Прототип цифрового рубля взломали из-за базовых ошибок

[душман]

На 10-й, юбилейной кибербитве Standoff, прошедшей с 16 по 19 июня в московском «Кибердоме», командам было предложено атаковать прототип цифрового рубля, сообщает «Код Дурова» со ссылкой на «Совкомбанк Технологии». В течение четырёх дней в ходе соревнований по кибербезопасности 23 команды из шести стран атаковали виртуальное государство с банками, энергетикой и заводами. 

Одним из главных объектов на полигоне стал цифровой рубль, который Банк России только начинает внедрять. Организаторы состязаний смоделировали реальную архитектуру: центральную платформу ЦБ, банки-посредники и обмен сообщениями по стандарту ISO 20022 поверх отечественного банковского ПО. Участникам удалось взломать прототип цифрового рубля. 

Систему подвели базовые ошибки конфигурации: стандартные пароли, отключённая проверка цифровых подписей и отсутствие контроля прав доступа. По словам участников, чаще всего банковские системы удаётся взломать из-за паролей в конфигурационных файлах и логах, ключей на серверах и токенов в тестовых скриптах. Павел Чернышев, начальник Управления анализа защищённости «Совкомбанка» и представитель команды DreamTeam по банковскому направлению отметил, что участникам была предоставлена возможность протестировать технологию, которая ещё не вышла в массовую эксплуатацию. «Главный вывод: гигиена секретов важнее дорогих средств защиты. 

Уберите пароли из конфигов, отзывайте старые ключи, не используйте слабые пароли — и закроете большую часть реальных векторов атак», — сообщил капитан команды DreamTeam. Всего на киберполигоне из семи отраслей участниками были реализованы 245 критических событий. Больше всего атак пришлось на телеком с 74 инцидентами. А наиболее защищённым оказался сегмент ритейла, на который зафиксированы лишь семь успешных атак. Победу в состязаниях в восьмой раз праздновала команда DreamTeam со специалистами «Совкомбанк Технологий», набрав 148535 очков.