Uniwersytet Warszawski ofiarą szpiegów? Ktoś przez 5 miesięcy podsłuchiwał hasła

Sprawa wyszła na światło dzienne dzięki pismu z 14 lutego, które otrzymał i ujawnił jeden z czytelników Zaufanej Trzeciej Strony. Firmy i inne podmioty gospodarcze, w związku z Ogólnym rozporządzeniem o ochronie danych (RODO), muszą informować użytkowników swoich usług o przypadkach naruszenia danych. Takie właśnie zawiadomienia zaczął przesyłać UW, a właściwie zarządzane przez niego Interdyscyplinarne Centrum Modelowania Matematycznego i Komputerowego, znane też pod akronimem ICM.

Jednostka dysponuje zaawansowaną infrastrukturą komputerową, w tym superkomputerem Okeanos (1084 węzły Cray XC40, każdy z dwoma 12-rdzeniowymi i 24-wątkowymi układami Intel Xeon i 128 GB RAM), który jest udostępniany poprzez sieć zewnętrznym instytucjom badawczym. Są to m.in. polskie centra meteorologiczne i zespoły akademickie działające w ramach grantów naukowych. Oto zaś kluczowy fragment rzeczonego pisma:

Jak czytamy, 6 września 2019 r. nieokreślony włamywacz dostał się do serwera UW i podmienił serwer oraz klienta SSH, używane w infrastrukturze uwierzytelniania. Co następuje, przejął zapewne wszystkie wpisywane hasła i loginy, efektywnie uzyskując dostęp do kont użytkowników, a więc także reszty ich danych, z informacjami o zlecanych obliczeniach na czele.

Co to oznacza w praktyce? Osoby wykorzystujące superkomputer Okeanos przez około 5 miesięcy znajdowały się na widoku. Włamywacz ma ich nazwiska i dokładną wiedzę o prowadzonych badaniach. Nie wiadomo wprawdzie, jak zamierza te dane wykorzystać, ale łatwo dopisać sobie tutaj wątek szpiegowski. Nikt raczej nie uderzyłby w takim miejscu dla czystej zabawy.

Adam Haertle z Zaufanej Trzeciej Strony, wypowiadając się jako autorytet w dziedzinie cyberbezpieczeństwa, zwraca przy tym uwagę na archaiczny mechanizm logowania ICM, jakim niewątpliwie jest użycie klasycznego loginu i hasła po SSH. Dzisiaj we wrażliwych instytucjach stosuje się systemy kluczy, które efektywnie eliminują możliwość autoryzacji z poziomu niezaufanego komputera. UW ma taką opcję, ale nie jest ona domyślnie aktywna dla wszystkich kont. Haertle wyraża nadzieję, że chociaż administratorzy korzystali z kluczy, co jednak nie jest pewne.