9,5 balo iš 10 – tokiu lygiu įvertinta PHP spraga trečiadienį privertė Registrų centrą išjungti dalį paslaugų. Ketvirtadienį apie laikinus LTSA paslaugų sutrikimus pranešė ir Lietuvos transporto saugos administracija. LTSA nurodo tą pačią priežastį – kibernetinį saugumą, nors PHP spragos tiesiogiai neįvardija.
Pasak LTSA, Registrų centras ir „Regitra“ laikinai neteikia dalies duomenų, be kurių administracija negali suteikti tam tikrų paslaugų. Kurių būtent? Pranešime to nėra. Nėra ir datos, kada viskas vėl veiks įprastai, todėl LTSA klientams lieka tik žinoti, kad paslaugos, kurioms reikia šių duomenų, gali vėluoti arba užtrukti ilgiau.
Ką iš tikrųjų pasakė LTSA
Pranešimas trumpas. LTSA nurodo, kad dėl kibernetinio saugumo priežasčių valstybės įmonė Registrų centras ir akcinė bendrovė „Regitra“ laikinai sustabdė tam tikrų paslaugų teikimą ir neteikia dalies duomenų, todėl kai kurių paslaugų teikimas gali laikinai sutrikti arba užtrukti ilgiau. Klientų atsiprašoma už galimus nepatogumus. Paslaugų sąrašo, sutrikimo pradžios ir pabaigos datų pranešime nėra.
Pranešimas yra. Sąrašo, kam jis aktualus, nėra. Redakcijos vertinimu, net ir saugumo sumetimais buvo galima įvardyti bent paslaugų grupes, o dabar kiekvienas klientas spėlioja pats. Kas laukia LTSA sprendimo ar dokumento, prieš planuodamas terminus turėtų paskambinti telefonu (+370 5) 278 56 01 ir pasitikslinti, ar tai nesusiję su jo prašymu.
Spraga, dėl kurios NKSC įspėjo 9,5 balo grėsme
BNS duomenimis, Nacionalinis kibernetinio saugumo centras (NKSC) trečiadienį įspėjo institucijas apie tarptautiniu mastu paskelbtą PHP programinio kodo pažeidžiamumą ir įvertino grėsmę 9,5 balo iš 10. Lietuvoje rasta apie 100 pažeidžiamų svetainių. Bendras mastas didesnis: NKSC vertinimu, PHP naudoja 80–90 proc. šalies verslo ir valstybės institucijų svetainių, todėl centras dar kartą skenuoja visas svetaines.
Registrų centras paslaugas išjungė trečiadienį apie 18 val. Ketvirtadienį pagrindines savitarnos paslaugas planuota atverti 10 val., o likusias atkurti palaipsniui per dieną, kai jos bus išbandytos. „Klientų prašome kantrybės ir supratimo – esama tarptautinė saugumo situacija šiuo metu to reikalauja iš visų“, – sakė Registrų centro generalinis direktorius Vytautas Bitinas.
Ar LTSA paslaugų sutrikimai reiškia duomenų nutekėjimą?
Kol kas nėra jokių ženklų, kad nutekėjo duomenys. Nė vienas oficialus pranešimas neteigia, kad šio incidento metu duomenys būtų nutekėję ar pakeisti. Pasak Registrų centro, tokia spraga leistų be leidimo prisijungti prie sistemų, keisti ar pavogti duomenis ir perimti serverių valdymą. Įrankiai jai išnaudoti jau kuriami, tačiau duomenų apie faktinius išnaudojimo atvejus, NKSC vadovo Antano Aleknavičiaus teigimu, kol kas nėra. „Visada pirma atsiranda ietis, o po to atsiranda skydas“, – taip situaciją apibūdino Registrų centro IT direktorius Antanas Raguotis.
Atsargumą lengva suprasti. Šį pavasarį Generalinė prokuratūra pradėjo ikiteisminį tyrimą dėl galimų neteisėtų prisijungimų ir daugiau nei 600 tūkst. iš Registrų centro pasisavintų Nekilnojamojo turto registro įrašų, tarp jų ir asmens kodų. Ar po tokios patirties institucija galėjo rinktis ką nors kita, nei išjungti sistemas iš anksto? Tokiomis dienomis nepakenks prisiminti ir kaip atpažinti netikras žinutes, prašančias „patvirtinti duomenis“ institucijos vardu.
Kas laukia artimiausiomis dienomis
LTSA pranešimas kalba apie duomenis, kuriuos „Regitra“ ir Registrų centras perduoda administracijai, o ne apie „Regitros“ klientų aptarnavimą. Kas artimiausiu metu planuoja reikalus „Regitroje“, pavyzdžiui, artėjant vairuotojo pažymėjimo keitimo terminams, iš šio pranešimo nesužinos, ar jo paslauga vėluos.
PHP spraga gali būti ne vienintelė. BNS duomenimis, kritinis pažeidžiamumas aptiktas ir „Java“ kalboje, apie jį pranešė „Oracle“, o Registrų centras dar tik vertina, ar tai paveikia jo sistemas, ir laukia tarptautinių rekomendacijų. Jei jos pareikalaus panašių veiksmų, transporto paslaugos, priklausančios nuo registrų duomenų, vėl gali sulėtėti. Šios savaitės pamoka aiški: valstybės e. paslaugų patikimumą lemia ir seniausias jų kodas, o klientai apie sutrikimus kol kas sužino iš trumpų pranešimų be terminų.
