הממשלה ללא נעילה

סטטיסטיקת מסע פרסום

סיור פסיבי אחד נגד אחוזת האינטרנט הממשלתית של האיטי - משרדים, גופי פיקוח פיננסיים, מנגנון האבטחה ותת-דומיינים שהתגלו בשקיפות תעודות - הניב את התוצאות המצטברות הבאות. כל בקשה הייתה HTTP לא מאומתGET. לא נעשה שימוש באישורים. לא נפרצו מערכות.

זה התחיל עם רישום ספרייה

לא היה ניצול. הייתה כתובת URL.

curl -s https://civitax.gouv.ht/

civitax.gouv.ht is Haiti's municipal tax administration application — the system that handles property census (Recensement) and tax billing (Bordereau) records for citizens. The server did not return a login wall. It returned a full directory listing of the entire application: source files, report pages, statistics modules, security-administration pages (Edit_User, GroupRights), and downloadable .rar archives of the Recensement and Bordereau modules.

The application runs Telerik UI v2013.3.1015.40 — a component stack vulnerable to CVE-2017-9248 (cryptographic weakness) and CVE-2019-18935 (unauthenticated remote code execution). The Telerik DialogHandler.aspx endpoint answered with 200 OK. The IIS trace.axd handler existed. What is supposed to be a controlled government tax system was, in practice, an open filing cabinet with the drawer already pulled out.

לא נדרש אימות. שום ניצול לא הופעל. אינדקס הספרייה היה ציבורי לפי תצורה - או ברשלנות. מנקודת מבטו של האזרח, ההבדל אינו משנה.

יעדים מוערכים

החקירה סחפה את האחוזה הממשלתית של האיטי בשכבות: 13 תחומי משרד, 15 סוכנויות פיננסיות ופיקוח, 9 תחומים צבאיים ובטחוניים, 13 תת-דומיינים של שקיפות תעודות שלא הוערכו בעבר, ו-20 יעדי דואר מסוג cPanel / גילוי אוטומטי. הממצאים להלן הם אלו החשובים.

3,233 אזרחים בגיליון אלקטרוני אחד

החפץ היחיד המזיק ביותר לא היה מסד נתונים. זה היה קובץ ציבורי באתר המכס:DOUANE-GOUV/downloads/Liste-des-candidats-retenus.xlsx- הרשימה המלאה של3,233 מועמדים שנשמרו לבחינת מכס האיטי (AGD)נושאת נתונים אישיים מלאים, כל אחד מהם.

Code         | Last Name  | First Name   | Sex | Phone            | Department
OE12AG7570   | Abdon      | Gerald       | M   | (+509) 5544-6924 | OUEST
OE12AO1940   | Abel       | Osmane       | M   | (+509) 4019-1719 | OUEST
ND18AC1872   | ABEL       | CAMY         | M   | (+509) 3259-5650 | NORD_EST

תאום כתוב (Liste-des-candidats-retenus-no_phone.xlsx) קיים באותו שרת - מה שמוכיח שהמוציא לאור ידע שמספרי הטלפון רגישים, ואז פרסם את הגרסה שהכילה אותם בכל מקרה.

על פני קורפוס המסמכים הרחב יותר, ODINT ניתוח227 מסמכיםו-EXIF סרוקות1,365 תמונותששוחזרו מנקודות קצה ממשלתיות ציבוריות. התשואה המצטברת: 59 כתובות דוא"ל ייחודיות, אלפי מספרי טלפון, מזהי מס של NIF, אנשים עם שם, קובצי PDF של תקציב וחוק כספים ונתוני תפעול של המכס (טבלאות קודי מכולה, נמל ומחסן של SYDONIA - כולל הפניה לנמל בינלאומי של 895 שורות). 18 משתמשי וורדפרס, מחברים ומגיבים נספרו ברחבי הבנק המרכזי (brh.ht), מנהלת המס (dgi.gouv.ht, שבה רשום חשבון Gmail אישי כמחבר), וסוכנויות אחרות, כל אחת עם ה-Gravatar Hash הציבורי שלה.

מדינה על אירוח משותף

הממצא המבני אינו פגיעות אחת - זו הארכיטקטורה. ממשלת האיטי פועלת על אירוח משותף לסחורות. אתרי משרד ואתרי פיקוח של ODINT עם טביעת אצבע עלBluehost,SiteGroundו-Hostingerתוכניות משותפות, כמה מהם מדליפים את מקור האירוח שלהם דרך כותרות מארח מקודדות base64. וורדפרס 6.9.1 חוזר על פני סוכנויות לא קשורות, מה שמציע מתחזק או תבנית משותפים. מהעיזבון הפיננסי והפיקוח, 10 מתוך 15 דומיינים היו פעילים (חמישה וורדפרס, שני Laravel, אחד מאוקטובר CMS, אחד IIS/ASP.NET עם גילוי נתיב שגיאה מפורט). מתוך תשעה תחומים צבאיים ובטחוניים, שבעה אינם קיימים ב-DNS ציבורי - היקף האבטחה הדיגיטלי של מדינת האיטי פשוט נעדר, במידה רבה.

כאשר תחום משטרה ארצי ניתן להצביע מחדש בשקט על פלטפורמת הונאה ואף אחד לא שם לב, הבעיה היא לא תיקון חסר. הבעיה היא שאף אחד לא מחזיק במפתחות.

נתונים גולמיים והורדות

כל העדויות שנאספו הועברו לארכיון וזמינות עבור חוקרים, עיתונאים וארגוני חברה אזרחית דרך שרת הנתונים של ODINT. הארכיון שפורסם מכיל את הלכידות לפי סוכנות ואת דוחות הסיור האנליטיים; כלי הספירה המשמשים לאיסוף זה מונעים בכוונה.