الحكومة بلا قفل

إحصائيات الحملة

وقد أسفرت عملية استطلاعية واحدة سلبية ضد مواقع حكومة هايتي على شبكة الإنترنت ـ الوزارات، وهيئات الرقابة المالية، والأجهزة الأمنية، والنطاقات الفرعية المكتشفة بموجب شهادات الشفافية ـ عن النتائج الإجمالية التالية. كان كل طلب عبارة عن HTTPGETغير مصادق عليه. لم يتم استخدام أي أوراق اعتماد. ولم يتم اختراق أي أنظمة.

لقد بدأت بقائمة الدليل

لم يكن هناك استغلال. كان هناك عنوان URL.

curl -s https://civitax.gouv.ht/

civitax.gouv.htهو تطبيق إدارة الضرائب البلدية في هايتي - النظام الذي يتعامل مع تعداد الممتلكات (Recensement) وسجلات الفواتير الضريبية (Bordereau) للمواطنين. لم يُرجع الخادم جدار تسجيل الدخول. أعادت قائمة الدليل الكاملةللتطبيق بأكمله: ملفات المصدر، صفحات التقارير، وحدات الإحصائيات، صفحات إدارة الأمان (Edit_User،GroupRights)، وأرشيفات.rarالقابلة للتنزيل لوحدات Recensement وBordereau.

يعمل التطبيق على تشغيلTelerik UIv2013.3.1015.40- مجموعة مكونات عرضة لـCVE-2017-9248(ضعف التشفير) وCVE-2019-18935(تنفيذ تعليمات برمجية عن بعد غير مصادق عليها). تم الرد على نقطة النهاية TelerikDialogHandler.aspxبـ200 OK. يوجد معالج IISTrace.axd. إن ما يفترض أن يكون نظامًا ضريبيًا حكوميًا خاضعًا للرقابة كان في الواقع عبارة عن خزانة ملفات مفتوحة مع سحب الدرج بالفعل.

لم تكن المصادقة مطلوبة. لم يتم نشر أي استغلال. كان فهرس الدليل عامًا بسبب التكوين أو بسبب الإهمال. ومن وجهة نظر المواطن فإن الفرق لا يهم.

الأهداف التي تم تقييمها

اجتاح التحقيق ممتلكات حكومة هايتي في طبقات: 13 نطاقًا للوزارة، و15 وكالة مالية وإشرافية، و9 نطاقات عسكرية وأمنية، و13 نطاقًا فرعيًا لشهادة الشفافية لم يتم تقييمها من قبل، و20 هدفًا لبريد cPanel / الاكتشاف التلقائي. النتائج أدناه هي تلك التي تهم.

3,233 مواطنًا في جدول بيانات واحد

القطعة الأثرية الأكثر ضررًا لم تكن قاعدة البيانات. لقد كان ملفًا عامًا على موقع الجمارك:DOUANE-GOUV/downloads/Liste-des-candidats-retenus.xlsx- القائمة الكاملة لـ3,233 مرشحًا تم الاحتفاظ بهم لامتحان جمارك هايتي (AGD)، كل صف يحمل بيانات شخصية كاملة.

Code         | Last Name  | First Name   | Sex | Phone            | Department
OE12AG7570   | Abdon      | Gerald       | M   | (+509) 5544-6924 | OUEST
OE12AO1940   | Abel       | Osmane       | M   | (+509) 4019-1719 | OUEST
ND18AC1872   | ABEL       | CAMY         | M   | (+509) 3259-5650 | NORD_EST

يوجد توأم منقح (Liste-des-candidats-retenus-no_phone.xlsx) على نفس الخادم - مما يثبت أن الناشر كان يعلم أن أرقام الهواتف حساسة، ثم نشر الإصدار الذي يحتوي عليها على أي حال.

عبر مجموعة المستندات الأوسع، قامت ODINT بتحليل227 مستندوالممسوحة ضوئيًا بـ EXIF ​​1,365 صورة تم استردادهامن نقاط النهاية الحكومية العامة. العائد الإجمالي: 59 عنوان بريد إلكتروني فريد، وآلاف أرقام الهواتف، ومعرفات ضرائب NIF، والأفراد المحددين، وملفات PDF الخاصة بالميزانية وقانون المالية، وبيانات تشغيلية جمركية (جداول رموز حاويات وميناء ومستودعات SYDONIA - بما في ذلك مرجع ميناء دولي مكون من 895 صفًا). تم تعداد ثمانية عشر من مستخدمي ومؤلفي ومعلقي WordPress عبر البنك المركزي (brh.ht)، ومديرية الضرائب (dgi.gouv.ht، حيث يتم تسجيل حساب Gmail الشخصي كمؤلف)، والوكالات الأخرى، ولكل منها تجزئة Gravatar العامة الخاصة بها.

حالة الاستضافة المشتركة

إن النتيجة الهيكلية لا تتمثل في وجود ثغرة واحدة، بل في البنية. تعمل حكومة هايتي على استضافة السلع المشتركة. بصمات ODINT للوزارة ومواقع المراقبة علىBluehostوSiteGroundوHostingerخطط مشتركة، حيث قام العديد منها بتسريب أصل الاستضافة من خلال رؤوس المضيف المشفرة بـ base64. يتكرر إصدار WordPress 6.9.1 عبر وكالات غير ذات صلة، مما يقترح مشرفًا أو قالبًا مشتركًا. من بين النطاقات المالية والإشرافية، كان 10 من أصل 15 نطاقًا نشطًا (خمسة WordPress، واثنان Laravel، وواحد CMS لأكتوبر، وواحد IIS/ASP.NET مع الكشف عن مسار الخطأ التفصيلي). من بين تسعة مجالات عسكرية وأمنية، سبعة منها غير موجودة في نظام أسماء النطاقات العام - إن محيط الأمن الرقمي لدولة هايتي غائب إلى حد كبير.

عندما يكون من الممكن إعادة توجيه نطاق الشرطة الوطنية بصمت إلى منصة احتيال دون أن يلاحظ أحد، فإن المشكلة لا تكمن في التصحيح المفقود. المشكلة هي أنه لا أحد يحمل المفاتيح.

البيانات الأولية والتنزيلات

تمت أرشفة جميع الأدلة التي تم جمعها وهي متاحة للباحثين والصحفيين ومنظمات المجتمع المدني من خلال خادم بيانات ODINT. يحتوي الأرشيف المنشور على اللقطات لكل وكالة وتقارير الاستطلاع التحليلي؛ ويتم حجب أدوات التعداد المستخدمة لجمعها عمدًا.