Urad vlade za informacijsko varnost (URSIV) je zaznal hekerski vdor v informacijski sistem državne uprave. Neznani napadalec je prek kompromitiranega strežnika v enem od državnih organov prišel do podatkov o 15.000 uporabniških računih v sistemu Domino, med katerimi jih 7.216 vsebuje tudi zgoščene vrednosti gesel. Vsi uporabniki sistema morajo nemudoma zamenjati gesla.
Kaj se je zgodilo
Po navedbah URSIV je napadalec vstopil prek strežnika v enem od državnih organov, ki ga javnosti niso razkrili. Prizadeti strežnik so takoj izključili iz omrežja. Prek njega je napadalec pridobil uporabniške zapise za 15.000 računov v sistemu Domino (IBM/HCL Lotus Domino oz. Notes), ki ga del državne uprave še vedno uporablja za elektronsko pošto in nekatere aplikacije.
Od teh zapisov jih 7.216 vsebuje zgoščene vrednosti (hash) gesel. Gre torej za šifrirano obliko gesel, ne za gesla v čistem besedilu, vendar je zgoščena gesla, še posebej šibka, mogoče z dovolj računske moči razbiti.
Kaj morajo storiti uporabniki
URSIV poziva vse uporabnike informacijskega sistema državne uprave, naj:
- takoj zamenjajo geslo za dostop do sistema državne uprave,
- geslo zamenjajo tudi povsod drugod, kjer so uporabljali enako geslo,
- kjer je mogoče, vklopijo večfaktorsko avtentikacijo (MFA).
Incident še naprej analizira nacionalni odzivni center SIGOV-CERT, URSIV pa bo javnost obveščal, ko bo imel na voljo nove informacije.
Odprta vprašanja
Zaenkrat ni znano, kateri državni organ je bil tarča, kdaj natančno je do vdora prišlo, prek katere ranljivosti ali napačne konfiguracije je napadalec prišel do strežnika in ali je odtekel tudi kakšen drug podatek razen uporabniških zapisov.
Sistem Domino država sicer že več let postopoma opušča, a po javno dostopnih podatkih še vedno vzdržuje okoli 200 strežnikov Domino in približno 14.000 prijavnih certifikatov. Nekatere aplikacije še vedno delno tečejo prek Lotus Notes, saj selitev na nove sisteme še ni zaključena.
Nasvet za vse
Primer znova pokaže, zakaj ni dobro uporabljati istega gesla na več mestih. Če napadalec pridobi geslo z enega sistema, ga najprej preizkusi še drugje, na primer pri elektronski pošti, spletnih trgovinah ali spletni banki. Upravitelj gesel in vklopljena dvostopenjska prijava sta danes osnovna zaščita, ki bi jo moral uporabljati vsak.
Slovenian