БЕЗОПАСНОСТЬ

Шумиха вокруг Всероссийской переписи населения до сих пор не утихла. Одна из горячо дискутируемых тем - защита собранных данных. Многие опасаются, что данные о населении будут использованы, например, криминальным миром, военкоматами для розыска уклоняющихся от призыва, выселения нелегальных мигрантов, этнических чисток и т. п. Однако самая большая опасность, по мнению многих, исходит от различных спецслужб, в том числе налоговых органов. Поэтому реклама переписи сопровождалась выступлениями различных политиков и других официальных лиц, гарантирующих сохранность собранных данных и невозможность доступа к ним даже спецслужб. В частности, по словам депутата Горячевой, доступ к переписным документам будет иметь ограниченный круг людей, которые в соответствии с нормативно-правовыми актами российского правительства несут ответственность за сохранение конфиденциальности переписных листов и обобщенных данных. Значительная часть официального сайта “Перепись-2002” (www.perepis2002.ru) посвящена именно этому.

Понимая всю важность конфиденциальности сведений о населении, правительство уделило немало внимания этому вопросу в законах и подзаконных актах, касающихся переписи. Например, 8-я статья федерального закона РФ “О Всероссийской переписи населения” гласит:

“1. Сведения о населении, содержащиеся в переписных листах, являются конфиденциальной информацией, не подлежат разглашению (распространению) и используются в целях формирования соответствующих федеральных информационных ресурсов.

2. Обработка сведений о населении, содержащихся в переписных листах, осуществляется в условиях, обеспечивающих их защиту от несанкционированного доступа и предотвращение их хищения, утраты, подделки или иного искажения”.

Как сказано на сайте “Перепись-2002”: “+для решения вопросов защиты информации Всероссийской переписи населения 2002 года на этапах сбора конфиденциальных сведений, их обработки, хранения и публикации итогов создается межведомственная рабочая группа”, а в Постановлении Правительства № 231 “Об организации Всероссийской переписи населения в 2002 году” прямо указано, что Государственный комитет РФ по статистике, Минсвязи, МВД, ФСБ, ФАПСИ и Гостехкомиссия должны “+установить до 1 июня 2002 г. режим защиты и правила обработки конфиденциальной документированной информации Всероссийской переписи населения 2002 года” (п. 10).

И вот тут начинается самое интересное. В октябре прошлого года один из сотрудников ФСБ в интервью заявил, что сотрудники спецслужб не будут принимать никаких мер по защите базы данных Госкомстата. Почему? Как заявляют организаторы переписи, обобщенные сведения, которые являются доступными для всех, не представляют никакого интереса ни для криминальных структур, ни для налоговиков, ни для военкоматов. Все собранные и обработанные данные хранятся в недрах Госкомстата, на мощном сервере в составе аппаратно-программного комплекса “Перепись”. Считается, что ни один хакер не сможет проникнуть в сеть Госкомстата и похитить интересующие многих данные. Здесь и кроется весь секрет.

Данные переписи могут покинуть Госкомстат двумя путями: с помощью 1) нечистоплотного администратора, который может скопировать базу данных и передать ее в руки криминала; 2) хакера, который проникнет в сеть Госкомстата, воспользовавшись некачественной защитой.

Про первый путь писать много не имеет смысла. Достаточно обратиться к торговцу компакт-дисками на Митинском рынке, и вам предложат на выбор базы данных ГИБДД, МГТС, ОВИРов, различных регистрационных палат, таможни, МВД и даже ФСБ. Чем Госкомстат лучше?

Второй путь утечки становится возможен по причине недооценки хакеров, а также переоценки собственных сил. Учитывая обычное недофинансирование и отказ спецслужб от защиты данных переписи, можно предположить, что Госкомстат сам занимается своей защитой. Косвенно об этом свидетельствует и тот факт, что официальный сайт переписи создан и поддерживается Комитетом по статистике, как, кстати, и сайт самого комитета (www.gks.ru), который был взломан дважды - 2 апреля и 12 мая 2001 г. Эти факты говорят сами за себя, однако я приведу еще один пример, непосредственно связанный с недостаточной защищенностью сведений о переписи населения. Желая распечатать переписной лист на сайте “Перепись-2002”, вы перейдете на адрес: http://www.perepis2002.ru/cgi/print_version.cgi?file=http://www.perepis2002.ru/pe_lists/. Пытаясь получить доступ к файлу print_version.cgi и введя его имя в строке браузера, вы получаете семь сообщений об ошибке в файле mssql.conn, расположенном по адресу: c:inetpubwwwrootcgi. Некорректно настроенный Web-сервер MS Internet Information Server предоставляет доступ к файлу mssql.conn, в котором определена функция подключения к базе данных db_connect, использующая всего три хорошо понятных параметра для доступа к базе данных - сервер базы данных, имя и пароль пользователя:

function db_connect($host,$user,$passwd)

{

return mssql_connect($host,$user,$passwd);

}

А в самом конце этого файла находится строка, которая сводит на нет все усилия администраторов безопасности Госкомстата:

$conn=db_connect(”localhost”,”w_perepi”,”gthtgbcm-flvby”);

Теперь кто угодно может получить доступ к базе, в которой хранятся данные переписи. Кстати, этот реальный пример демонстрирует, как выбираются пароли. Если посмотреть, каким русским буквам на клавиатуре соответствует строка “gthtgbcm-flvby”, то можно увидеть, что это вполне осмысленная запись “перепись-админ”. Впервые сообщение об этой “дыре” появилось на сайте Bugtraq.ru (www.bugtraq.ru) 16 октября 2002 г., затем она подробно освещалась на семинаре НИП “Информзащита” 29 ноября. Но даже сейчас, по прошествии нескольких месяцев, дыра не устранена и продолжает радовать хакеров.

Что в итоге? “Хотели как лучше, а получилось как всегда”. Несмотря на заявления чиновников, уже сейчас за 150 долл. можно купить данные о переписи москвичей, а ближе к весне за цену втрое больше можно будет приобрести базу всей Всероссийской переписи.

Список российских министерств и ведомств, сайты

которых были взломаны в период 1999-2002 гг.

К сожалению, опять приходится констатировать, что в России спасение утопающих - дело рук самих утопающих. И, учитывая усилия правительства по интернетизации всего общества и внедрению федеральной целевой программы “Электронная Россия”, можно предположить, что через несколько лет у хакеров появится куда больше точек приложения сил в виде различных министерств и ведомств, тем более что они уже давно являются мишенями (см. таблицу). Даже несмотря на большое число агентств и ведомств, в чью компетенцию входит защита государственных интересов, многие министерства остаются беззащитными перед надвигающейся хакерской угрозой.

С Алексеем Лукацким, автором книги “Обнаружение атак”, можно связаться по адресу: luka@infosec.ru.

От редакции: Мировой опыт в данном случае хорошо известен - России необходим Национальный центр компьютерной безопасности. Не важно, будет он при ФАПСИ или другой организации, но именно он должен быть открыт для сотрудничества с компьютерным сообществом и оперативно решать подобные проблемы.

     Эдуард Пройдаков