Liferay в gov секторе — как тяга к халяве, ой, то есть к OpenSource доводит до CWE-319

Вот важная новость с фронта ИИ: PaaLadin 32 минуты назад Краткое содержание статьи Liferay в gov секторе — как тяга к халяве, ой, то есть к OpenSource доводит до CWE-319 Простой 5 мин 391 Информационная безопасность * Системное администрирование * Веб-разработка * Java * Верстка писем * Кейс Антенны Ми-173-2Сегодня как раз читал статью про потрясающее детище советского инженерного искусства - Ми-173-2 - вертолёт радиолокационной разведки использовавшийся для перехвата радиотелефонной связи. Да, в те суровые годы для того, что бы узнать секретные данные приходилось трудиться, стараться и напрягаться. В отличие от современных реалий.

Сейчас же, благодаря тяге "специалистов" к использованию дешёвых, а зачастую и бесплатных решений на базе Open Source вероятному противнику получить секретные данные стало очень-очень просто, достаточно выпустить программу которую захотят использовать например в госсекторе, при обслуживании почтовых рассылок с чувствительной информацией. И оставить в этой программе даже не бэкдор, а просто функцию по умолчанию, которая при нежелании "специалиста" прочитать инструкцию и настроить всё как следует - приведёт к компрометации паролей и утечке данных тысяч пользователей государственных сервисов. Иностранщина в царстве ГостайныЕсть в ИТ-мире особая категория - закрытые государственные информационные системы (ГИС).

Технические детали

Мир тотальной секретности. Здесь безопасность возведена в ранг абсолютной религии. Это место, где что бы просто заменить тонер в принтере, нужно иметь допуск к государственной тайне.

Как меня не взяли эникейщиком, когда первый отдел запорол из-за цвета паспорта я уже рассказывал ранее. Естественно, пользователь, заходящий на такой портал, ожидает увидеть интерфейс, вычищенный до блеска, тотально импортозамещенный и суровый. И каково же изумление, когда под капотом монструозного портала обнаруживается сердце продукта от американской компании Liferay Inc.

со штаб-квартирой в солнечной Калифорнии. Естественно, покупать коммерческие Enterprise-лицензии и платить американцам за DXP-версию в госсекторе никто не будет — санкции, комплаенс и здравый смысл против этого. Поэтому за основу берётся Liferay Community Edition — полностью бесплатная Open Source версия на Java.

Отраслевые последствия

Логика безопасников была идеальной: исходный код «коробки» можно легально скачать с GitHub, проверить по строчкам на отсутствие скрытых закладок, одобрить на совете ведомства и развернуть в закрытом защищенном периметре. Сама архитектура получившейся системы выглядит монументально: авторизация делегирована внешним доверенным государственным шлюзам, обмен данными идет по защищенному протоколу OAuth 2. 0, а фронтенд прикрыт валидными CSRF-токенами.

Вы проходите весь этот сложнейший квест верификации, открываете красивое модальное окно «Смена данных аутентификации», которое строго требует: «Придумайте новый сложный пароль». Вы вводите заветный секрет, нажимаете кнопку «Сохранить», сервер рапортует об успехе.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.