Сайт «Государственные закупки» уже работает: задержка была вызвана «техническим долгом» государства, отмечают эксперты

Спустя более недели после того, как мир был поставлен в состояние тревоги в связи с обнаружением критических уязвимостей в открытом исходном коде PHP — языке программирования, лежащем в основе значительной части Интернета, — Агентство по регулированию государственных закупок (ARCE) во второй половине дня в пятницу, 31 октября, восстановило работу своего веб-сайта. Восстановление сайта в течение дня происходило поэтапно: сначала стали доступны сведения о прямых закупках государственных органов, а через несколько часов — предложения по тендерам. Однако в этот понедельник раздел «Онлайн-закупки» по-прежнему недоступен. По-прежнему наблюдаются проблемы с функциями или субдоменами других правительственных сайтов, которые возобновили работу в течение прошлой недели. Например, на сайте Министерства внутренних дел невозможно просмотреть реестр пропавших без вести и осужденных лиц — пользователь перенаправляется на главную страницу. Также не работает раздел, посвященный системе «Амбер-алерт». Издание «Эль Паис» обратилось как в ARCE, так и в Центр реагирования на инциденты в сфере кибербезопасности при Agesic, чтобы узнать, сколько сервисов удалось восстановить после оповещения в среду, 21-го, и какие сроки предусмотрены для устранения остальных неполадок, но на данный момент ответа не получено. «Ни одна критически важная для государства система не может так долго не работать, их нельзя оставлять в нерабочем состоянии в течение недели», — прокомментировал задержку в работе системы «Государственные закупки» инженер-программист Данило Эспино. «Мы по-прежнему видим десятки государственных субдоменов, на которых отображается сообщение о техническом обслуживании или о блокировке доступа — это коды 503 или 403», — добавил Сантьяго Перес из Capybara Team, исследовательской группы по кибербезопасности в Латинской Америке. Оба эксперта сходятся во мнении, что в государственных веб-сервисах существует «технический долг», который затрудняет установку «патчей» — изменений в программном коде — в критических ситуациях, подобных той, что произошла с PHP. «В государственных системах сосуществуют современные порталы и системы обработки документов, которые были запрограммированы 10 лет назад на старых версиях PHP, официальная поддержка которых уже прекращена. В старых системах нельзя просто установить последнюю версию PHP, поскольку старый код несовместим, и тогда вся система перестает работать», — пояснил Перес. В свою очередь Эспино указал, что устаревание некоторых систем может привести к тому, что при обновлении всей страницы одна из ее функций «сломается». Примером может служить поиск пропавших без вести лиц на сайте Министерства внутренних дел: вероятно, было решено запустить в работу только самое необходимое и отложить обновление этого раздела, перенаправляя пользователей на главную страницу вместо того, чтобы вести их на «неработающий» сайт. Что касается «Compras Estatales», то задержка с восстановлением работы сайта обусловлена целым рядом факторов: помимо устаревания некоторых систем и «гигантских» масштабов государственных систем, по его оценке, наблюдался определенный недостаток «прогнозирования», технического обслуживания и, вероятно, кадровых ресурсов. Что касается кибербезопасности в таких неблагоприятных условиях, пояснил Перес, «либо вы устанавливаете защитный щит (веб-брандмауэр), чтобы отражать атаки, не затрагивая сервер, либо вам приходится задействовать программистов, которые в условиях жестких сроков переписывают и мигрируют устаревший код». Можно сказать, что теперь правительственные сайты «защищены» от уязвимостей в PHP, отметили оба собеседника, хотя неясно, какой путь для этого был выбран: были ли применены «официальные патчи» для этого кода или установлены брандмауэры для фильтрации трафика. Также остаются сомнения относительно того, кто занимался урегулированием этого кризиса — сотрудники Agesic или сторонние компании.