Īrijas iestādes pirka rīkus ar FSB saitēm

Trīs Īrijas valsts iestādes nesen kopā iztērēja 13 281 € paroļu pārvaldniekam Passwork (Irish Times). Summa bija pietiekami maza, lai iepirkumā neiedegtos trauksmes signāli. Taču par šo naudu iestādes ieguva rīku, kurā glabājas paroles piekļuvei iekšējām sistēmām, mākoņpakalpojumiem un administratīvajiem kontiem.

Kas tur atslēgu saišķi

OCCRP, Somijas Yle, Le Monde un The Irish Times kopīgā izmeklēšana izsekoja Passwork korporatīvo ķēdi līdz dibinātājiem Krievijā (Yle). Saistītam uzņēmumam bija licences no Krievijas Federālā drošības dienesta jeb FDD un FSTEC — institūcijas, kas saistīta ar aizsardzību un tehniskā eksporta kontroli (Le Monde). Passwork sevi tirgoja kā Eiropas uzņēmumu ar „somu saknēm”. Tā Somijas struktūra darbojās no 2017. līdz 2024. gadam, bet vēlāk pārdošana notika caur Spānijas uzņēmumu. Visas trīs Īrijas iestādes norādīja, ka uzskatījušas — tās pērk no ES piegādātāja (Irish Times).

Izmeklētāji neatrada pierādījumus, ka Eiropas versijā būtu bijusi slēpta piekļuves iespēja — kods, kas ļauj apiet parastos drošības mehānismus — vai ka klientu dati būtu kompromitēti (Yle). Šī robežšķirtne ir būtiska. Tomēr paroļu pārvaldnieka gadījumā jautājums nav tikai par to, kas jau noticis, bet arī par to, kas tehniski varētu notikt.

Paroļu pārvaldnieks ir galvenais atslēgu saišķis. E-pasts, datubāzes, mākoņpakalpojumi un administratoru paneļi ir durvis; paroļu pārvaldnieks glabā šo durvju atslēgu kopijas. ASV Kiberdrošības un infrastruktūras drošības aģentūra CISA šādus rīkus apraksta kā veidu, kā lietot stiprākas un unikālas paroles, taču tā pati centralizācija nozīmē, ka risks tiek sakoncentrēts vienā vietā (CISA). Kompromitēta izklājlapu programma traucē vienai darba plūsmai. Kompromitēta paroļu glabātava dod ceļus uz visu, ko tā aizsargā.

Viena no iestādēm Passwork izvēlējās tāpēc, ka rīku varēja darbināt uz pašas iestādes servera, nevis mākonī. Lokāla programmatūras uzturēšana ierobežo daļu datu plūsmu. Taču paroļu pārvaldnieka kods joprojām tiek atjaunināts pa kanāliem, kurus kontrolē piegādātājs; tieši pa šiem kanāliem sistēmā pēc uzstādīšanas ienāk jauns kods. Arī atbalsta kanāli un konfigurācijas iestatījumi ir uzticēšanās attiecības, kas turpinās pēc sākotnējās ieviešanas (Le Monde). Ja kāds no šiem kanāliem tiek kompromitēts, vietējais serveris pats par sevi nepasargā tajā glabātos noslēpumus.

Eiropai ir noteikumi, bet tie netika izmantoti

„ES bāzēts” ir ieraksts uzņēmumu reģistrā, nevis drošības garantija. Eiropai jau ir instrumenti, ar kuriem pārbaudīt programmatūras uzticamību. ENISA kiberdrošības sertifikācijas ietvars paredz neatkarīgu programmatūras produktu izvērtēšanu (ENISA). 2024. gadā pieņemtais Kibernoturības akts paroļu pārvaldniekus iekļauj produktu grupā, kurai pirms nonākšanas ES tirgū jābūt dokumentētām drošības kontrolēm (CRA). Francijas nacionālā kiberdrošības aģentūra iesaka lietot produktus ar formālu drošības sertifikāciju; Passwork tādas nebija. Savukārt NIS2 direktīva organizācijām, uz kurām tā attiecas, prasa vērtēt piegādātāju drošības praksi, ne tikai rēķinu summas (NIS2).

No līdzšinējām publiskajām atbildēm izriet, ka iestādes lielā mērā paļāvās uz piegādātāja Eiropas identitāti. Iepirkumu komandām jāvaicā, kas kontrolē kodu, kas var izplatīt atjauninājumus, kas apkalpo atbalsta kanālus un vai produktam ir neatkarīgs drošības izvērtējums.

Somijas drošības policija Supo un militārā izlūkošana 2026. gada jūlijā brīdināja, ka Krievijas FDD kiberspiegošana aktīvi vēršas pret Somijas uzņēmumiem, izmantojot vāji aizsargātas uzņēmumu tīkla ierīces (Supo, Kyberturvallisuuskeskus). Šie brīdinājumi nav par Passwork konkrēti. Tie parāda, kāpēc produkts, kura saistītam uzņēmumam bijusi FDD licence, piegādātāju riska izvērtējumā jāskata nopietni.

Francijas parlaments nesen aplēsa, ka aptuveni 80 % publiskā sektora programmatūras pirkumu caur valsts centrālo iepirkumu aģentūru nonāk pie amerikāņu izdevējiem; tas ir ap 1,5 mljrd. € gadā par ārpus Eiropas radītu programmatūru (Banque des Territoires). Passwork gadījums atklāj otru digitālās suverenitātes robu: neskaidru īpašnieku struktūru aiz Eiropas etiķetes. Vācijas NIS2 vadlīnijas šo jautājumu jau pārcēlušas valžu līmenī — augstākā vadība piegādātāju piekļuvi vairs nevar uzskatīt par IT nodaļas saimniecisku detaļu (ComplyCheck).

Ja uzticība paroļu glabātavai sabrūk, programmatūras atinstalēšana ir tikai sākums. Visas tajā glabātās paroles, tostarp administratoru akreditācijas dati un paroles, ko izmanto nevis cilvēki, bet sistēmas, jāuzskata par potenciāli atklātām un jānomaina. NIST nulles uzticēšanās ietvars brīdina nepaļauties uz vienu uzticamu aizsardzības slāni (NIST SP 800-207).

Trīspadsmit tūkstoši eiro trim Īrijas iestādēm nopirka paroļu pārvaldnieku. Eiropai tas vienlaikus nopirka mācību piemēru: programmatūras iepirkumā nepietiek pārbaudīt cenu un etiķeti, ja aiz rīka, kas glabā atslēgas, paliek nepārbaudīta piegādes ķēde.