Ruský zdrojový kód aj certifikát FSB. Investigatíva rozobrala softvér, ktorému Európa zverila tie najcitlivejšie informácie
Správca hesiel Passwork sa európskym zákazníkom prezentuje ako produkt vybudovaný v Európskej únii. Investigatívne zistenia však ukazujú, že jeho technologická história siaha do Ruska a európska verzia má stále viacero spoločných prvkov s ruským produktom. Dôkaz o špionáži, škodlivom kóde ani úniku hesiel sa nenašiel.
Na rozsiahlu investigatívu portálu OCCRP upozornil web EU Brief. Týka sa spoločnosti Passwork Europe S.L. so sídlom v Španielsku, ktorej softvér používajú alebo používali viaceré európske verejné inštitúcie, univerzity a technologické organizácie.
Passwork slúži na správu hesiel a ďalších prihlasovacích údajov. Európska spoločnosť pritom zdôrazňovala svoju európsku identitu a na webe používala označenie „Made in EU 2017“. Produkt však pôvodne vznikol v Rusku.
Spoločný technologický základ
Passwork začali v roku 2014 vyvíjať v ruskom Archangelsku Iľja Garakh a Andrej Pjankov. Projekt neskôr expandoval do Európy a v roku 2017 vznikla spoločnosť vo Fínsku.
Dnešná španielska firma tvrdí, že s ruskou spoločnosťou Passwork LLC nemá obchodné ani prevádzkové prepojenie. Investigatívny portál OCCRP však zistil viacero technických podobností oboch produktov.
Generálny riaditeľ Passwork Europe Alexander Muntyan potvrdil, že európsky a ruský produkt majú spoločný pôvod zdrojového kódu. Ich používateľské príručky sú veľmi podobné a v podobných termínoch vychádzali aj viaceré aktualizácie.
Bezpečnostní experti preto upozorňujú, že prípadné zraniteľnosti v spoločnom technologickom základe by mohli byť relevantné pre obe verzie.
Ruský produkt preverovali štátni audítori
Pozornosť vyvoláva najmä ruská spoločnosť Passwork LLC. Na svojom webe medzi zákazníkmi uvádza aj firmy z ruského obranného a vesmírneho priemyslu, pričom niektoré z nich podliehajú západným sankciám.
Ruská verzia Passworku má zároveň certifikácie od Federálnej služby pre technickú a exportnú kontrolu, známej ako FSTEC, a FSB.
Podľa expertov oslovených novinármi je súčasťou certifikačného procesu FSTEC podrobná kontrola softvéru, ktorá môže zahŕňať aj skúmanie zdrojového kódu a hľadanie zraniteľností či skrytých funkcií.
Práve to vyvoláva otázky, keďže európska verzia má s ruskou spoločný technologický pôvod. Odborníci upozorňujú, že detailná znalosť zdrojového kódu môže výrazne uľahčiť hľadanie jeho slabých miest.
Nejde však o dôkaz, že by takéto poznatky ruské úrady skutočne zneužili.
Otázniky nad aktualizáciami
Ďalším citlivým bodom je spôsob, akým sa európsky produkt v posledných rokoch aktualizoval.
Po začiatku ruskej invázie na Ukrajinu vznikla v Spojených arabských emirátoch spoločnosť Passwork FZ-LLC, v ktorej ako manažér vystupoval spoluzakladateľ projektu Pjankov. Podľa zistení OCCRP práve cez túto firmu európska spoločnosť získavala softvérové aktualizácie a časť know-how.
Muntyan tvrdí, že Passwork Europe získal práva na softvér v roku 2024 a že všetky aktualizácie pred nasadením kontroluje jeho vlastný technický tím.
Bezpečnostní experti napriek tomu považujú aktualizačný mechanizmus za jednu z najcitlivejších častí akéhokoľvek softvéru. Ak sa útočníkovi podarí dostať škodlivý kód do legitímnej aktualizácie, môže sa tak dostať priamo do systémov zákazníkov.
Takýto princíp bol použitý napríklad pri známom kybernetickom útoku na americkú spoločnosť SolarWinds. V prípade Passworku však novinári žiadny podobný útok neodhalili.
Niektorí klienti o ruskom pôvode nevedeli
Investigatívci oslovili približne tri desiatky organizácií uvádzaných medzi zákazníkmi Passworku. Viac než desať z nich potvrdilo, že softvér používala aspoň časť ich pracovníkov.
Viaceré inštitúcie pritom o ruskom pôvode produktu ani o certifikácii jeho ruskej verzie nevedeli.
Patrili medzi ne napríklad írske verejné inštitúcie. Tamojšie State Laboratory po otázkach novinárov uviedlo, že nové informácie považuje za potenciálne riziko a používanie produktu preveruje. Softvér využívala aj bruselská technologická agentúra Paradigm Brussels či Technická univerzita v Drážďanoch.
Šéf Passwork Europe Alexander Muntyan zdôrazňuje, že európska a ruská spoločnosť nezdieľajú klientov, servery, zákaznícke dáta ani prístupy do ich systémov.
„Nezdieľame klientov, servery, systémy podpory, zákaznícke záznamy, administrátorské prístupy ani prostredia zákazníkov,“ uviedol pre OCCRP.
Podľa neho Passwork využíva takzvanú zero-knowledge architektúru, pri ktorej sa údaje šifrujú priamo v prostredí zákazníka a firma samotné heslá nemá k dispozícii.
OCCRP zároveň zdôrazňuje, že nenašlo dôkaz o škodlivom kóde, úniku hesiel ani nezákonnom konaní Passworku či jeho predstaviteľov. Nepodarilo sa ani presne určiť, do akej miery sa dnešná európska verzia zhoduje s ruskou.
Zistenia tak nepreukazujú špionážnu operáciu. Otvárajú však otázky o transparentnosti dodávateľa softvéru, ktorému verejné inštitúcie zverujú správu mimoriadne citlivých prístupových údajov.
Rusko si prednedávnom otestovalo aj slovenskú kyberbezpečnosť. Hekeri útočili na viacero citlivých systémov:
Sledujte ta3 na Google news
po kliknuti zvoľte "Sledovať"