Airijos agentūros pirko FSB ryšių turinčią programinę įrangą

Trys Airijos valstybės institucijos neseniai iš viso išleido 13 281 € slaptažodžių tvarkyklei „Passwork“ (Irish Times). Suma per maža, kad viešųjų pirkimų sistemoje sukeltų didesnį dėmesį. Tačiau už ją įsigytas įrankis saugojo slaptažodžius, kuriais darbuotojai jungiasi prie vidaus sistemų, debesijos platformų ir administravimo paskyrų.

Kas valdo raktų ryšulį

OCCRP, Suomijos „Yle“, „Le Monde“ ir „The Irish Times“ atliktas tarptautinis tyrimas „Passwork“ įmonių grandinę susiejo su Rusijos steigėjais (Yle). Susijusi bendrovė turėjo Rusijos FSB žvalgybos tarnybos ir FSTEC, su gynyba bei techninio eksporto kontrole siejamos institucijos, licencijas (Le Monde). „Passwork“ save pristatė kaip Europoje veikiančią, „suomiškų šaknų“ turinčią įmonę. Jos Suomijos padalinys veikė 2017–2024 m., vėliau pardavimai vyko per Ispanijos bendrovę. Visos trys Airijos institucijos teigė maniusiusios, kad perka iš ES tiekėjo (Irish Times).

Tyrėjai nerado įrodymų, kad europinėje versijoje būtų buvę galinės durys, tai yra paslėptas kodas, leidžiantis apeiti įprastas saugumo priemones, ar kad klientų duomenys būtų buvę pažeisti (Yle). Ši skirtis svarbi. Tačiau slaptažodžių tvarkyklės atveju rizika vertinama ne tik pagal tai, kas jau įvyko, bet ir pagal tai, kas galėtų įvykti.

Slaptažodžių tvarkyklė — pagrindinis raktų ryšulys. Elektroninis paštas, duomenų bazės, debesijos paslaugos ir administravimo skydai — durys, o slaptažodžių tvarkyklė laiko jų raktų kopijas. JAV kibernetinio saugumo agentūra CISA tokius įrankius apibūdina kaip būdą naudoti stipresnius ir unikalius slaptažodžius, tačiau ta pati centralizacija visą riziką sutelkia vienoje vietoje (CISA). Pažeista skaičiuoklės programa sutrikdo vieną darbo procesą. Pažeista prisijungimo duomenų saugykla atveria kelius į viską, ką ji saugo.

Viena institucija „Passwork“ pasirinko todėl, kad įrankį buvo galima paleisti jos pačios serveryje, o ne debesijoje. Vietinis diegimas iš tiesų apriboja dalį duomenų srautų. Tačiau slaptažodžių tvarkyklės kodas vis tiek atnaujinamas per tiekėjo kontroliuojamus kanalus, kuriais po įdiegimo į sistemą patenka naujas kodas. Pagalbos kanalai ir konfigūracijos nustatymai taip pat lieka pasitikėjimo ryšiais, gyvuojančiais ilgiau nei pirminis diegimas (Le Monde). Jei bent vienas iš šių kanalų pažeidžiamas, vien vietinis talpinimas neapsaugo saugykloje esančių paslapčių.

Europa taisykles turi, bet jų nepanaudojo

„ES registruota“ reiškia įmonės registracijos faktą, ne saugumo garantiją. Europa jau turi priemonių programinės įrangos patikimumui tikrinti. ENISA kibernetinio saugumo sertifikavimo sistema numato nepriklausomą programinės įrangos produktų vertinimą (ENISA). 2024 m. priimtas Kibernetinio atsparumo aktas slaptažodžių tvarkykles priskiria prie produktų, kuriems prieš patenkant į ES rinką turi būti dokumentuotos saugumo kontrolės priemonės (CRA). Prancūzijos nacionalinė kibernetinio saugumo agentūra rekomenduoja rinktis formaliai sertifikuotus produktus; „Passwork“ tokio sertifikato neturėjo. NIS2 direktyva atskirai reikalauja, kad į jos taikymo sritį patenkančios organizacijos vertintų tiekėjų saugumo praktiką, o ne tik sąskaitas faktūras (NIS2).

Iš iki šiol viešai pateiktų atsakymų matyti, kad institucijos, regis, daug rėmėsi tiekėjo europine tapatybe. Viešųjų pirkimų komandos tokiais atvejais turėtų klausti, kas kontroliuoja kodą, kas gali siųsti atnaujinimus, kas dirba pagalbos kanaluose ir koks nepriklausomas saugumo vertinimas atliktas.

Suomijos Supo ir karinė žvalgyba 2026 m. liepą perspėjo, kad Rusijos FSB kibernetinis šnipinėjimas aktyviai taikosi į Suomijos įmones per prastai apsaugotus verslo tinklo įrenginius (Supo, Kyberturvallisuuskeskus). Šie perspėjimai nėra susiję konkrečiai su „Passwork“, bet jie paaiškina, kodėl produktas, kurio susijusi įmonė turėjo FSB licenciją, turėjo patekti į rimtą tiekėjo rizikos vertinimą.

Prancūzijos parlamentas neseniai įvertino, kad apie 80 % viešojo sektoriaus programinės įrangos pirkimų per šalies centrinę pirkimų agentūrą tenka JAV leidėjams, arba maždaug 1,5 mlrd. € per metus neeuropinei programinei įrangai (Banque des Territoires). „Passwork“ atvejis parodo kitą skaitmeninio suvereniteto spragą — neaiškią nuosavybę už europinių etikečių. Vokietijos NIS2 gairės jau perkėlė šią atsakomybę į vadovų lygmenį: tiekėjų prieiga nebegali būti laikoma tik IT ūkio priežiūra (ComplyCheck).

Kai pasitikėjimas prisijungimo duomenų saugykla žlunga, programos pašalinimas tėra pradžia. Visi joje laikyti slaptažodžiai, įskaitant administratorių prisijungimus ir mašinų, o ne žmonių naudojamus slaptažodžius, turi būti laikomi galimai atskleistais ir pakeisti. NIST nulinio pasitikėjimo sistema įspėja nepasikliauti vienu patikimu sluoksniu (NIST SP 800-207).

Trylika tūkstančių eurų trims Airijos institucijoms nupirko slaptažodžių tvarkyklę. Europai tai kartu tapo pavyzdžiu, kas nutinka, kai viešasis pirkimas patikrina kainą ir etiketę, bet ne tiekimo grandinę, stovinčią už programinės įrangos, saugančios raktus.