120GB vainas un kauna

Biju paredzējis uzrakstīt iespaidus par OpenOffice 3.2.0 versiju, bet lasītāji to var uzstādīt paši un izlasīt jaunumus New Features un Release Notes.

Jāatzīst, ka ekspertu viedokļu par šo notikumu pagaidām ir gaužām maz. Tāpēc ceru, ka mani komentāri viesīs šo lietu skaidrāku. Lai pierādītu to, ka savu viedokli es drīkstu paust kā "drošības eksperts", norādīšu, ka laikā no 1999. gada līdz 2002. gadam, strādājot "SIA Dati servisa centrs" es piedalījos vienā no VID informatizācijas projektiem, konkrēti "VID informācijas sistēmu pārraudzības un administrēšanas, datu rezerves kopēšanas un datu drošības sistēmas (VIDASIP)" ieviešanā, esmu veicis drošības auditus un drošības politikas izstrādi Valsts Zemes dienestā, Valsts Obligātās veselības apdrošināšanas aģentūrā, un kā neatkarīgs eksperts (freelancer) arī Latvijas Infektoloģijas centrā. 

Pirmkārt, drošības pārvaldība ir riska pārvaldība, jo nav absolūti drošu sistēmu. Informācijas sistēmu drošības pārvaldība ir tāda pati kā satiksmes drošība — ievērojot satiksmes noteikumus, uzturot transporta līdzekli kārtībā un ievērojot piesardzību, ir iespējams būtiski samazināt iespēju ciest negadījumu, bet tas nedod 100% garantiju. Baikeris, kas pārgalvīgi brauc bez ķiveres, var nomirt godājamā vecumā gultā, bet piesardzīgu jaunu dāmu viņas Volvo var nobraukt baļķu vedējs. Tomēr, katram ir skaidrs, kura iespējas sasniegt sirmu vecumu ir lielākas.

Tiem, kas grib "kārt pie zvana" drošības auditorus, vēlos norādīt, ka drošības auditori, ja vien uzdevums nav bijis šaurs un konkrēts (vai arī cilvēkstundu tūkstošos), netestē konkrētas sistēmas drošību. Sistēmu drošība ir riska pārvaldība un drošības auditori meklē nedrošākās vietas. Un (dažu gadu veca) pieredze rāda, ka parasti organizācijas drošībā ir daudz lielāki drošības caurumi nekā sistēmu kļūdas. Tika atklāti caurumi, kas saistās ar organizācijas darbinieku atbildību, drošības procedūrām, resursu fizisko drošību un veikto darbību auditu. Veicot sistēmu tīkla skenēšanu ar Nessus, atklājās, ka organizācijas datoriem ir neaizsargāti resursi (koplietošanas diski) bez parolēm, nav uzlikti ekrāna bloķētāji u.tml. Nav vajadzības zagt datus no sistēmas, ja tos var iegūt vieglākā veidā, piemēram, sarunājot ar kādu darbinieku. Tā kā izzagto datu apjoms ir 120GB, tos nebūtu ērti izzagt, ieliekot savu zibatmiņu nepieskatītā VID darbinieka datorā, tomēr principā tos varētu nozagt, ar savu klēpjdatoru noklausoties bezvadu tīklu sēžot uz Smilšu ielas ietves.

Un tomēr, dati nav nozagti šādā veidā. Un tāpēc VID ir pelnījis uzslavu, jo konkrētajā gadījumā vieglākais pretestības ceļš ir bijis sistēmas nepilnību izmantošana. Cik noprotams no publiskajā vidē pieejamās informācijas, dati no EDS sistēmas ir izzagti izmantojot, t.s. koda ievietošanu, kad lietotājs, aptuveni nojaušot sistēmas dizainu, papildina (vai EDS gadījumā — izmaina) serverim nosūtīto pieprasījumu un iegūst citus datus nekā ir paredzēts, izmantojot "godīgu pieprasījumu". Tā ir "pirmziemnieka" dizaina kļūda vai arī regresija, ko var ielaist, samainot vietām vai aizmirstot vienu koda rindiņu. Ja sistēmu atbilstoši nenotestē, to nav iespējams pamanīt. Bet to noteikti noskaidros, jo sistēmu ražotāju sadarbība ar VID ir stingri kontrolēta (daži mani kolēģi izstrādāja risinājumu ieviešanas uzskaites sistēmu), un viegli nosakāms, vai kļūda ir ražotāja versijā, vai arī ļaunprātīgi ieviesta VID produkcijas vidē.

Tomēr, lai arī zagšana izmantojot sistēmas nepilnības ir ērta, un to var darīt, sēžot iemīļotajā mājas krēslā, tai ir arī daudzas nepilnības. Izmantojot šādu metodi paliek apmēram tādas pašas pēdas, kādas greideris atstāj uz ceļa svaigi uzsnigušā sniegā:

1. Ir zināms, ar kādu lietotāja identifikatoru šie dati ir iegūti.
2. Tā kā dati tiek iegūti neapejot sistēmu, audita žurnālā ir saglabāta visa lietotāja rīcība.
3. Ja vien nav izmantota slēpšanās ar Tor vai starpniekserveri, ir zināma arī IP adrese.

Ar šiem datiem ir pilnīgi pietiekami, lai:

1. šādas aktivitātes pamanītu,
2. lai tās varētu pierādīt un attiecīgi sodīt.

Savā laikā VID mēs ieviesām IBM Tivoli sistēmu — ļoti lielu, sarežģītu un dārgu sistēmu, tomēr tajā laikā vienīgā reālā alternatīva bija HP OpenView, kas, lai arī mazāka, bija tikpat sarežģīta un neparocīga. Ja analogu sistēmu ieviestu tagad, droši vien mēs izvēlētos Nagios vai Latvijā izstrādāto Zabbix, jo atvērtā koda sistēmas ieviest un uzturēt ir vieglāk nekā slēgtā koda sistēmas; it sevišķi, ja iet runa par sistēmu integrāciju.

Tomēr šķiet, ka VID sistēmu pārvaldība un pārraudzība kopš tiem laikiem nav daudz uzlabojusies, jo datus bija iespējams zagt veselus 3 mēnešus. Pat vietnē odo.lv, kas nesatur kritiskus datus un kuras lietošanas ērtums un atvērtība tiek vērtēta augstāk par drošību, ļaunprātīgas (parasti vandāļu) darbības tiek pamanītas vidēji 24 stundu laikā. Tad kādām ir jābūt VID pārraudzības procedūrām, lai aizdomīgas darbības ar sensitīviem datiem nepamanītu tik ilgi?

VID EDS sistēma ir izstrādāta .Net ietvarā un darbojas uz Microsoft IIS servera. .Net izstrādes vide varētu būt ērtāka par Java, un Microsoft ir daudz darījis, lai standartizētu korporatīvo vidi, tomēr Windows serveri nav ne ērti pārraugāmi, ne arī viegli uzturami. (Padomājiet, cik daudz VID resursu prasa nodrošināšanās pret Windows drošības caurumiem un vīrusiem). Iespējams, ka VID ir nepieciešams jauns sistēmu pārraudzības modernizācijas projekts, kurā tiek parādīts, ka sistēmu pārraudzība nav dārga melnā maģija, bet gan labi zināma prakse, ko var atkārtot jebkurš, kam nav slinkums izmantot atvērtā koda programmatūru.

Tāpat kā krīze ir izaugsmes sākums, katrs pārkāpums ir atbildīgo dienestu spēju pārbaude. Šāda pārbaude var smagi maksāt, tomēr notikušo nevar padarīt par nenotikušu. Tāpēc būs interesanti vērot, kā šis notikums attīstīsies, un vai vainīgie tiks saukti pie atbildības. Latvijas medijos jau ilgu laiku ir aprunāta VID augstākās vadības (ģenerāldirektora un vietnieka) atbilstība ieņemamajam amatam; un šī datu izzagšanas gadījuma turpmākā attīstība būs labs indikators, vai jaunā vadība spēj un vēlas rīkoties atbilstoši visu nodokļu maksātāju, vai tikai dažu interesēm.