Поделиться
Огромная дыра зияет в безопасности многих стран. Россия не исключение
Государственные сайты многих стран оказались не приспособлены к миру, кишащему хакерами. Трафик до них идет через иностранные сети и даже не шифруется – во многих странах администраторы таких сайтов не используют протокол HTTPS. Россия в этом плане исключением не стала – HTTPS внедрен в менее чем в половину отечественных госсайтов.
Какая такая безопасность?
В госсекторах десятков стран мира выявлена огромная прореха в стене кибербезопасности, потенциально открывающая перед хакерами широкие возможности по взлому. The Register со ссылкой на исследование, проведенное Северо-Западным университетом США (Northwestern University), пишет, что трафик до таких сайтов очень часто идет через зарубежные сети.
Исследователи выявили три недостатка в безопасности – пересечение трафиком иностранных границ; игнорирование зашифрованного протокола HTTPS, который существует с 2000 г.; привязка почти всего трафика к единственному внутреннему провайдеру.
Первая проблема – трафик пересекает границы других государств, притом в ряде случаев несколько раз. Иногда используются зарубежные точки обмена трафиком. Вторая проблема – как оказалось, этот трафик очень часто вообще не шифруется.
В некоторых случаях государственные веб-ресурсы очень хорошо защищены – трафик и шифруется, и ничьи границы не пересекает. Однако передается он по каналам всего лишь одного провайдера, что резко снижает уровень безопасности, и это третья проблема.
Все очень плохо
В рамках исследования была составлена карта мира, на которой авторы пометили страны по уровню внедрения в их госсайты протокола HTTPS. От обычного и давно устаревшего HTTP от отличается функцией шифрования. Исследование затронуло госсайты 58 стран мира, в том числе и России.
Отметим, что Россия оказалась в антилидерах по числу госсайтов, не использующих HTTPS. Их в стране насчитывается 50,23%.
Другими словами, лишь 49,77% сайтов российских госструктур используют HTTPS. Для сравнения, в США таковых набралось 62,94%, в Канаде – 68,37%.
Госсайтов с поддержкой HTTPS в ЮАР – 43,15%, лишь немногим меньше, нежели в России.
Пример брать почти не с кого
Согласно исследованию, в соседнем с Россией Казахстане протокол HTTPS внедрили 71,52% госсайтов. При этом границы других стран трафик госсайтов не пересекает. Можно было бы заявить, что у них высокий уровень надежности, но на самом деле это не совсем так.
Авторы исследования отдельно отметили Казахстан как пример страны, где подавляющие объемы трафика госсайтов проходят всего лишь через одного оператора связи. В данном случае это «Казахтелеком», обрабатывающий в пределах 70% трафика таких ресурсов.
Схожая ситуация сложилась в Турции, Бангладеш и Пакистане – по мнению исследователей, здесь это связано с «наследием государственных телекоммуникационных монополий» (rooted in the legacy of state-owned telecom monopolies). Также аналитика учитывает и ОАЭ, где более 75% трафика госсайтов «течет» через каналы провайдера Etisalat.
В то же время, согласно исследованию, Канада, Швеция, Швейцария, Великобритания и США распределяют свой правительственный трафик между несколькими операторами и точками обмена, что обеспечивает большую устойчивость к техническим сбоям и геополитическим потрясениям.
Чем все это грозит
Перенаправление трафика через зарубежные сети вкупе с отсутствием шифрования – это настоящий подарок киберпреступникам, находящимся за пределами границ страны, чьи госсайты они хотят атаковать. Они могут провести множество атак, в том числе «человек посередине» (Man in the Middle, MITM) и банально перехватить трафик.
А если этот трафик еще и не будет зашифрован, киберпреступники сразу получат полный доступ к передаваемой информации .
Что касается зависимости от сети одного провайдера, то это тоже не сулит ничего хорошего, отмечают исследователи. В таких условиях единичный сбой, неправильная настройка или преднамеренное нарушение работы провайдера (взлом или саботаж) могут повлиять на все государственные услуги.
Короткая ссылка
