Intervija ar iespējamo VID datu "zadzēju" Neo

„Pēc raidījuma „De facto” sižeta par datu noplūdi no Valsts ieņēmumu dienesta elektroniskās deklarēšanas sistēmas, ar „Kas notiek Latvijā?” redakciju sazinājās cilvēks, kas sevi sauc par Neo, ceturtās atmodas tautas armijas (4ATA) Kibernodaļas vadītāju, un piesaka sevi kā datu noplūdes īstenotāju. Atsaucoties uz Latvijas medijos publicēto, viņš piedāvāja sīkāk izstāstīt par VID datu noplūdi, to iespējamo izmantošanu. Ilgstoša sarakste čata formā noslēdzās ar vienošanos, ka daļa no šīs sarakstes publicēta intervijas formā pirms „Kas notiek Latvijā?” raidījuma par šo tēmu. Intervijas tekstā nerediģētas saglabātas čata formāta īpatnības un stilistika.

Jānis Domburs: - Kā var pierādīt, ka tik liels apjoms – 7,4 miljoni dokumentu no VID EDS patiešām ir kļuvis pieejams ārpus VID?

Neo: - Operācijas laikā no EDS mums izdevās nokopēt 7409565 dokumentus pilnībā (120.5 GB) un 416 dokumentus daļēji (1.6 GB, reālais apjoms nav zināms, tie parasti ir dokumenti ar milzīgiem pielikumiem), 182 dokumentiem pieprasījums EDS sistemai nosprāga (parasti neapstrādāta kļūda dēļ nekorekta simbola XML failā) un 19280 gadījumos dokuments ar attiecīgu numuru neeksistēja (izdeva kļūdas paziņojumu).

Piedāvāju tiešraidē izvēlēties jebkurus numurus no 1 līdz 7400000 un es pateikšu, kādi dati atrodas EDS dokumentā ar attiecīgo numuru.

Pats saproti, ka tas būtu bezatbildīgi un neapdomīgi no mūsu puses tos datus izlikt publiski - ciestu nevainīgie. Pat vienkārši saraksts ar 7400000 ierakstiem numurs -> uzņēmums ir maigi izsakoties ne pārāk maziņš. Un mums vēl tāds klucis būtu jānodod publikai, sevi neatklājot?

- „De facto” aizsūtījām sarakstu ar numurs -> uzņēmums 1000 diezgan secīgiem ierakstiem. Tas arī izskaidro, kāpēc parādījās tieši tās firmas, nevis kādas citas. Ja nemaldos raidījumā par numuru secību nekas netika teikts.

Otrkārt, pieprasījuma URLī bija jāmaina dokumenta id. Nekādu iespēju uzzināt pirms lejupielādes, kuri id atbilst kādām iestadēm, nebija. Atlika tikai secīgi pārlasīt visus id. Un tikai tad, apstrādājot visu to dokumentu blāķi, var atlasīt interesējošās / aizdomīgās iestādes un uzņēmumus.

- Tāpēc, ka caurumu beidzot aiztaisīja un par to vispār centās noklusēt. Tāpēc pieņēmām lēmumu, ka šis fakts jālaiž gaisā ātrāk. Ja caurums nebūtu aiztaisīts, tad pēc sākotnējā plāna bija paredzēts materiālus un faktus laist gaisā marta beigās.

- Noskatīšos „Panorāmas” ierakstu un tad varēšu ko vairāk komentēt. Vispār jau es sevi uzskatu par vietējo bāleliņu, lai arī pašreiz atrodos UK :)

- Par to, ka „Exigen” atklāja caurumu varētu būt taisnība. 1. un 2. februārī bija vērojama ātrdarbības uzlabošanās - līdz 80K dokumentiem naktī. Acīmredzot „Exigen” kaut ko bija uzlabojis un sekoja sistēmas darbībai.

Par Kažas tekstu "Kiberbālēliņi tika pārsteigti, tāpat kā klejojošs suns, kas vienmēr tiek barots kādās mājās, bet pēkšņi vairs ne" - par cauruma aiztaisīšanu mēs nu gan nebijām pārsteigti, mēs bijām pārsteigti, ka mums tik ilgi ļāva datus kopēt.:) Pie tam, lai netraucetu parastiem lietotājiem (EDS ir bremze, GetDuf.aspx vēl lielāks), mēs parasti datus kopējām ārpus parasta lietotāja darba laika. Tā kā mūsu ģenerētajam trafikam tiešām bija jākrīt acīs.

Par to, ko es esmu lasījis / redzējis no Latvijas. Varu pateikt - Jakāns pilnīgs idiots, Gudele cenšas līdzināties, visi pārējie cenšas vainu novelt cits uz citu :) Arī Zalāns izceļas - sācis reklamēt savu ID karšu projektu, lai gan viņa apgalvojums par to, ka ID kartes veicinās datu drošību / mazinās datu noplūdes briesmas ir pilnīgs bleķis. Tas ir tāpat, kā pateikt - pasu ieviešana mazinās risku tikt apzagtam vai aplaupītam. Pie tam caurums vienotā sistēmā var pavērt ceļu nokopēt daudz reiz lielāku datu apjomu.

N: - Atmaskot izzadzējus ir lielais organizācijas mērķis. Neviens nesolīja, ka tieši ar šiem datiem var visus noķert. Bet šos datus apstrādājot un nedaudz anonimizējot var dot analītiskajiem žurnālistiem, lai rok.

N: - Tu domā, ka mums ir tik lieli resursi, lai spētu visu to informācijas blāķi rūpīgi izanalizēt + piesaistīt citus avotus Latvijā? Tur ir ļoti daudz darba - varam padalīties ar atbildīgiem žurnālistiem. Varbūt arī KNABam var piešķirt ierobežotas tiesības, ja tas ir ātrāk nekā viņi var oficiāli var saņemt datus no VID.:)

N: - Tur ir arī PVN atskaites, kurās figurē darījuma partneri > 500 Ls. Var mēģināt izsekot kādas ķēdes.

N: - Domāju, ka vislabāk konkrēti šos faktus var izmantot reāli skaitļos parādot, ka visas strukturālās reformas ir bijis bleķis. Dombrovskim varētu noderēt :)

N: - Jā.

N: - Vainīgi ir VIDs, „Exigen” un vēl kādi citi (auditori). Katram sava vaina. Bet vislielākā vaina jāuzņemas tiem, kas organizēja valsts IT projektus, rūpējoties tikai par to, kā pēc iespējas vairāk izpumpēt naudu atpakaļ sev, partijas melnajām kasēm.

Un vēl cauruma "ģenialitātes" aspekts ir tajā, ka tad, kad šādu "caurumu" atklāj (un caurumus agrāk vai vēlāk atklāj), tad vienmēr var pateikt - ups, nu baigi kļūdījāmies. Ja caurums ir ielikts  sarežģīts, tad jautājums par to, vai tas ir speciāli vai nē, vairs nerodas.

N: - Mēs darījām to tā, kā uzskatījām par labāku tajā brīdī. Tik liels datu apjoms mums rādījās tikai sapņos. Sākām datus kopēt piektdienas vakarā, lai vismaz līdz nākošai pirmdienai savāktu pēc iespējas vairāk. Pirmdien skatījāmies, neviens neko nav pamanījis. Tad mēs sākām kļūt nekaunīgāki un nekaunīgāki - palielinot vienlaicīgo pieprasījumu skaitu. Bet neviens caurumu ciet netaisīja.

Interesanti, ka id secībā ir caurumi. pieprasot neeksistējošo dokumentu, izskatījās, ka tika ģenerēts un saglabāts kāds kļūdas paziņojums sistēmā (atbildē pieauga kaut kāds skaitītājs). Tātad paziņojumi par kļūdām tika kaut kur saglabāti, bet neviens tos nekontrolēja.

N: - Atkal neprecīzs atreferējums. 4ATA aģentam (varbūt precīzāk 4ATA atbalstītājam, kurš mums nodeva šo informāciju) viens cilvēks, kas piedalījās pie EDS izveides (ietver ne tikai programmēšanu) pie "alus kausa" izpļāpājās. Pēc tam "aizgāja ciet".

N: - Jā, iedzēris nepateica, pēc tam saprata, ka izmuldējies par daudz. Un - nevis VID aģents, bet cilvēks, kas piedalījās EDS izveidē. Problēma jau tā, ka būtu naivi cerēt, ka kāds kādam devis rakstiskus rīkojumus.

N: - To es nevaru pateikt. Mēs par iespējamo caurumu uzzinājām 2009. gada pavasarī. Tas, ka tas varētu būt senāk, ir loģisks pieņēmums.

N: - Pavasarī mēs uzzinājām, ka eksistē caurums, bet ne jau kāds tieši caurums.

N: - Jā, to var atrast, ja esi EDS lietotājs. Mēs atskaites VIDam Latvijā neiesniedzam. Godīgi sakot, tikai laimīgas apstākļu sakritības dēļ atklājām. Tad divus mēnešus gatavojāmies, lai mūs nevarētu izsekot vai arī to būtu pēc iespējas grutāk izdarīt.

N: - Nedēļas nogalē, pašās oktobra beigās, sākām pumpēt. Dīvaini, ka visur atskan tikai novembris, nevis oktobra pēdējie datumi. Jakāns vispār operēja tikai ar laikiem, ko mēs uzrakstījām „De facto”. Kā jau teicu, dati tika sākti kopēt dažas dienas pirms novembra, un katrā gadījumā tie nebijām mēs, kas "veica uzbrukumus" VIDam kopš 2009. gada pavasara. Iespējams Jakāns svētdienas vakarā "sajuta karstu elpu pakausī" un iedomājās par "neizbēgamām sāpēm zem jostas vietas", tāpēc arī pirmais sāka skaļi komentēt un saukt "ķeriet zagli" :)

N: - Nu bet mēs taču neesam 12. klases skolnieks, kurš draudu vēstuli nemāk nosūtīt. :) Es varu atklāt vēl vairāk - tās IP adreses, kas rādās VID web access logā ir no gala datoriem, tur ķēdē pa vidu ir vēl pāris datoru. Un viss skaisti noslēdzas open wireless access pointā kādā melno rajonā :)

N: - Nu ko nozīmē manuāli? protams mēs neizmantojām browserī un id ar roku nemainījām :) Vietas izvelētas, programmas palaistas, dati savākti. Un tā atkal un atkal. Vietas pa laikam nomainītas, lai samazinātu risku vel vairāk. Ja interesē programma, kas lejupielādēja, tad tā ir curl, tur var daudz dažādus parametrus uzstādīt, ieskaitot automātisku id mainīšanu. Protams vēl bija pašu rakstītas palīgprogrammas un palīgskripti.

N: - Lauzt mēs neko nelauzām. Nekādu autorizācijas sistēmu neapgājām, tās vienkārši nebija. Web serverim "kreisos" requestus nesūtījām. Pie tam, atverot www2.vid.gov.lv, nav nekāda apraksta par to, ko drīkst vai nedrīkst - redirects uz login lapu. Arī robots.txt (kas ir defacto standarts botu darbību atļaušanai vai aizliegšanai) uz severa nebija. Nu tad mēs ņēmām un saskaņā ar VID (ne)uzstādītiem noteikumiem "spēlējāmies" publiski pieejamā serverī :)

N: - Ja mēs publiskotu pilnus XML failus, tad būtu nāktu aizstāvībai par sliktu :) Bet mēs labāk centīsimies izvairīties no juridiskas mūsu aizstāvības argumentu testešanas :) Lai gan, Latvijas likuma rokai līdz šejienei tālu :) Ja DP līdz martam neatbrauks pēc manis uz UK, būs vien man pašam martā jāaizbrauc uz Latviju paciemoties - uz vietas paveras papildus iespējas daža veida penetration testiem :)

Starp citu, runājot par VID EDS. Auditoriem un VIDam ir leils fui, ka izmanto kaut kādu Latvijas Pasta izdoto SSL sertifikātu, kuru neatpazīst browseri. Tie brīdina, ka iespējams ir kaut kādas problēmas ar sertifikātu un lietotāji pierod spiest Accept security exception. Tas paver ceļu vieglam Man in the middle uzbrukumu. Pajautājiet bankām, kāpēc viņi izmanto starptautiski atzītus SSL sertifikātus.

N: - VDI varētu uzprasīt, vai tad, ja mēs vārdus, uzvārdus, PK aizvietosim ar citu ID un publiskosim, vai tas būs pārkāpums vai nē? :) Ja publiskotajos datos kāds uzraks kaut ko aizdomīgu, varēs pa tiešo iestādei paprasīt, kas tas par cilvēku. Vai arī mēs pie pamatotām aizdomām varam atklāt mūsu id -> vārds, uzvārds, PK.

N: - Mēs izdomājām, ka lielākai drošībai labāk, ja cilvēki ir vairāki un dažādās vietās. Un netika iesaistīti visi cilvēki no brigādēm - tika atlasīti tikai daži izpildītāji.

N: - Par abiem. Privātos mums tā kā nav interese aiztikt. Taču tos, uz kuriem krīt aizdomas, varētu arī pakratīt. Piemēram, Puisīša kantoris, ar Nodarbinātības aģentūru saistītie, Dienvidu tilts utt. Varbūt arī RIMI mazāk satrauksies, ja mēs pārbaudīsim, vai „Maxima” oficiālās algas nav aizdomīgi mazas.:)

N: - Pēc mūsu aplēsēm tagad numuri ir nedaudz virs 8 miljoniem. To var paskatīties jebkurš EDS lietotājs, izveidojot jaunu dokumentu. Mums pietrūka burtiski nedēļas vai divu, lai panāktu "realtime".:)

Tā kā uzņēmumi var neprasīt VID, lai tas publicē sarakstu ar uzņēmumiem, par kuriem informācija tika nokopēti. Jebkurš uzņēmums var ieiet EDSā un paskatīties, kādi ir viņa dokumentu numuri. Mūsu rīcībā ir dokumenti ar numuriem līdz 7300000 (trūkst tikai 34 dokumenti),  94447 dokumenti ar numuriem intevalā no 7300000-7400000 un 35030 dokumenti intervālā no 7400000-7500000. Dokumenti ar lielākiem numuriem nav.

N: - Mēs visu darījām kā parasti. Kā jau teicu 1. un 2. februārī bija "nedabisks" ātruma palielinājums. Iespējams tika upgreidota sistēma, lai tiktu galā ar aizvien pieaugošo lietotāju skaitu. No šī gada 1. janvāra pilnīgi visiem jāiesniedz dokumenti caur EDS. No 2009. gada 1. janvāra tas attiecās tikai uz valsts iestadēm.

N: - Ja saņemtos, varētu rīt tiešraidē sākt ar Saeimas algu sarakstu, cik nu viņiem tā vēsture tur EDSā ir :) Pēc tam turpināt ar ministrijām, aģentūrām utt. bez izņēmuma. Tā kā Urbanovičam savā ziņā ir taisnība - tas tiks izmantots priekšvelēšanu cīņā... pret visiem :) Kurš vairāk, kurš mazāk sasmērējies, tās jau būs partiju problēmas vai ieguvums.

N: - Publiskas ir amatpersonu gada ienākumi - nevis visu darbinieku algas :) Var redzēt, vai nav gadījusies kāda prēmija "bada laikos". Varēs redzēt tendences - kas atlaists (reformu dēļ), kā mainījušās algas augšām un kā apakšām, vai ir kādi cilvēki, kuri nav amatpersonas, bet saņem aizdomīgi daudz utt.

N: - Kāds anonīms avots?! EDS - VID dati :) Pats saproti - neviens no 4ATA neies pa ielu vicinādams disku ar datiem, uzzīmējot sev sarkanu mērķi uz pieres :) Varam paanalizēt, piemēram, „Rīgas satiksmi”, kas kauc, ka naudas nav un vajag subsīdijas, jāceļ cenas utt.

Vēl par VID EDSu. To vajadzēja uzstādītājiem / auditam / adminiem noķert - ja notiek kļūda (ir daži "kreisi" dokumenti) un ir neapstrādāta kļūda, tad lietotājam parādās pilns stacktrace  ar piebildi lejā, ka production vidē ieteicams atslēgt pilnu kļūdas apraksta sūtīšanu lietotājam :)

Vēl viens interesants fakts - ar autorizāciju datu attēlošanā HTML formātā (tur URLī kaut kāds kāds cits aspx būtu, neatceros vairs) viss bija kārtībā, bet GetDuf.aspx bija atstāts bez jebkādas autorizācijas. Tātad Exigen vispār zināja, ka IT sistemās pastāv tāda lieta kā autorizācijas problēma un mācēja to risināt :)

N: - Izstrādātājiem un auditoriem vēl daļa naudas jāatgriež. Godīgi sakot - parastu VID informātiķu (ne vadības) man pat kaut kā žēl paliek - viņus par vienīgiem grēkāžiem pataisīs. Tā sieviete „De facto” sižetā blakus Jezdakovai gan noteikti ir sajaukusi savu vietu.

Starp citu, mēs nesaprotam vienu lietu no Internetā lasītā un redzētā. Kāpēc VID vēl liedzas un cenšas samazināt datu noplūdes apjomu? Viņi no web access logiem var ar pavisam vienkāršām darbībām atlasīt visus GetDuf.aspx, tur visi dokumentu numuri parādītos. Vai arī viņi atslēguši log failu, lai paātrinātu EDS servera darbību :) Tas gan būtu vēl viens epic fail :)

N: - Ja mēs būtu gribējuši tirgoties, tad to jau sen būtu darījuši. Bet vispār jau VID informācijas pārdošana biznesa konkurentiem un krimināliem elementiem ir VID ierēdņu kompetence :)

N: - Es gribētu apgalvot, pie mums dati ir daudz lielākā drošībā nekā VIDā. Smieklīgi, bet fakts :) Te mēs atbildam ar galvu par to drošību, nevis uzņemamies politisko vai kolektīvo atbildību jeb bezatbildību :)

N: - Mūsu iekšējā kārtība. Pie datiem netiek visi - tikai izredzētie 3.  Vari visiem skaļi pateikt, ja kāds sāk / sāks  piedāvāt VID informāciju 4ATA vārdā, lai laiž lodi pierē :)

N: - Armijā ir 3 spējīgi IT cilvēki.

N: - Piedod, mēs biedru un atbalstītāju sarakstu neizsūtīsim :) Pie tam mūsu darbības veids ir balstīts uz neatkarīgām šūnām, kuras vajadzības gadījumā var organizēt kaut kam lielākam.

N: - Šie ir tikai "ziediņi" :) Par izvēlēto šūnu modeli - jo vairāk cilvēku fiziski viens otru pazīst, jo lielāks risks visiem iekrist, ja kādu aiztur.  Bet nav jau gluži tā, ka mēs gribam pārkāpt pēc iespējas vairāk likumu :) Mūsu izvēlētie mērķu sasniegšanas līdzekļi ir nevardarbīgi, atšķirībā, piemēram, no "Taisnības stundas", kuriem mērķi ir līdzīgi, bet kuri vairs netic, ka tos iespējams panākt likumīgā ceļā...

Un kāpēc reti kurš atceras Finka pareģojumus par Latviju? Varbūt 4ATA ir viens no pirmajiem viļniem?...”

kasjauns.lv/www.knl.lv/Foto: Bulls Press