Материалы ИноСМИ содержат оценки исключительно зарубежных СМИ и не отражают позицию редакции ИноСМИ
Немецкое оборонное ведомство вновь допустило утечку данных, пишет Focus. В этот раз масштабы "слива" потрясают — любой пользователь интернета мог одним щелчком мыши получить доступ к тысячам видеозаписей с секретных онлайн-конференций.
Тысячи ссылок на видеозаписи закрытых совещаний бундесвера с внутренней информацией были доступны в интернете в течении нескольких месяцев. И любой желающий мог их посмотреть. Эта брешь в системе безопасности была устранена только в пятницу вечером. Было найдено как минимум два слабых места в системе. До сих пор неясно, произошла ли утечка информации к посторонним лицам.
Дыра в системе безопасности, обнаруженный IT-экспертами из ассоциации "Netzgrünung", огромна. Несколько тысяч ссылок на видеозаписи конференций, некоторые из которых содержали служебную информацию, были доступны в сети в течение нескольких месяцев. Многие из этих встреч даже были отнесены к категории конфиденциальных. Об этом сообщает газета "Zeit ".
В частности, речь идет о собственном локальном сервисе Webex для вооруженных сил Германии, который федеральное ведомство по информационной безопасности (BSI) одобрило для использования государственными органами в 2019 году. Сервис считается особенно защищенным — именно поэтому он и служит для ведения секретных переговоров. Бундесвер ежемесячно проводит около 45 000 совещаний.
Бундесвер использует так называемую локальную версию Webex. Это означает, что информация хранится на собственных серверах. Это особенно важно для властей.
С помощью метода подбора злоумышленники смогли угадать ссылки на записи совещаний бундесвера.
Произошедшее свидетельствует, как минимум о двух слабых местах, сообщает Zeit. Ссылки на конференции бундесвера можно было угадать, просто производя подбор. В сфере IT-безопасности обычно рекомендуется рандомизировать числа в веб-адресах, чтобы такого не произошло. Однако в случае с немецкими вооруженными силами, по-видимому, можно было узнать название, время и организатора совещаний бундесвера.
Так, утром 25 апреля состоялось совещание под названием "Обзор поэтапного плана по ракетам Taurus и завершение работы над ним". IT-эксперты также обнаружили запланированную на конец мая встречу по обсуждению секретного документа ("Только для служебного пользования") "Цифровое поле боя". Самая первая встреча из более чем 6 000, найденных "Die Zeit", была проведена 2 ноября 2023 года, но, как утверждается, в сети было много других.
Любой желающий мог получить доступ к закрытым переговорным комнатам бундесвера одним щелчком мыши
Кроме того, утверждается, что персональные комнаты для совещаний было очень легко найти. Некоторые из них даже не были защищены паролем или были защищены только данными доступа, такими как "Test". Переговорные комнаты — это видеоконференции с постоянной ссылкой, доступ к которым зачастую можно получить в любое время. Во время исследования "Zeit" смог получить доступ к ним одним щелчком мыши.
Связанные с ними URL-адреса также было легко комбинировать, поскольку все они были основаны на одном и том же принципе. Это также позволило получить доступ к конференции Инго Герхарца, главы немецких ВВС, который участвовал в разговоре о поставках Taurus, ставшем впоследствии достоянием российских спецслужб.
Привела ли уязвимость в Webex к утечке данных о Taurus?
Теперь возникает вопрос, не привели ли уязвимости в системе безопасности Webex к этой утечке. До сих пор Бундесвер называл причиной незащищенное телефонное соединение и публично заявлял, что перехваченная встреча была случайной находкой.
В 2020 году в Webex уже была обнаружена уязвимость в системе безопасности, которая сделала возможным нечто подобное. В 2020 году IBM обнаружила, что так называемые пользователи-призраки могут незаметно заходить на конференции Webex. Однако с тех пор эта уязвимость была устранена.
Именно так, согласно официальным источникам, поступил и бундесвер в этом случае. "Уязвимости были немедленно устранены". Однако неизвестно, произошла ли утечка секретной информации посторонним лицам через эти бреши. На вопрос Die Zeit бундесвер лишь ответил, что были доступны только метаданные, но не содержание разговоров.
