ANTICHAT - Госдыры: Как защищены сайты государственных органов

Владимир Путин выступил на расширенной коллегии ФСБ, где сказал много важных и правильных слов. Помимо борьбы с терроризмом, экстремизмом и прочими профильными -измами, сотрудникам ФСБ была также поставлена задача усилить направление по противодействию киберугрозам. Вот цитата:

«Нам нужны самые современные подходы к организации контрразведывательной деятельности, в том числе в защите секретной информации. Это касается и участившихся попыток взлома национальных электронных баз данных. Уже в ближайшее время нужно сформировать единую систему обнаружения, предупреждения и отражения компьютерных атак на информационные ресурсы России. Нужно решить такую задачу максимально оперативно в короткие сроки».

После этого мне стало искренне жалко сотрудников Конторы. Ведь их работа будет связана даже не столько с поимкой коварных хакеров, работающих на иностранные спецслужбы, сколько с борьбой с традиционными российскими разгильдяйством, халатностью и безответственностью. Явлениями, как известно, решительно непобедимыми. И сейчас я вам наглядно покажу почему.

В качестве эксперимента, один мой весьма талантливый друг решил проверить, а как собственно обстоят дела с базовой защитой официальных сайтов различных государственных ведомств. Во время этого эксперимента никакие пароли не подбирались (страшно даже подумать, что можно обнаружить, перепробовав некоторые дефолтные пароли), сайты не заражались, вирусы не рассылались. Все, что вы увидите ниже обнаружено всего за несколько часов одним человеком без применения какого бы то ни было «хакерского» инструментария.

Пояснение: Задача этого поста не отдать сайты на растерзание школьникам и прочим не вполне разумным существам, а привести российское государственное интернет-хозяйство в надлежащий вид. Поэтому многое публикуется без прямых адресов. Также само по себе наличие файлов в открытом доступе не всегда представляет угрозу сайту, однако так или иначе это резко повышает потенциальную уязвимость ресурса по вполне очевидным причинам.

Ну, поехали.

Вот, например, официальный сайт Министерства природных ресурсов и экологии Российской Федерации:

http://i48.fastpic.ru/big/2013/0508/...8970836450.jpg

А вот открытый каталог на этом сервере:

http://i48.fastpic.ru/big/2013/0508/...8173bb9430.jpg

Там даже музыка есть!

http://i48.fastpic.ru/big/2013/0508/...b174be8f68.jpg

Потратив минут двадцать времени моему другу удалось найти в этом чудном хозяйстве дыры, позволяющие взять под контроль весь сервер Минприроды, который к тому же, как выяснилось, позволяет получить доступ во внутреннюю сеть федерального ведомства. Ну вы поняли…

Едем дальше.

Вот, например, сайт Дальневосточного федерального округа:

http://i46.fastpic.ru/big/2013/0508/...3a3e4b38ac.jpg

По всей видимости, на Дальнем Востоке понимают транспарентность и открытость власти слишком уж буквально. Заходите, гости дорогие:

http://i48.fastpic.ru/big/2013/0508/...02d91d0d43.jpg

А вот и сайт администрации Томской области. Тоже очень транспарентный:

http://i47.fastpic.ru/big/2013/0508/...8211ea9f3a.jpg

С чего начинается Родина? Правильно, с документов правительства, лежащих в открытом доступе:

http://i46.fastpic.ru/big/2013/0508/...76404d4f16.jpg

А продолжается Родина, как водится, играми:

http://i47.fastpic.ru/big/2013/0508/...6a6c6b9b9c.jpg

Еще веселее ситуация у официального сайта Камчатского края:

http://i48.fastpic.ru/big/2013/0508/...ac6e904710.jpg

Тут можно не только смотреть, но и в прямом смысле трогать:

http://i47.fastpic.ru/big/2013/0508/...ccb6b45cdc.jpg

Поэтому нет ничего удивительного, что кое-кто уже потрогал, оставив характерный файл:

http://i48.fastpic.ru/big/2013/0508/...e8544cc798.jpg

Хотя наличие этого файла на сервере в итоге так никто и не заметил…

продолжение ниже