Госуслуги, уязвимость сессии

С августа 2021 года (по информации знакомого, работающего в гос.центре) на портале госуслуг (далее ЕПГУ) ввели ограничения/усложнения на самостоятельную привязку мобильного номера телефона к действующей, подтвержденной учётной записи пользователя, подобными действиями увеличив на сотрудников нагрузку, оказывающих в тч и услуги по привязке мобильного к учётке пользователя. Запасной вариант (не для всех): номер абонента так же можно привязать к ЕПГУ, например, через Сбербанк, Почтабанк (если имеются полноценные аккаунты в этих сервисах).

С одной стороны разработчики ЕПГУ добавили неудобства для пользователей (особенно это затронуло стариков и инвалидов, а знакомства со связями вряд ли ‘помогут’) и дополнительную нагрузку на госработников, а с другой стороны усилили безопасность (т.к. кто угодно уже не сможет привязать номер мобильного телефона без ведома пользователя ЕПГУ).

Life

Отец-пенсионер получал различные госуслуги через ЕПГУ, но всё равно ногами, так как в силу возраста не понимает современные технологии. Государство само стимулирует граждан пользоваться электронными услугами в равной степени независимо от возраста и состояния здоровья.

Приблизительная последовательность действий: поход гражданина, который не разбирается в подобных вещах, таких, как ЕПГУ и как им пользоваться к госам (те же очереди, только через другие окна); сотрудники ведомств просили ‘логин’ и ‘пароль’ от ЕПГУ-учётки пользователя, заходили в лк ЕПГУ пользователя и осуществляли нужные манипуляции с данными, что само по себе уже с однобокой стороны является not safe. По окончанию оказанию помощи, распоряжение судьбой сессии лк пользователя ЕПГУ находилось во власти сотрудника, который мог в теории завладеть персональными данными пользователя: сохранить cookie, наделать информативных скриншотов, а также сохранить логин и пароль пользователя, создавая свою БД.

Отступление: по моему личному наблюдению, чем ‘шире’ контора, тем выше цифровые риски. Например, когда я получал перевыпуск банковской карты в Сбербанке, мою старую карту попросили и ушли с ней в неизвестном направлении на пару минут, а по приходу сообщили, что ее уничтожили, но большее удивление вызвал другой факт, что сотрудница банка принесла новую карту взамен старой, как на ладони в прямом смысле слова (без защитного конверта).
На вопрос:

— ‘а так можно? Это же не конфиденциально. Данные карты можно списать и пд.’, а в ответ:
— ‘мы сотрудники банка, там УК РФ, если что-то неправомерное….

Вот такая защита конфиденциальных данных граждан реализована: на честном пионерском, банковском слове.

Провел отцу бодрящую лекцию по ИБ и предложил установить на вход его учётки 2FA, а как побочное неудобство: ему необходимо лично посетить с документами МФЦ. Поворчав, он согласился, сходил и получил привязку мобильного телефона к своей учётке ЕПГУ.

Баг-Фича

Логика

• Предоставив в будущем: гос.сотрудникам логин/пароль пользователь может не переживать, что его конфиденциальные данные могут быть скомпрометированы и в дальнейшем использоваться не по назначению (так как при входе в ЕПГУ будет требоваться дополнительный пароль из смс).

• Предыдущую активную сессию можно завершить на любом своём устройстве (закрыть все сессии кроме текущей, не дожидаясь её автоматического истечения) и надеяться, что личные данные в безопасности.

К сожалению, второй пункт в ЕПГУ не работает в действительности.

В разных цифровых системах 2-й пункт реализован по разному, например, в Tg имеется кнопка ‘завершить все другие сеансы‘, в Яндексе достаточно нажать ‘выйти' из аккаунта и все предыдущие сессии будут закрыты и тд.

В лк ЕПГУ web-версии нет ‘особой кнопки’ во вкладке ‘безопасность’, но так же, как и в других системах присутствует возможность ‘выйти’ из учетки.

После такого выхода в журнале лк фиксируется ‘ точка выхода’, но все предыдущие сессии на других разных устройствах/ip остаются ‘живыми’, что собственно и является дырой и обесценивает функционал 2FA на портале ЕПГУ при всех неудобствах, которые существует — лишь бы сделать сервис конфиденциальнее.

Добросовестно хотел направить письмо в техподдержку, но государевы люди не принимают письма, только звонки и переписка в чате (удивительно, но некоторые компании так всё еще делают). Будний_рабочий день, а в чате кажется нет живых, на момент опубликования статьи я не достучался до ТП.

Предварительный вывод — ЕПГУ уязвим.

Лично я не удивлён, что персональные данные пользователей текут, как символы в Матрице на экране монитора оператора Навуходоносора.

Пенсионер по большому счету зря посещал МФЦ и вряд ли согласиться вновь поучаствовать в кампании по ИБ своего аккаунта.

А разработчикам ЕПГУ необходимо улучшать конфиденциальность системы пропорционально усложнению жизни пользователей портала (особенно для категории льготников).