Zasiahne globálna IT katastrofa do našich volieb? Štatistický úrad hovorí o bezpečnosti systému
Kritická bezpečnostná zraniteľnosť v programovacom jazyku PHP ochromila množstvo webov a služieb po celom svete. Pre Slovenskú republiku prišla IT katastrofa v najhoršom možnom čase – len pár dní pred spojenými voľbami.
Informačné systémy sú základnou súčasťou volebného procesu. Takmer pri každých voľbách sa navyše šíria konšpiračné teórie o chystanej manipulácii volieb cez IT systémy a v nich nasadené softvérové riešenia. Vynára sa preto otázka, aké môžu byť dôsledky globálneho kyberincidentu na priebeh víkendových volieb.
Hoci udalosť zasiahla aj niektoré štátne weby a systémy, Štatistický úrad SR ubezpečuje, že jeho Integrovaný volebný informačný systém (IVIS) ohrozený nie je.
Zraniteľnosť je reálnou hrozbou
„Na Slovensku využíva PHP viac ako 100-tisíc webových stránok, celosvetovo ide približne o 6,3 milióna,“ povedala v stanovisku pre denník SME hovorkyňa Národného bezpečnostného úradu Kristína Petro Garaiová.
Zraniteľnosti v tomto prostredí preto predstavujú významné bezpečnostné riziko pre verejný aj súkromný sektor. Národný bezpečnostný úrad v stredu vyzval všetkých prevádzkovateľov, ktorí majú PHP nasadené vo svojich systémoch, aby okamžite konali.
Situácia bola kritická, pretože zneužitiu predmetnej chyby v PHP sa nedalo zabrániť ani poctivou starostlivosťou o bezpečnosť systémov. Nikto totiž o existencii problému nevedel a návod na jeho riešenie bol publikovaný vývojármi PHP až v stredu.
Zraniteľnosť v programovacom jazyku PHP umožňovala „remote code execution“, teda spustenie kódu útočníka na diaľku v napadnutom systéme, a to bez potreby poznať prístupové údaje. Ide o závažný typ bezpečnostnej diery, ktorá hackerom umožňuje napáchať významné škody. Bezpečnostní odborníci dokonca zachytili snahu o zneužitie zraniteľnosti hackermi, riziko teda nebolo len teoretické. Čím citlivejší bol prevádzkovaný systém, tým väčšie bolo riziko napadnutia a potenciálne spôsobená škoda.
Štatistický úrad pre SME uviedol, že postupoval v zmysle stredajších pokynov NBÚ. „Informačný systém IVIS určený pre spracovanie výsledkov volieb nie je touto zraniteľnosťou ovplyvnený,“ uviedol úrad, naznačujúc, že PHP nie je v systéme nasadené.
V tejto chvíli nie je jasné, či sa téma dotýka aj webstránky Volbysr.sk, ktorá by nemala byť súčasťou systému IVIS. Oficiálny web Štatistického úradu poskytuje informácie o voľbách vrátane zverejňovania priebežných a definitívnych výsledkov.
Ministerstvo vnútra: Sme pripravení
Národný bezpečnostný úrad odporučil prevádzkovateľom webových stránok preventívne odstaviť dotknuté systémy a opravovať ich postupne podľa ich dôležitosti a citlivosti. Reagovali aj štátne inštitúcie. Svoju webstránku dočasne vypol napríklad Úrad vlády SR. Odstávky boli aj na ministerstve vnútra, MIRRI a prevádzku dočasne pozastavila aj Železničná spoločnosť Slovensko.
Denník SME v súvislosti s kauzou oslovil aj ministerstvo vnútra a Štátnu komisiu pre voľby a kontrolu financovania politických strán. V spoločnom stanovisku rezort uviedol, že na voľby je po organizačno-technickej stránke pripravený a neeviduje problémy, ktoré by mohli mať vplyv na plynulý priebeh volieb.
„Vo volebnom procese sa nevyužívajú IT systémy v správe Ministerstva vnútra SR. Systémy súvisiace so spracovaním či zverejňovaním výsledkov volieb patria pod Štatistický úrad SR, s ktorým sme v pravidelnom kontakte a tak ako pri každých voľbách spolupracujeme na príprave, priebehu a spracovávaní výsledkov volieb,“ uviedlo ministerstvo.
