Irski organi kupili rusko tvegano orodje

Tri irske državne agencije so pred kratkim skupaj porabile 13.281 evrov za upravljalnik gesel Passwork (Irish Times). Znesek je bil dovolj nizek, da ni sprožil resnejšega javnonaročniškega alarma. Za ta denar pa niso kupile navadnega pisarniškega programa, temveč orodje, ki hrani gesla zaposlenih za dostop do notranjih sistemov, oblačnih platform in skrbniških računov.

Kdo stoji za obeskom s ključi

Čezmejna preiskava OCCRP, Yle, Le Monde in The Irish Times je lastniško verigo Passworka povezala z ruskimi ustanovitelji (Yle). Sestrska družba je imela licence ruske obveščevalne službe FSB in FSTEC, organa, povezanega z obrambo in nadzorom izvoza občutljive tehnologije (Le Monde). Passwork se je tržil kot evropsko podjetje s finskimi koreninami. Njegova finska družba je delovala med letoma 2017 in 2024, poznejša prodaja pa je potekala prek španskega podjetja. Vse tri irske agencije so sporočile, da so bile prepričane, da kupujejo od dobavitelja iz EU (Irish Times).

Preiskovalci niso našli dokazov, da bi evropska različica vsebovala stranska vrata, torej skrito kodo za obid običajnih varnostnih pravil, ali da bi bili podatki strank ogroženi (Yle). Ta razlika je pomembna. Pri upravljalniku gesel pa vprašanje ni samo, kaj se je zgodilo, temveč tudi, kaj bi se lahko zgodilo.

Upravljalnik gesel je glavni obesek s ključi. E-pošta, podatkovne zbirke, oblačne storitve in skrbniške plošče so vrata; upravljalnik hrani kopije ključev zanje. Ameriška agencija CISA takšna orodja opisuje kot način za uporabo močnejših in enkratnih gesel, toda ista centralizacija tveganje zbere na enem mestu (CISA). Ogroženo orodje za preglednice prekine en delovni tok. Ogrožen trezor poverilnic lahko odpre poti v vse sisteme, ki jih varuje.

Ena od agencij je Passwork izbrala tudi zato, ker ga je lahko namestila na svoj strežnik, ne v oblak. Lokalno gostovanje res omeji nekatere tokove podatkov. Toda koda upravljalnika gesel se še vedno posodablja po kanalih, ki jih nadzoruje dobavitelj; prav po njih nova koda vstopa v sistem po namestitvi. Tudi podpora uporabnikom in nastavitve konfiguracije ostanejo razmerja zaupanja, ki trajajo dlje od prve namestitve (Le Monde). Če se ogrozi kateri od teh kanalov, lokalno gostovanje samo po sebi ne zaščiti skrivnosti v trezorju.

Evropa ima pravila, a jih ni uporabila

»S sedežem v EU« je podatek o registraciji podjetja, ne varnostno jamstvo. Evropa že ima instrumente za preverjanje zaupanja v programsko opremo. Okvir ENISA za certificiranje kibernetske varnosti omogoča neodvisno ocenjevanje programskih izdelkov (ENISA). Akt o kibernetski odpornosti, sprejet leta 2024, upravljalnike gesel uvršča med izdelke, za katere morajo biti pred vstopom na trg EU dokumentirani varnostni nadzori (CRA). Francoska nacionalna agencija za kibernetsko varnost priporoča izdelke s formalnim varnostnim certifikatom, ki ga Passwork ni imel. Direktiva NIS2 posebej zahteva, da zajete organizacije preverjajo varnostne prakse svojih dobaviteljev, ne le njihovih računov (NIS2).

Po dosedanjih javnih odzivih se zdi, da so se agencije močno oprle na evropsko identiteto dobavitelja. Nabavne službe bi morale spraševati, kdo nadzoruje kodo, kdo lahko pošilja posodobitve, kdo upravlja podporne kanale in kakšen neodvisen varnostni pregled je bil opravljen.

Finska varnostno-obveščevalna služba Supo in vojaška obveščevalna služba sta julija 2026 opozorili, da rusko kibernetsko vohunjenje FSB dejavno cilja finska podjetja prek slabo zaščitenih omrežnih naprav v podjetjih (Supo, Kyberturvallisuuskeskus). Ta opozorila se ne nanašajo posebej na Passwork, kažejo pa, zakaj mora izdelek s sestrsko družbo, ki je imela licenco FSB, končati v resnem pregledu dobaviteljskega tveganja.

Francoski parlament je nedavno ocenil, da približno 80 odstotkov javnih nakupov programske opreme prek osrednje državne nabavne agencije pripade ameriškim založnikom, kar pomeni okoli 1,5 milijarde evrov na leto za neevropsko programsko opremo (Banque des Territoires). Primer Passwork razkriva še drugo vrzel digitalne suverenosti: nepregledno lastništvo za evropskimi oznakami. Nemške smernice za NIS2 so to že postavile med odgovornosti vodstev podjetij, kjer dostopa dobaviteljev ni več mogoče obravnavati kot rutinskega opravila oddelka IT (ComplyCheck).

Ko se zaupanje v trezor poverilnic poruši, odstranitev programske opreme pomeni šele začetek. Vsako geslo, ki ga je hranil, vključno s skrbniškimi poverilnicami in gesli, ki jih uporabljajo stroji namesto ljudi, je treba obravnavati kot potencialno razkrito in ga zamenjati. Okvir ničelnega zaupanja ameriškega NIST opozarja, da se organizacije ne smejo zanašati na eno samo plast zaupanja (NIST SP 800-207).

Trinajst tisoč evrov je trem irskim agencijam kupilo upravljalnik gesel. Evropi pa je prineslo študijo primera, kaj se zgodi, ko javno naročanje preveri ceno in oznako, ne pa dobavne verige za programsko opremo, ki varuje ključe.