Čo odhalila testovacia verzia

Nový portál českého obchodného registra bol dostupný v overovacej prevádzke. Redakcia iROZHLAS.cz pri jeho testovaní zistila, že technická odpoveď systému obsahovala rodné čísla a identifikátory AIFO osôb zapísaných pri firmách a ďalších právnických subjektoch. Reportéri zároveň overili, že zmenou číselného identifikátora dokumentu sa dalo dostať aj k niektorým listinám, ktoré nemali byť verejne prístupné. Nešlo teda len o teoretické upozornenie na možnú chybu. Zdroj: Overenie redakcie iROZHLAS.cz

Rodné číslo je citlivý osobný identifikátor. AIFO je kód používaný na jednoznačné určenie človeka pri spracúvaní údajov vo verejnej správe. Zverejnenie takýchto údajov môže zvýšiť riziko podvodného vydávania sa za inú osobu, cielenejšieho phishingu alebo spájania údajov z viacerých zdrojov. Samotná dostupnosť údajov však ešte nedokazuje, že ich niekto hromadne stiahol alebo zneužil.

Čo potvrdzuje ministerstvo — a čo zostáva otvorené

České ministerstvo spravodlivosti uviedlo, že rodné čísla ani AIFO neboli zobrazené v bežných stránkach, výpisoch či výsledkoch vyhľadávania. Podľa jeho doterajších informácií boli súčasťou technickej odpovede servera a ich zistenie si vyžadovalo cielené otvorenie alebo volanie príslušného rozhrania mimo štandardného používateľského prostredia. Je to dôležitá nuansa: nezávislé testovanie potvrdilo, že sa k údajom dalo dostať, no verejné opisy sa líšia v tom, aké jednoduché to bolo a či to možno označiť za prístup pri bežnom používaní. Zdroj: Stanovisko českého ministerstva spravodlivosti

Po upozornení ministerstvo obmedzilo dotknutú časť systému a následne testovací portál vyplo. O veci informovalo český Národný úrad pre kybernetickú a informačnú bezpečnosť aj Úrad na ochranu osobných údajov. Existujúci obchodný register podľa ministerstva naďalej fungoval bez obmedzenia. Rezort zároveň uviedol, že zatiaľ nevie potvrdiť počet dotknutých ľudí ani to, či tretie strany údaje skutočne získali; vyšetrovanie pokračuje a nepotvrdilo masívny únik. Zdroj: Aktuálne vyjadrenie ministerstva

Prípad pripomína, že označenie „testovací“ samo osebe nechráni reálne dáta. Ak testovacie prostredie používa skutočné záznamy alebo je napojené na živé služby, chyby v prístupových kontrolách môžu mať rovnaké následky ako v produkcii. Rovnako dôležité je rozlišovať medzi údajom, ktorý bol technicky dostupný, údajom, ku ktorému sa niekto dostal, a potvrdeným zneužitím. Pri tomto prípade prvé dve chyby podľa reportérov existovali; rozsah získania údajov ministerstvo stále preveruje.

Pre bežného čitateľa je podstatné, že išlo o testovaciu verziu pripravovaného portálu, nie o zlyhanie celého českého obchodného registra. Zároveň však test bežal verejne a obsahoval údaje skutočných osôb. Aj systém, ktorý má byť iba dočasne otvorený na spätnú väzbu, potrebuje rovnaké rozhodnutia o tom, ktoré dáta smie spracúvať, komu ich ukazuje a ako sa jeho činnosť zaznamenáva. Označenie „test“ nenahrádza kontrolu prístupov ani ochranu osobných údajov.

Rozdiel medzi zobrazením údajov v stránke a ich prítomnosťou v odpovedi servera je technický, pre organizáciu však nie je dôvodom na menšiu pozornosť. Prehliadač môže skryť pole, ktoré rozhranie nepotrebuje vykresliť, no klient ho stále dostane. Podobne môže byť dokument označený nepredvídateľným číslom, ale bez kontroly vlastníctva alebo oprávnenia. Bezpečnostná kontrola preto musí skúšať aj priame požiadavky na server, meniť identifikátory a overovať, či používateľ dostane iba záznam, na ktorý má nárok.

Rýchle obmedzenie prístupu pomáha zmenšiť ďalšie vystavenie, ale samo neodpovedá na otázky, či boli údaje predtým stiahnuté, kto k nim pristupoval a či sa objavili inde. Na to sú potrebné serverové záznamy, ich uchovanie a vyhodnotenie v kontexte času, účtov a objemu požiadaviek. Oznámenie incidentu príslušným úradom je súčasťou reakcie; neznamená však, že vyšetrovanie už určilo rozsah alebo zodpovednosť. Tieto závery treba odložiť, kým ich vyšetrovanie nepotvrdí.

Tri praktické kroky pre firmy

  1. Používajte v testoch fiktívne alebo dôsledne anonymizované údaje. Testovacie prostredie oddeľte od produkčných databáz a obmedzte mu prístup k živým službám.
  2. Overujte oprávnenia na každom rozhraní servera. Nestačí skryť údaj v používateľskom rozhraní; kontrola prístupu musí platiť aj pri priamom volaní API a pri zmene identifikátora záznamu.
  3. Monitorujte prístupy a nacvičte reakciu na odhalenie chyby. Zaznamenávajte neobvyklé hromadné požiadavky, určte vlastníka incidentu a pripravte postup na obmedzenie prístupu, uchovanie dôkazov a informovanie zodpovedných osôb.

Pre organizáciu je užitočné vedieť, či jej testovacie systémy naozaj obsahujú iba testovacie údaje a či každé rozhranie kontroluje oprávnenia. Zdroj: Porovnanie prípadu a reakcií v Živé.sk

Zdroje