Вчера, выступая на мероприятии НЕ СКАЖУ КАКОМ, упоминал про взломы ИБ-компаний, через которые, как по хайвею, хакеры въезжают через доверенные "ворота" в инфраструктуры заказчиков. И вот очередная демонстрация. Группировка КИБЕР-СЕРП заявила о взломе украинской ИБ-компании, работающей в области криптографии, "САЙФЕР". По заявлению группировки им удалось получить все исходники СКЗИ, закрытые ключи центров сертификации, используемые для украинского "СМЭВ", переписку с критическими заказчиками (Госспецсвязь, Минобороны и т.п.)., а также список всех клиентов.
Также хакеры предполагают, что теперь в госорганах Украины надо будет сменить все криптографические ключи (резонно, но не смертельно), а также в исходниках САЙФЕР будут найдены закладки, заложенные разработчиком. В последнее я не очень верю (хотя уязвимости могут быть точно), как и в то, что утечка исходников СКЗИ сильно влияет на ИБ страны. Все-таки в этой сфере, если нормально выстроить процедуру управления ключами, их компрометация, как и раскрытие алгоритмов шифрования, сильно не влияет на защищенность. Сама САЙФЕР https://cipher.com.ua/uk/news/uvaga_ofcyna_pozicya_kompan_schodo_novin_pro_zlom_nfrastrukturi факт взлома, но не согласна с масштабом происходящего. Из интересного, взломали САЙФЕР тоже через подрядчика.
В 2010-2014 годах, после выхода четверокнижия ФСТЭК по защите персональных данных, когда огромное число российских ИБ-вендоров и интеграторов начало продвигать свои продукты и услуги для защиты персданных, я рекомендовал операторам ПДн интересоваться у продаванов, а почему они сами не включены в реестр РКН, как того советуют клиентам. Заодно я рекомендовал заказчикам запрашивать у продаванов все те документы, которые последние были готовы за деньги немалые разработать клиентам. Ведь если ты рекомендуешь сделать что-то и сам же попадаешь под эти требования, то логично, что у тебя уже все это сделано и ты не просто впариваешь, но делишься опытом за деньги. Один российский интегратор даже после таких моих заявлений грозился подать на меня в суд за клевету и ущерб деловой репутации.
Так вот. Сейчас многие интеграторы и ИБ-вендора оседлали тему безопасности подрядчиков и под этим соусом продают свои продукты и услуги. Так почему бы вам не спрашивать у таких продаванов две вещи – как бы они на вашем месте проверяли самих себя и что спрашивали для доказательства, что с ИБ у них все хорошо, и как они уже проверяют своих собственных подрядчиков на предмет ИБ. Ведь если они продают вам что-то, то наверняка готовы нести за это ответственность.
ЗЫ. Эх, жаль на РусКрипто не позвали. Там можно было бы обсудить эту стихийно возникшую тему, объединив безопасность подрядчиков с криптографией, и задав всем лицензиатам ФСБ (включая и различные УЦ) вопрос, а как у них обстоят дела в этой части. Хотя судя по с мест, дискуссии на конфе выхолощенные и скучные; все важное обсуждать не дают.
#supplychain #криптография #проблемыибкомпаний
