kiekviena turbūt technologija turi savo saugumo spragų, tas yra seniai žinoma, bet nauja realybė yra ta, kad atsirado dirbtinis intelektas, kurio pajėgumai nepalyginami su žmonėmis. Dirbtinis intelektas sugeba labai greitai surasti spragas“, – pabrėžė A. Raguotis.

„Dabar hakeriu iš esmės gali būti praktiškai bet kas, kas turi dirbtinį intelektą ir ničnieko neišmano apie technologijas. (...) Stipriai išsiplėtė atakų paviršius ir vektorius, ir gylis“, – aiškino jis.

Registrų centro IT direktoriaus teigimu, atsiradus naujoms technologijoms pirmiausia sukuriami jų išnaudojimo įrankiai, o tik vėliau – apsaugos nuo jų priemonės.

„Visada pirma atsiranda ietis, o po to atsiranda skydas. Taip buvo praktiškai su kiekviena technologija, – teigė A. Raguotis. – Visas pasaulis yra toje stadijoje, kai masiškai aiškėja saugumo spragos ir vyksta labai daug masinių atakų būtent naudojant dirbtinį intelektą.“