Του Αναστάση Βασιλειάδη
Cybersecurity Expert
Πρόσφατα, κατά τη διάρκεια μιας συστηματικής αξιολόγησης ασφαλείας, εντόπισα μια κρίσιμη ευπάθεια στα συστήματα της 2ης Υγειονομικής Περιφέρειας Πειραιώς & Αιγαίου. Ως επαγγελματίας στον τομέα της κυβερνοασφάλειας, πιστεύω ακράδαντα στη σημασία της ενημέρωσης και της ευαισθητοποίησης σχετικά με θέματα διαδικτυακής ασφάλειας.
Τι εντόπισα:
Κρισιμότητα: Υψηλή
Επίπτωση: Πλήρης πρόσβαση στον διακομιστή και στον πίνακα διαχείρισης
Κίνδυνος: Έκθεση ευαίσθητων προσωπικών δεδομένων πολιτών
Αν και η ευπάθεια από μόνη της ήταν σοβαρή, αυτό που πραγματικά προκάλεσε ανησυχία ήταν η διαπίστωση ότι ο χρήστης της βάσης δεδομένων είχε πλήρη δικαιώματα διαχειριστή – μια ξεκάθαρη εσφαλμένη ρύθμιση που δυστυχώς δεν είναι εντελώς ασυνήθιστη.
Το πιο ανησυχητικό όμως ήταν η αποθήκευση κωδικών σε μορφή απλού κειμένου στη βάση δεδομένων – μια πρακτική που είναι απαράδεκτη το 2025!
Συμβουλές ασφαλείας για οργανισμούς:
1. Κρυπτογράφηση κωδικών πρόσβασης: Οι κωδικοί πρέπει πάντα να αποθηκεύονται σε κρυπτογραφημένη μορφή, χρησιμοποιώντας σύγχρονους αλγόριθμους κατακερματισμού (hashing) όπως bcrypt ή Argon2.
2. Αρχή των ελάχιστων προνομίων: Οι χρήστες βάσεων δεδομένων πρέπει να έχουν μόνο τα απολύτως απαραίτητα δικαιώματα για την εκτέλεση των καθηκόντων τους.
3. Τακτικοί έλεγχοι ασφαλείας: Η διεξαγωγή τακτικών ελέγχων και δοκιμών διείσδυσης μπορεί να εντοπίσει έγκαιρα τέτοιες ευπάθειες.
4. Ενημέρωση συστημάτων: Η διατήρηση των συστημάτων ενημερωμένων με τις τελευταίες ενημερώσεις ασφαλείας είναι θεμελιώδης.
5. Εκπαίδευση προσωπικού: Η συνεχής εκπαίδευση των διαχειριστών συστημάτων σε θέματα ασφάλειας είναι απαραίτητη.
Υπεύθυνη Αποκάλυψη:
Μετά την ανακάλυψη αυτής της ευπάθειας, ακολούθησα τις αρχές της υπεύθυνης αποκάλυψης, ενημερώνοντας άμεσα τους αρμόδιους φορείς ώστε να διορθωθεί το πρόβλημα πριν γίνει δημόσια γνωστό.
Μοιράζομαι αυτή την εμπειρία όχι για να επικρίνω, αλλά για να τονίσω τη σημασία της εφαρμογής βασικών πρακτικών ασφαλείας, ιδιαίτερα σε συστήματα του δημόσιου τομέα που διαχειρίζονται ευαίσθητα δεδομένα πολιτών.
Η δημιουργία ενός ασφαλέστερου διαδικτύου είναι ευθύνη όλων μας. Ας εργαστούμε μαζί για την προστασία των ψηφιακών μας υποδομών και των προσωπικών μας δεδομένων.
