O tym, że Sąd Okręgowy w Częstochowie chce umyć ręce po ataku na swój BIP

Włamanie do tego sądu wygląda na typowe włamanie oportunistyczne - włamali się nie dlatego, że bardzo chcieli, tylko dlatego, że się dało. Takie włamanie są robione masowo i zaczyna się je od wyszukania w Google stron zawierających specyficzną podatność. Ich ofiarami padają przede wszystkim serwisy, których właściciele miesiącami zaniedbywali elementarne aktualizacje w oprogramowaniu i serwerze.

Innymi słowy, kilkudniowe SLA powinno w zupełności wystarczyć by uniknąć losu stron-sierotek, które miesiącami dają się indeksować i rozgłaszają tym samym swoją dziurawość.

Od blokowania nowych ataków są firewalle webowe (WAF) i systemy wykrywania włamań (IDS/IPS). Od szybkiego wykrywania udanych włamań - systemy kontrolujące integralność systemu (np. OSSEC). Ich obecność, częstotliwość aktualizacji oraz konfiguracja również może być przedmiotem SLA.

Jak się chce to się da. Ktoś z administracji mi kiedyś tłumaczył, że on w swoim powiatowym urzędzie nie ma budżetu na systemy IDS, IPF czy WAF, i dlatego właśnie musi kupować najtańszy hosting u lokalnego providera - "wicie, rozumicie, taka specyfika i realia".

Teraz bym go spytał spytał, jakim cudem rozproszone organizacje na całym świecie od lat tworzą w takich przypadkach współdzielone centra danych, kolokację itd, a jedynie dla polskiej administracji wydaje się to być problem absolutnie nie do przezwyciężenia (podobnie jak udostępnianie plików?

-
Paweł Krawczyk
IPSec.pl - Podpis elektroniczny i bezpieczeństwo IT
Echelon.pl - Blog o gospodarce, konkurencyjności i sprawach społecznych

Co natomiast, gdyby haker zdecydował się podmienić jeden starannie wybrany dokument? Co z decyzjami podjętymi przez obywateli na podstawie tak zmienionego dokumentu?

No właśnie, i jeszcze dodatkowo co natomiast, gdyby ten serwer stał sobie w Indiach albo na Wyspie Jersey, więc nie można by z niego wyjąć dysku twardego i dać biegłemu do analizy (ani nie można by poprosić o to służb tego kraju, gdzie on stoi), ani w żaden inny sposób ustalić kto, kiedy i z jakiego adresu IP dokonywał ingerencji w treści na nim zamieszczone.

To ciekawe pytanie i pokazuje realny problem, z którym nasz ustawodawca nie potrafi sobie poradzić od przynajmniej 15 lat bo nadal mentalnie siedzi w świecie niebieskiego długopisu i pieczątki.

W chwili obecnej zaufanie obywateli do jakiegokolwiek dokumentu wystawionego na stronie BIP opiera się tylko i wyłącznie na tym, że leży on zwykle w domenie gov.pl i jest na nim napisane "Urząd Jakiśtam". Nawet SSL nie stosują, więc użytkownicy tych stron sa podatni na ataki na DNS czy MITM.

W tej sytuacji tylko liczeniu na łut szczęścia i nieświadomości można przypisać zaufanie obywateli korzystających z informacji publikowanych na stronach urzędów.

Gwoli ścisłości, w Dziennikach Ustaw dokonał się ostatnio postęp i 10 lat po wprowadzeniu ustawy o podpisie elektronicznym są one w końcu publikowane w postaci podpisanej.

I to jest właściwa forma zapewniania autentyczności dokumentów publikowanych w postaci pliku PDF, bo w przeciwnym razie urząd może wystawić wersję poprawną, a podmiana dokona się na lokalnym komputerze ofiary i nikt tego nie zauważy.

--
Paweł Krawczyk
IPSec.pl - Podpis elektroniczny i bezpieczeństwo IT
Echelon.pl - Blog o gospodarce, konkurencyjności i sprawach społecznych

Nie jest prawdą, że nie istnieją skuteczne metody ochrony przed hakerami, crakerami itd. Takie metody istnieją i są przeważnie dość kosztowne. Audyt przeprowadza się po to, aby zbadać czy ustalony wcześniej poziom bezpieczeństwa jest dotrzymany czy nie, ale również żeby wskazać inne ryzyka dla powodzenia zadania i ocenić jego wielkość. Jeżeli poziom bezpieczeństwa jest dotrzymany, to ktoś rzeczywiście miał pecha. Umowa jest m.in. po to aby regulować, kto ponosi koszty przywrócenia do stanu pierwotnego i w jakim czasie ma to wykonać. Ale jeżeli umowne obietnice nie zostały zrealizowane, np. nie są wgrane patche, domyślna konfiguracja, itd. to wykonawca nadstawia tylnią część ciała aż miło.

Wydaje mi się, że prawa autorskie nie zależą od tego gdzie zamieszczono zdjęcie. Prawa autorskie ze wszystkimi tego konsekwencjami istnieją zawsze niezależnie od miejsca zamieszczenia zdjęcia. Tak więc nawet jeśli zdjęcie będzie zamieszczone na stronie urzędu to nie można go sobie ot tak zamieszczać na swojej stronie.