Как я «взломал» госпортал НПА и… ничего

в 13:12, , рубрики: госпортал, информационная безопасность, уязвимость
Как я «взломал» госпортал НПА и… ничего - 1

«Приходите когда убьют» – принцип инфобеза в госсекторе. Как пользователи Портала для размещения НПА могут попасть в чужую учетку и почему это не беспокоит поддержку портала.

Мы в ОД «Информация для всех» не только критикуем законодательные инициативы, но и предлагаем свое видение, как их можно улучшить, тем более что государство предоставило для этого такой удобный инструмент, как Федеральный портал проектов нормативных правовых актов (кому интересно – можете почитать там наш свежий отзыв на проект требований к обеспечению доступности госсайтов для людей с ограниченными возможностями, в основу которого положен все тот же кривой ГОСТ; для незарегистрированных – тот же текст у нас на сайте).

И вот однажды захожу я на этот портал, ввожу логин-пароль и открывается удивительная картина:

Как я «взломал» госпортал НПА и… ничего - 2

Войдя в свою учетку «общественника» я оказался в учетке сотрудника одного из федеральных органов исполнительной власти. Для полноты картины побродил по ссылкам, убедился, что могу просматривать размещенные им проекты НПА, уведомления и т.д. Потом вспомнил, что диспозиция ст.272 УК РФ описывает последствия, но ничего не говорит о мотивах возбраняемого деяния, поэтому удержался от соблазна – исключительно в исследовательских целях, разумеется – разместить проект какого-нибудь искрометного НПА от имени ничего не подозревающего ФОИВ.

Подобрав челюсть с пола, перелогинившись и оказавшись уже в своей учетке, начал бить в набат: написал в поддержку портала, в Национальный координационный центр по компьютерным инцидентам (НКЦКИ) и самому сотруднику ФОИВ, в чью учетку я неожиданно вломился. Вспомнил про существование ст.13.12.1 КоАП РФ, которая предусматривает а-та-ташеньки за нарушение требований к обеспечению функционирования или безопасности объектов критической информационной инфраструктуры (КИИ), и добавил к списку адресатов ФСТЭК, уполномоченную возбуждаться по упомянутой статье.

Как думаете, кто из адресатов хоть как-то возбудился? НКЦКИ отреагировал автоматическим письмом, что информация принята к сведению. ФСТЭК сообщил, что Федеральный портал проектов нормативных правовых актов не является информационной системой, функционирующей в сферах, определенных Федеральным законом «О безопасности критической информационной инфраструктуры Российской Федерации», следовательно не является объектом КИИ.

Так ли это на самом деле?

Согласно ст.2 Федерального закона от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», объектам КИИ являются информационные системы субъектов КИИ, а к субъектам КИИ относятся госорганы, которым принадлежат информационные системы в сфере здравоохранения, науки, транспорта, связи, энергетики, финансов, ТЭК, атомной энергии, оборонной, ракетно-космической, горнодобывающей, металлургической и химической промышленности.

Оператором Федерального портала проектов НПА, увы, является Минэкономразвития, а не Минцифра, а выпуск общественниками пара в свисток – не считается отраслью энергетики.

Поддержка портала и вовсе ничего не ответила и, насколько можно судить, до сих пор не удосужилась даже прочесть мое сообщение.

Как я «взломал» госпортал НПА и… ничего - 3

Отреагировал только владелец учетки: поблагодарил за информацию и сообщил, что сам попадал в такую ситуацию – нежданно-негаданно оказался в чужой учетке. Давно ли дело было? – полюбопытствовал я. Месяца четыре назад, – ответил мой собеседник, – но я пару раз перезагрузил страницу и мой аккаунт вернулся в норму. Отписался в поддержку, на что мне ответили: ну раз у вас все вернулась в норму то и проблемы нет, чтобы открывать инцидент.

Как я «взломал» госпортал НПА и… ничего - 4

И впрямь, чего инцидент зря открывать? Когда портал целиком рухнет – тогда и откроют.

Автор:
ifap

Источник


* - обязательные к заполнению поля


https://ajax.googleapis.com/ajax/libs/jquery/3.4.1/jquery.min.js