Netrukus internete išplito QR kodai, kuriuos nuskaičius oficialia COVID-19 pažymėjimų tikrinimo programėle, matoma, kad Adolfas Hitleris, Peliukas Mikis, Kempiniukas Plačiakelnis ir keli kiti „vartotojai“ yra paskiepyti naujojo koronaviruso vakcina ir turi teisę naudotis visomis to teikiamomis privilegijomis.
Skelbimas internete
Ši informacija internete plačiau pasklido tada, kai spalio 24 d. programišių pamėgtame interneto forume (tame pačiame, kuriame buvo paskelbta bei pardavinėjama „CityBee“ vartotojų duomenų bazė) atsirado skelbimas: „už 300 eurų siūlau europinius COVID-19 pažymėjimus, kuriuose pažymėta, kad vakcinacija buvo įvykdyta Lenkijoje“. Skelbimą paskelbusio vartotojo vardas taip pat buvo lenkiškas: przedsiebiorca (liet. verslininkas).
Į skelbimą netrukus sureagavo kitas forumo vartotojas, pasivadinęs „sajyqy“ – jis paprašė kaip įrodymą sugeneruoti COVID-19 pažymėjimą Adolfo Hitlerio vardu ir pažadėjo, kad jei šis bus veikiantis, šią savaitę jis nusipirks penkis tokius pažymėjimus. „Jei to nepadarysi, manysiu, kad čia eilinis sukčiavimo (angl. scam, red. past.) atvejis“, – rašė vartotojas.
Vėliau, gavęs QR kodą, jis viešai pranešė: „Patvirtinta. Pažymėjimas praėjo patikrinimą“.
Tuo tarpu kitame populiariame interneto forume – 4chan – atsirado ir kitas panašus siūlymas. Tiesa, čia vartotojas teigė, kad raktai nebuvo nutekinti, tačiau esą galima rasti būdų, kaip sukurti sertifikatą naudojant oficialią internetinę formą, esančią internete.
Bet kitas vartotojas tvirtino, kad viešoji tarnyba iš tikrųjų nutekino sertifikatų kūrimo raktus ir kad jis surinko visus visų ES šalių raktus ir artimiausiomis dienomis juos paviešins.
Tačiau kaip pasakoja IT saugumo specialistas Mantas Sasnauskas, viskas prasidėjo dar kiek kitaip.
Kelios galimybės
„Pirmas dalykas – mačiau komentarus, kad raktai yra nutekėję, bet tai nėra patvirtintas dalykas. Asmeniškai abejočiau tokia įvykių versija – kad raktai buvo nutekinti. Galimybė yra, tačiau didesnė tikimybė, kad buvo paveikta posistemė, kuri saugo raktus – galbūt į tokią buvo įsibrauta“, – pasakoja specialistas.
Jis atkreipia dėmesį, kad pirmiausia informacija apie įvykį atsirado „GitHub“ platformoje.
Programinis raktas – tai sudėtinė programinės įrangos, leidžianti kurti įvairius sertifikatus, dalis. Ir pasak M.Sasnausko, šio incidento atveju identifikuota, kad fiktyviems pažymėjimams kurti buvo panaudoti lenkiški, prancūziški, vokiški, o daugiausia – Šiaurės Makedonijos raktai.
Tačiau kaip pasakoja lietuvis, vėliau tarptautinė IT saugumo bendruomenė pradėjo tikrinti, ar kartais serveriai, kuriuose saugojami tokie raktai, nėra atviri – ir aptikto, kad keli iš tiesų tokie ir yra, apie ką ir pranešė tų šalių valdžios atstovams.
Atviras serveris – tai serveris, į kurį patekimas nėra apsaugotas, ir prie jo prisijungti gali bet kas, kas turi pakankamai informacinių technologijų žinių. Tam net nereikia vykdyti įsilaužimo – patekimas į serverį būna atviras, arba kai kuriais atvejais su pernelyg lengvai atspėjamais prisijungimo duomenimis (pavyzdžiui, vartotojo vardu „admin“, o slaptažodžiu „1234“).
„Manyčiau, kad didesnė tikimybė, jog buvo įsilaužta ar tiesiog patekta į platformą, kur saugomi tie raktai – bet tai gana didelė spekuliacija“, – svarsto M.Sasnauskas.
Jo teigimu, galimai nukentėjusios valdžios institucijos apie pažeidimus jau žino ir tiria atvejus – ir jei vis dėlto sertifikatai būtent nutekėjo, tai turėtų turėti būti įmanoma atsekti pagal įvykių sekimo ir registravimo (angl. logging, red. past.) reglamentus – pagal tai galima būtų nustatyti, kurie sertifikatai nebuvo išduoti oficialių atstovų.
M. Sasnauskas pasakoja, kad teisės aktuose yra numatyta, jog ES „Žalieji pasai“ gali būti atšaukti, ir kai kurie iš paskelbtų jau tokiais ir yra, nebegaliojantys. „Jei paaiškės, kad raktai buvo sukompromituoti, jie bus paversti negaliojančiais ir programėlė tiesiog parodys pranešimą, kad reikia persikurti ES „Žaliąjį pasą“, – aiškina IT saugumo specialistas.
Lietuvoje už tokios operacijos įvykdymą būtų atsakingas Registrų centras.
Anot M.Sasnausko, galima preliminariai identifikuoti, kad trečiadienio vakarą ir naktį fiktyvius ES „Žaliuosius pasus“ platino ir siūlė įsigyti trys skirtingi asmenys – nors tai sunku patvirtinti, gali būti ir vienas ar daugiau. Jis atkreipia dėmesį, kad vienas „Hitleris“ buvo pasirašytas lenkišku raktu, kitas – Šiaurės Makedonijos, kaip ir Kempiniuko Plačiakelnio sertifikatas.
Paklaustas, kaip reikėtų vertinti šį incidentą – ar tai yra rimtas ir didelę žalą padaręs nutikimas – M.Sasnauskas teigia, kad vertinti dar anksti, nes iki šiol tiksliai nežinoma, kas įvyko.
„Viskas priklauso nuo to, kas iš tiesų čia nutiko. Šiandien ar rytoj turėtume sulaukti oficialios informacijos iš valdžios institucijų, šiuo metu jos greičiausiai pačios tiria, kas per incidentas įvyko, ir netrukus sulauksime žinių. Bet kalbant apie padarinius – reikėtų žiūrėti iš privatumo klausimo pusės. Pirmas dalykas – negerai, kad galima nusipirkti ES „Žaliąjį pasą“. Bet iš kitos pusės – jei sertifikatai bus atšaukti ir bus paprašyta juos persikurti iš naujo, tokie parduotieji ar kitaip nelegaliai gautieji nebegalios, ir tiek. Bet viskas priklauso nuo to, kas iš tiesų įvyko. Nes jei čia nutiko atvirų serverių atvejis – kas reiškia, kad kiekvienas skenuodamas priėjimus prie tokių serverių gali aptikti neužvertus priėjimus ir pasiekti įrankius, leidžiančius generuoti sertifikatus – tada tai yra visai kita problema“, – teigia IT saugumo specialistas.
