لماذا غالباً ما تكون صيانة الخوادم العامة ضعيفة ، وتستخدم برامج قديمة وغير آمنة؟
هناك العديد من التفسيرات لهذه الظاهرة المحزنة ، ولكن دعونا لا نتحدث عنها.
أنا أعيد كتابة هذا المقال للمرة الثانية منذ ذلك الحين منذ وقت ليس ببعيد ، تم إصلاح بعض المشاكل ، وبدا الوصول إلى ما تبقى لي بلا معنى. ولكن للأسف ، ونتيجة لهذه التغييرات ، عاد الوضع عملياً إلى ما كان عليه في الأصل.
هناك مثل شركة السكك الحديدية الروسية الرائعة. منذ وقت ليس ببعيد ،
تم طرح
موضوع على حبري مع الأمن في الصقور الشديدة ، مع
نهاية يمكن التنبؤ بها إلى حد ما .
سيكون من السذاجة الاعتقاد بأن هذه هي المشكلة الوحيدة في البنية التحتية للسكك الحديدية الروسية.
ومع ذلك ، نحن لسنا المتسللين ،
نعم ، الرفيق الرائد ، نحن لسنا من هذا القبيل . حسنًا ، سبان ، الذي كان يعتقد أن المهاجم الشرير سيشتري تذكرة ويبدأ القرصنة من الداخل. لذلك ، نحن فقط خارج الاهتمام الأكاديمي ، دعنا نرى مدى جودة الأمور على موقع السكك الحديدية الروسية. لا يمكن المبالغة في تقدير أهميتها وشعبيتها في مساحات شاسعة من الاتحاد السوفياتي السابق وليس فقط. كان من الممكن أن تكون هناك قصة تبعث على الحزن حول كيفية اكتشاف هذه المشكلة عند شراء تذكرة لقط محبوب ، لكنني آمل أن تتمكن هذه المرة من الاستغناء عن الكذب من القصص المسيلة للدموع والانغماس على الفور إلى واقع قاسي.
لذلك لن ننشر رأسًا على شجرة.
هناك مثل هذه
الخدمة الرائعة والحرة
دعونا نحاول استخدامه للتحقق مما لدينا من خلال الموقع rzd.ru ، حيث يترك ملايين الأشخاص معلوماتهم الشخصية. من المحتمل ألا يكون هناك أي عيوب واضحة هنا ، فمن الطبيعي أن نفهم أن هذه الخدمة تختبر الموقع فقط ، ولا ينبغي بأي حال اعتبار هذه البيانات صحيحة في الملاذ الأخير وعلى الأقل نوع من التدقيق الجاد.
الوضع في الوقت الراهن .
الوضع في وقت الكتابة
إذا كان أي شخص مهتمًا ، فهذه هي الطريقة التي نظرت بها النتيجة قبل أن تبدأ السكك الحديدية الروسية في تغيير الإعدادات:
كما ترون النتيجة غير مرضية.
يجب أن تثق في هذا الموقع مع بياناتك الشخصية؟
يمكننا أن نرى أن SSL V3 يستخدم ، والذي تم إهماله في عام 2015.
CVE-2014-3566 ، الملقب poodle ، الضعف 2014 (!!!) من السنة
ولكن يتم دعم الأنبوب الدافئ IE6 ، وأعتقد أن مشرفي المواقع ومصممي التصميم في المدرسة القديمة يتذكرون جيدًا مدى سهولة ومتعة تقديم الدعم.
حسنًا ، بالطبع ، جميع الأصفار المدعومة إما ضعيفة أو ضعيفة.
والكرز على الكعكة هو بروتوكول التشفير الوحيد الذي لم يتم إهماله اليوم ، والذي يدعمه rzd.ru هو TLS 1.0. أبرز ما يميز هذا الموقف هو أنه ، كما
كتب سابقًا على Habré ، في عام 2020 ، تخطط معظم المتصفحات الشائعة للتخلي عن دعمها.
الارتباط.لذلك ، إذا لم تفعل شركة السكك الحديدية الروسية في عام 2020 أي شيء ، فسيكون لدى العديد من المستخدمين شيء مشابه لهذا بدلاً من الموقع
في الواقع ، هذا أمر جيد إلى حد ما ، فربما ستجبر المشكلات الهائلة المتعلقة بإصدار التذاكر من المستخدمين قليلاً على الأقل للقيام بالموقع. وأعتقد أنهم سيجدون شخصًا يتحمل المسؤولية عن هذا التحويل الخاطئ ضد السكك الحديدية الروسية. والمهاجمين ، وماذا تفعل معهم ، ولماذا.
لماذا كان من الممكن اختراق؟ ربما لأن المهاجم. (C) مدير تكنولوجيا المعلومات للسكك الحديدية الروسية ، يفغيني شاركين.