აშშ-ის ფედერალური საიტები მომხმარებლის კონფიდენციალურობას რისკის ქვეშ აყენებს
აშშ-ის სენატორმა რონ უაიდენმა საგანგაშო წერილით მიმართა კიბერუსაფრთხოებისა და ინფრასტრუქტურის დაცვის სააგენტოს (CISA) და მართვისა და ბიუჯეტის ოფისს (OMB). სენატორის განცხადებით, ფედერალური მთავრობის 350-ზე მეტი ვებგვერდი, მათ შორის FBI-ის ანონიმური შეტყობინებების პორტალი და ვეტერანთა კრიზისული ცხელი ხაზი, კრიტიკულად მნიშვნელოვან უსაფრთხოების ფუნქციას – Encrypted Client Hello (ECH)-ს არ იყენებს. ეს ხარვეზი ქსელში მყოფ მესამე პირებს საშუალებას აძლევს, დაინახონ, თუ რომელ საიტს სტუმრობს მომხმარებელი, მაშინაც კი, როდესაც თავად საიტი დაცულია HTTPS პროტოკოლით.
რა საფრთხეს ქმნის დაუცველი კავშირი?
მიუხედავად იმისა, რომ დღეს ფედერალური საიტების უმრავლესობა იყენებს HTTPS-ს, ეს სტანდარტი სრულყოფილად არ ფარავს ინფორმაციას. კავშირის დამყარების საწყის ეტაპზე, ე.წ. „Server Name Indication“ (SNI) ველში საიტის სახელი ღია ტექსტად გადაიცემა. ეს ნიშნავს, რომ ინტერნეტპროვაიდერს ან ნებისმიერ სხვა პირს, რომელიც ქსელურ ტრაფიკს აკონტროლებს, შეუძლია მარტივად დააფიქსიროს, რომ მომხმარებელი შევიდა, მაგალითად, tips.fbi.gov-ზე. მიუხედავად იმისა, რომ თავად შეტყობინების შინაარსი დაშიფრულია, ფაქტი იმისა, რომ მოქალაქემ FBI-ს მიმართა, უკვე საფრთხის შემცველი ინფორმაციაა.
ECH ტექნოლოგია სწორედ ამ ხარვეზს ასწორებს: ის შიფრავს კავშირის დამყარების პროცესს და მალავს საიტის მისამართს. უაიდენის თქმით, ბევრი საიტი უკვე იყენებს ისეთ ქსელებს, როგორიცაა Cloudflare, სადაც ამ ფუნქციის გააქტიურება მხოლოდ კონფიგურაციის ცვლილებას მოითხოვს და არ საჭიროებს დამატებით ტექნიკურ რესურსებს.
ვინ არის რისკის ქვეშ?
სენატორის მიერ შედგენილ სიაში მოხვდა არაერთი სენსიტიური პორტალი. მათ შორისაა იუსტიციის დეპარტამენტის სამოქალაქო უფლებების დარღვევის შესახებ საჩივრების საიტი, ჯანდაცვის ეროვნული ინსტიტუტის ალკოჰოლური დამოკიდებულების სამკურნალო სერვისები და იმიგრაციისა და საბაჟო კონტროლის (ICE) დაკავებულთა ადგილმდებარეობის საძიებო სისტემა. სიის ნახევარზე მეტი დიპლომატიურ მისიებს, საელჩოებსა და საკონსულოებს ეკუთვნის, სადაც უსაფრთხოება განსაკუთრებით მაღალი უნდა იყოს.
პრობლემის გადაჭრა სხვადასხვა საიტისთვის განსხვავებული სირთულისაა. მაგალითად, FBI-ის შემთხვევაში ეს მხოლოდ პარამეტრების განახლებაა, ხოლო ვეტერანთა საქმეთა დეპარტამენტის ვებგვერდი Amazon Web Services-ს ეყრდნობა, რომელიც ამ ეტაპზე ECH-ს სრულად არ უჭერს მხარს. სენატორი მოითხოვს, რომ მთავრობამ ეს მოთხოვნა ყველა მომავალ კონტრაქტორს წაუყენოს, რაც ბაზარზე არსებულ კომპანიებს აიძულებს, დაჩქარებული წესით დანერგონ უსაფრთხოების თანამედროვე სტანდარტები.
არსებობს თუ არა სრული დაცვა?
ექსპერტები აღნიშნავენ, რომ ECH არ არის „ჯადოსნური ჯოხი“. ის ეფექტურად მუშაობს მხოლოდ მაშინ, თუ მომხმარებელი პარალელურად იყენებს დაშიფრულ DNS-ს. გარდა ამისა, არსებობს გეოპოლიტიკური დაბრკოლებებიც. მაგალითად, რუსეთმა, სადაც აშშ-ის საელჩოს საიტები აქტიურად გამოიყენება, ოფიციალურად დაბლოკა ECH-ის გამოყენება, რადგან ის არღვევს მათ კანონმდებლობას. ასეთ ქვეყნებში ფუნქციის გააქტიურებამ შესაძლოა საიტი საერთოდ მიუწვდომელი გახადოს ადგილობრივი მომხმარებლისთვის.
სენატორმა უაიდენმა სააგენტოებს 2026 წლის 20 ნოემბრამდე მისცა ვადა, რათა წარმოადგინონ დეტალური სამოქმედო გეგმა. მიუხედავად იმისა, რომ ეს მოთხოვნა უსაფრთხოების გაუმჯობესებისკენ გადადგმული ნაბიჯია, საბოლოო შედეგი იმაზე იქნება დამოკიდებული, თუ რამდენად სწრაფად შეძლებენ ტექნოლოგიური გიგანტები, როგორიცაა Amazon, ამ სტანდარტის სრულფასოვან დანერგვას.