Twój menedżer haseł dzieli kod z rosyjską firmą. Co to oznacza dla Polaków?
Passwork Europe, menedżer haseł używany m.in. przez polskie urzędy, dzieli kod źródłowy z rosyjską firmą certyfikowaną przez FSB i FSTEC. Eksperci ostrzegają przed ryzykiem w łańcuchu dostaw i tożsamości aktualizacji.
Trzymasz w ręku menedżer haseł, który sprzedaje się jako europejski produkt. Tymczasem jego kod od lat jest wspólnie rozwijany z rosyjską firmą certyfikowaną przez FSB. Sprawa dotyczy Passwork – programu używanego przez polskie urzędy, uczelnie i firmy. Wyjaśniamy, na czym polega ryzyko i jak sprawdzić, czy twoje dane są bezpieczne.
Czym jest Passwork i jak działa?
Passwork to menedżer haseł klasy enterprise, który pozwala firmom przechowywać loginy i klucze dostępu na własnym serwerze. Producent chwali się, że dane są szyfrowane na urządzeniu klienta i trafiają na serwer w postaci zaszyfrowanej. Hasła są więc potencjalnie bezpieczne, ale tylko wtedy, gdy można ufać całemu łańcuchowi dostaw oprogramowania. Problem w tym, że
jak wynika z dziennikarskiego śledztwa OCCRP
, Passwork Europe S.L. (Hiszpania) oraz rosyjska Passwork LLC dzielą wspólną bazę kodu źródłowego. Harmonogramy wydań nowych wersji są niemal identyczne, podobnie jak dokumentacja i skrypty instalacyjne. Badacze bezpieczeństwa wskazują, że „separacja między dwoma produktami jest technicznie płytka” – w praktyce oznacza to, że podatność znaleziona w rosyjskiej wersji prawdopodobnie występuje także w europejskiej. A ta jest używana przez instytucje publiczne i firmy w Unii Europejskiej, w tym w Polsce.
Rosyjska certyfikacja i łańcuch aktualizacji
Rosyjska spółka Passwork LLC posiada certyfikaty wydane przez Federalną Służbę Bezpieczeństwa (FSB) oraz Federalną Służbę ds. Kontroli Technicznej i Eksportu (FSTEC). Uzyskanie takich certyfikatów wymaga szczegółowej analizy kodu źródłowego, w tym sprawdzenia, czy nie zawiera on „niezadeklarowanych możliwości” – a więc potencjalnie tylnych drzwi. Ekspert ds. bezpieczeństwa Donald Ortmann zwraca uwagę, że „aktualizacje oprogramowania są wektorem ataku o wysokiej wartości” i porównuje ryzyko do głośnego incydentu SolarWinds, gdy hakerzy wstrzyknęli backdoor do zaufanego procesu aktualizacji. W przypadku Passwork sytuacja jest o tyle niepokojąca, że aktualizacje dla wersji europejskiej pojawiają się zaledwie dzień po wydaniu rosyjskiej. Jeśli ktoś uzyskał dostęp do kodu w ramach procesu certyfikacji FSB, teoretycznie mógłby umieścić w nim backdoor, który trafiłby do klientów w Europie.
Co to oznacza dla polskich użytkowników?
Menedżer haseł przechowuje klucze do kont bankowych, firmowych systemów IT, skrzynek e-mail czy paneli administracyjnych. Jeśli oprogramowanie okaże się skompromitowane, atakujący może uzyskać dostęp do wszystkich zasobów chronionych tym narzędziem. Polskie firmy i instytucje korzystające z Passwork powinny przede wszystkim sprawdzić, jaką wersję oprogramowania używają i czy mają kontrolę nad procesem aktualizacji. Nawet jeśli szyfrowanie działa poprawnie, ryzyko pochodzi z łańcucha dostaw – nieznanego pochodzenia kodu i certyfikacji przez agencje bezpieczeństwa obcego państwa. Jak zauważa ekspert Bart van den Berg z Clingendael Institute, „zsynchronizowane bazy kodu mogą narazić obie wersje na te same podatności”. To oznacza, że nie można ufać oprogramowaniu tylko dlatego, że reklamuje się jako produkt europejski.
Jakie kroki podjąć, by zabezpieczyć hasła?
Jeśli twoja firma lub instytucja używa Passwork, warto rozważyć następujące działania: sprawdź, czy menedżer haseł można zastąpić rozwiązaniem o w pełni przejrzystym łańcuchu dostaw; poproś dostawcę o niezależny audyt kodu źródłowego; upewnij się, że każda aktualizacja jest podpisana cyfrowo i możesz zweryfikować jej integralność; rozważ zmianę na menedżer haseł z otwartym kodem źródłowym, taki jak Bitwarden. Dla indywidualnych użytkowników ważna jest zasada: jeśli nie masz pewności, kto i gdzie tworzy oprogramowanie, którego używasz do ochrony haseł, lepiej poszukaj alternatywy. Twoje konta – w banku, e-mailu i mediach społecznościowych – są warte tej minuty sprawdzenia. Sprawa Passwork pokazuje, że w cyberbezpieczeństwie nie wystarczy obietnica szyfrowania. Równie ważne jest to, kto ma dostęp do kodu przed jego wydaniem.
ujawnia szczegóły, które powinny skłonić każdego administratora do weryfikacji swojego menedżera haseł.
