Amikor leáll az állami ügyintézés

Egy ország digitális államának megbízhatóságát nemcsak az mutatja meg, milyen gyorsan lehet egy ügyet interneten elintézni. Legalább ennyire fontos, mi történik akkor, amikor a rendszert biztonsági okból le kell kapcsolni. Október 22-én a kormány átmenetileg elérhetetlenné tette a magyarorszag.hu ügyintézési portált és néhány további állami weboldalt, miután egy világszerte használt szoftverben kritikus sérülékenységeket azonosítottak. A kormányzati tájékoztatás szerint nem találtak sikeres támadásra utaló jelet; a leállítás megelőző intézkedés volt.

A miniszteri közlés eredetileg mintegy 48 órás kieséssel számolt. Ez a határidő október 24-ére esik, de a szolgáltatások tényleges újraindulásáról és valamennyi funkció helyreállításáról külön, aktuális üzemeltetői tájékoztatás szükséges. A két dolog nem keverhető össze: attól, hogy a biztonsági frissítések elérhetők, egy összetett állami informatikai rendszer még nem feltétlenül állítható vissza egyetlen kapcsolóval. A javítás telepítése után tesztelni kell a működést, az adatkapcsolatokat és a jogosultságkezelést is.

A leállást kiváltó, PHP2Shell néven emlegetett problémakör két, október 21-én közzétett sérülékenységet foglal magában. A Nemzeti Kiberbiztonsági Intézet mindkettőt kritikusnak minősítette; a CVSS 4.0 szerinti értékük 9,2. A hibák megfelelő körülmények között lehetővé tehetik, hogy egy támadó bejelentkezés nélkül kódot futtasson egy érintett webszerveren. Ez súlyos kockázat, de nem jelenti azt, hogy minden PHP-t használó weboldalt ténylegesen feltörtek, vagy hogy a magyar állampolgárok adatai kikerültek volna.

A PHP olyan szerveroldali programozási környezet, amely számos webes szolgáltatás hátterében működik. A felhasználó ebből általában semmit nem lát: megnyit egy oldalt, azonosítja magát, adatot küld vagy dokumentumot tölt le. A háttérben azonban több szoftverréteg és szolgáltató dolgozik együtt. Egy sérülékenység azért okozhat nagy zavart, mert ugyanazt a technológiát sok intézmény, vállalkozás és önkormányzat használja. Az, hogy a sérülékenység széles körben elterjedt szoftvert érint, nem bizonyítja, hogy minden ilyen rendszer ugyanazzal a konfigurációval és ugyanazzal a kockázattal működik.

A Nemzeti Kiberbiztonsági Intézet október 21-én riasztást adott ki, másnap pedig jelezte, hogy a javítások megérkeztek, de a nemzetközi helyzet továbbra is figyelmet igényel. A hivatalos figyelmeztetés konkrét javított verziókat nevezett meg: a PHP 8.2.35, 8.3.36, 8.4.27 és 8.5.12 kiadásait. Október 23-án egy újabb, speciális konfigurációk mellett kockázatot jelentő hibáról is tájékoztatás jelent meg. Ez különösen jól mutatja, miért nem zárul le feltétlenül egy kiberbiztonsági incidens az első javítócsomag kiadásával.

A leállításról szóló döntésnek két, egymással versengő közérdeke van. Az egyik az adatok és rendszerek védelme: ha egy támadó hozzáférhet egy szerverhez, az nemcsak az adott oldalt, hanem kapcsolódó szolgáltatásokat is veszélyeztethet. A másik a közigazgatás folyamatossága: az embereknek határidős ügyeik, igazolási kötelezettségeik, beadványaik és pénzügyi teendőik vannak. A teljes lekapcsolás csökkentheti a támadási felületet, de az ügyfelekre hárítja a kiesés költségének egy részét. Ezért egy jó válságterv nem érhet véget annál a mondatnál, hogy a szolgáltatás biztonsági okból nem elérhető.

Különösen sérülékenyek azok, akiknek az elektronikus ügyintézés már nem kényelmi lehetőség, hanem az alapértelmezett vagy a gyakorlatban legkönnyebben elérhető csatorna. Egy vállalkozás könyvelője, egy határidős igazolásra váró állampolgár vagy egy másik városban élő ügyfél eltérő nehézséggel szembesülhet. A digitális szolgáltatások terjedése akkor javítja valóban az állam működését, ha rendkívüli helyzetben is világos, milyen ügyeket lehet más csatornán intézni, mely határidőket érinti a kiesés, és kitől kérhető hiteles tájékoztatás.

Az állami informatikában a legfontosabb különbség a biztonsági mentés és a működésfolytonosság között van. Az adatmentés segíthet helyreállítani elveszett vagy sérült információkat, de önmagában nem biztosítja, hogy egy szolgáltatás a kiesés idején is elérhető legyen. Ehhez tartalék infrastruktúra, elkülönített rendszerek, előre kidolgozott visszaállítási sorrend, ügyeleti személyzet és próbák kellenek. A technikai frissítések mellett a kommunikációs forgatókönyv is lényeges: ki jelenti be a leállást, milyen gyakran ad állapotjelentést, és hogyan derül ki, hogy a helyreállítás valóban befejeződött.

A nemzetközi háttér azt mutatja, hogy a probléma nem sajátosan magyar. Több országban állítottak le ideiglenesen szolgáltatásokat, és biztonsági kutatók világszerte kihasználási kísérletekről számoltak be. A támadási kísérlet és a sikeres behatolás azonban külön kategória. Egy internetes rendszer naponta kaphat automatikus, rosszindulatú kéréseket anélkül, hogy a támadók hozzáférnének az adatokhoz. A hatóságoknak és az üzemeltetőknek ezért pontosan kell fogalmazniuk: az ismert sérülékenység, az észlelt próbálkozás, a tényleges rendszerkompromittálódás és az adatvesztés négy különböző tényállás.

A közösségi vitákban az informatikai szakemberek egy része a frissítési kényszer nagyságára, a régi szoftverek kockázatára és a sérülékenységek gyors szaporodására hívta fel a figyelmet. Ezek a hozzászólások hasznos kérdéseket vetnek fel, de nem igazolják önmagukban, hogy valamely magyar intézmény rendszere elavult vagy sérült. Ilyen következtetéshez műszaki audit, verzióadatok, konfigurációs ellenőrzés és hivatalos incidensjelentés szükséges. Az általános szorongásból nem szabad konkrét adatlopást vagy mulasztást fabrikálni.

A történet másik tanulsága a nyílt forráskódú szoftverek fenntartásának kérdése. Egy széles körben használt technológia biztonságát sokszor viszonylag szűk fejlesztői közösség gondozza. Az ingyenesen hozzáférhető kód nem jelenti azt, hogy a hibajavítás, a tesztelés és a hosszú távú karbantartás ingyen történik. A Reuters beszámolója szerint a PHP fejlesztői a sérülékenységek kezelésének korábbi elhúzódását szerkezeti problémaként értékelték. Ez az államok és nagyvállalatok számára is figyelmeztetés: a saját biztonságuk részben olyan közös technológiák állapotától függ, amelyek fejlesztéséhez nem mindig járulnak hozzá arányosan.

A következő napok kérdése ezért kettős. Először pontosan tudni kell, mely magyar szolgáltatások álltak helyre, melyek működnek korlátozottan, és van-e olyan ügyintézési határidő, amelyre a kiesés miatt külön szabály vonatkozik. Másodszor érdemes nyilvános, a biztonságot nem veszélyeztető szakmai összegzést készíteni: hogyan született a leállításról szóló döntés, mennyi időt vett igénybe a javítás, és milyen tartalék megoldások működtek. A digitális állam iránti bizalom nem attól lesz erős, hogy soha nincs hiba, hanem attól, hogy a hibák idején is kiszámíthatóan és ellenőrizhetően működik.

Az incidens utáni nyilvános tájékoztatásnak nem szükséges olyan részletesnek lennie, hogy az újabb támadóknak adjon használható útmutatót. A biztonság szempontjából érzékeny konfigurációkat és hozzáférési adatokat védeni kell. Ettől még közölhető, mely szolgáltatásokat érintette a leállás, hogyan értesítették az ügyfeleket, milyen alternatív megoldásokat biztosítottak, és az ellenőrzés milyen eredményt hozott. A transzparencia és a kiberbiztonság nem feltétlenül egymás ellentétei: a megfelelően összeállított beszámoló éppen azt bizonyíthatja, hogy a hatóság képes tanulni a működési zavarokból.