Iiri asutused ostsid FSB-seosega paroolitarkvara

Kolm Iiri riigiasutust kulutasid hiljuti kokku 13 281 € paroolihaldurile Passwork (Irish Times). Summa jäi nii väikeseks, et see ei käivitanud hankes suuremat tähelepanu. Vastutasuks said asutused tarkvara, kuhu koondatakse töötajate paroolid sisemiste süsteemide, pilveteenuste ja administraatorikontode kasutamiseks.

Kes hoiab võtmerõngast

OCCRP, Yle, Le Monde’i ja The Irish Timesi piiriülene uurimine viis Passworki ettevõtlusahela Vene asutajateni (Yle). Sõsarettevõttel olid litsentsid Venemaa julgeolekuteenistuselt FSB-lt ja FSTEC-ilt, mis tegeleb muu hulgas kaitsevaldkonna ning tehnilise ekspordikontrolliga (Le Monde). Passwork esitles end Euroopa ja „Soome juurtega” ettevõttena. Soome äriühing tegutses aastatel 2017–2024, hilisem müük käis Hispaania ettevõtte kaudu. Kõik kolm Iiri asutust ütlesid, et pidasid tarnijat EL-i ettevõtteks (Irish Times).

Uurijad ei leidnud tõendeid, et Euroopa versioonis oleks olnud tagauks ehk varjatud kood, millega saab tavapärasest turvakontrollist mööda minna, ega ka tõendeid klientide andmete lekkest (Yle). See vahe on oluline. Paroolihalduri puhul ei piirdu risk aga sellega, mis juba juhtus. Küsimus on ka selles, mida selline ligipääs võimaldab.

Paroolihaldur on sisuliselt peavõtmete kogu. E-post, andmebaasid, pilveteenused ja halduspaneelid on uksed; paroolihaldur hoiab nende võtmete koopiaid. USA küberturbeagentuur CISA kirjeldab paroolihaldureid vahendina, mis aitab kasutada tugevaid ja kordumatuid paroole, kuid sama keskne koondamine tähendab, et risk koguneb ühte kohta (CISA). Kui tabelarvutustarkvara kompromiteeritakse, kannatab üks töövoog. Kui kompromiteeritakse paroolivaramu, tekivad teed kõigesse, mida see kaitseb.

Üks asutus valis Passworki põhjusel, et tarkvara sai käitada oma serveris, mitte pilves. Kohalik käitamine piirab osa andmeliikumisest. Ent paroolihalduri kood uueneb endiselt kanaleid pidi, mida kontrollib tarnija. Just uuenduste kaudu jõuab süsteemi pärast paigaldust uus kood. Tugikanalid ja seadistused on samuti usaldussuhted, mis ei lõpe tarkvara esmakordse paigaldamisega (Le Monde). Kui mõni neist kanalitest on ohustatud, ei kaitse oma serveris majutamine üksi seal hoitavaid paroole.

Euroopal on reeglid, aga neid ei kasutatud

„EL-is asuv” tähendab ettevõtte registreerimisandmeid, mitte turvagarantiid. Euroopal on juba olemas vahendid tarkvara usaldusväärsuse kontrollimiseks. ENISA küberturbe sertifitseerimisraamistik näeb ette tarkvaratoodete sõltumatu hindamise (ENISA). 2024. aastal vastu võetud kübervastupidavuse määrus liigitab paroolihaldurid toodete hulka, millel peavad enne EL-i turule jõudmist olema dokumenteeritud turvakontrollid (CRA). Prantsusmaa küberturbeamet soovitab kasutada formaalse turvasertifikaadiga tooteid; Passworkil sellist sertifikaati ei olnud. NIS2 nõuab eraldi, et hõlmatud organisatsioonid hindaksid tarnijate turbepraktikaid, mitte ainult arveid (NIS2).

Seniste avalike vastuste põhjal näib, et Iiri asutused toetusid tugevalt tarnija Euroopa identiteedile. Hankijate küsimus peaks olema laiem: kes kontrollib koodi, kes saab uuendusi süsteemi saata, kes haldab tugikanaleid ja milline sõltumatu turvahindamine on tehtud.

Soome kaitsepolitsei Supo ja sõjaväeluure hoiatasid 2026. aasta juulis, et Venemaa FSB küberluure sihib aktiivselt Soome ettevõtteid halvasti kaitstud ettevõtte võrguseadmete kaudu (Supo, Kyberturvallisuuskeskus). Need hoiatused ei puuduta otseselt Passworki, kuid selgitavad, miks FSB-lt litsentsi saanud sõsarettevõttega toode peab jõudma tõsisesse tarnijariski hindamisse.

Prantsusmaa parlament hindas hiljuti, et umbes 80% riigi keskse hankeasutuse kaudu ostetavast avaliku sektori tarkvarast läheb Ameerika tarkvaratootjatele. See tähendab ligikaudu 1,5 miljardit € aastas mitte-Euroopa tarkvarale (Banque des Territoires). Passworki juhtum näitab teist suveräänsuslünka: Euroopa sildi taha võib jääda läbipaistmatu omand ja kontroll. Saksamaa NIS2 juhised on selle juba juhtkonna vastutuseks tõstnud: tippjuhid ei saa tarnijate ligipääsu enam käsitleda tavalise IT-haldusena (ComplyCheck).

Kui usaldus paroolivaramu vastu kaob, on tarkvara eemaldamine alles algus. Kõiki selles hoitud paroole, sealhulgas administraatorikontosid ja masinate kasutatavaid salasõnu, tuleb käsitleda potentsiaalselt paljastatuna ning need tuleb välja vahetada. NIST-i nullusalduse raamistik hoiatab, et turvet ei tohi rajada ühele usaldatud kihile (NIST SP 800-207).

Kolm Iiri asutust ostsid 13 000 euro eest paroolihalduri. Euroopa sai selle kõrvale õppetunni: tarkvarahankes ei piisa hinnast ja Euroopa sildist, kui kontrollimata jääb tarneahel, mis valvab võtmeid.