Ένα εξαιρετικά ανησυχητικό περιστατικό κυβερνοασφάλειας ήρθε στο φως και λειτουργεί ως σοβαρός κόκκινος συναγερμός για όλα τα κράτη που προωθούν συστήματα ψηφιακής ταυτότητας και πλήρους ψηφιοποίησης των δημόσιων υπηρεσιών.
Η μεγάλη σουηδική πολυεθνική εταιρεία CGI, η οποία αναπτύσσει και διαχειρίζεται κρίσιμα πληροφοριακά συστήματα για κυβερνήσεις σε πολλές χώρες, υπέστη σημαντική παραβίαση. Σύμφωνα με τις πληροφορίες, οι επιτιθέμενοι απέκτησαν πρόσβαση και εξέθεσαν το πλήρες source code από τους εσωτερικούς test servers της εταιρείας.
Το source code δεν είναι απλά «κώδικας». Αποτελεί τον πλήρη αρχιτεκτονικό σχεδιασμό των συστημάτων ψηφιακής ταυτότητας και των e-government πλατφορμών. Όποιος το έχει στα χέρια του μπορεί να δει με κάθε λεπτομέρεια:
- Πώς λειτουργεί το σύστημα στο εσωτερικό του
- Ποιες είναι οι κύριες διεπαφές (interfaces)
- Πού βρίσκονται τα σημεία ασφαλείας
- Ποιες είναι οι πιθανές αδυναμίες και «πίσω πόρτες»
Το πιο ανησυχητικό στοιχείο είναι ότι τα συστήματα αυτά χρησιμοποιούνται όλο και περισσότερο για την αποθήκευση ευαίσθητων βιομετρικών δεδομένων (δακτυλικά αποτυπώματα, αναγνώριση προσώπου, σάρωση ίριδας κ.ά.). Σε αντίθεση με έναν κωδικό πρόσβασης που μπορεί να αλλάξει, αν κλαπούν τα βιομετρικά δεδομένα ενός πολίτη, αυτός δεν μπορεί να τα αλλάξει ποτέ ξανά στη ζωή του.
Αν και η CGI υποστηρίζει ότι δεν έγινε διαρροή δεδομένων πολιτών και ότι επρόκειτο για test servers και όχι για ενεργά συστήματα, οι ειδικοί κυβερνοασφάλειας τονίζουν ότι αυτό είναι πολύ χειρότερο από μια απλή κλοπή δεδομένων. Οι χάκερς απέκτησαν τη δυνατότητα να μελετήσουν σε βάθος την αρχιτεκτονική των συστημάτων και να προετοιμάσουν στοχευμένες, εξαιρετικά δύσκολα ανιχνεύσιμες επιθέσεις στο μέλλον.
Το περιστατικό αναδεικνύει τους τεράστιους κινδύνους της μαζικής ψηφιοποίησης κρατικών υπηρεσιών χωρίς απόλυτα ασφαλή συστήματα. Πολλές χώρες, μεταξύ των οποίων και η Ελλάδα, προχωρούν με γρήγορους ρυθμούς στην έκδοση ψηφιακών ταυτοτήτων και στην πλήρη ηλεκτρονική διακυβέρνηση.
Οι αναλυτές προειδοποιούν ότι βρισκόμαστε μπροστά σε μια νέα γενιά κυβερνοαπειλών, όπου οι επιτιθέμενοι δεν χρειάζεται να κλέψουν άμεσα δεδομένα, αλλά μπορούν να «μελετήσουν» τα συστήματα για μήνες ή και χρόνια, περιμένοντας την κατάλληλη στιγμή για να τα πλήξουν με καταστροφικές συνέπειες.
