Мы протестировали порталы государственных услуг по новым методикам, оценивающим надежность HTTPS-соединения с ними и уровень защиты от XSS, а также сравнили их с сайтами соцсетей, банка, транспортных и сервисных компаний. Результат в чем-то предсказуемый (с безопасностью электронных госуслуг все плохо), а в чем-то нет (у большинства сайтов из «контрольной группы» дела не лучше), но давайте обо всем по порядку.
Итак, мы исследовали три портала госуслуг – общероссийский, московский и подмосковный – по новым методикам расчета Индекса надежности HTTPS и Индекса защищенности от XSS, придуманным для проекта «Монитор госсайтов».
Исследовались не только основные хосты порталов, а целые «пулы» хостов, т.е. все обнаруженные хосты, с которых эти порталы загружают ресурсы в процессе получения гражданами электронной госуслуги: www.gosuslugi.ru, oplata.gosuslugi.ru, lk.gosuslugi.ru и т.д. Для сравнения мы также исследовали сайты «В контакте», «Одноклассники», «Сбербанк онлайн», личных кабинетов абонентов «Билайн», «Почты России», РЖД, «Аэрофлота» и портал авторизации в сервисах «Яндекса».
Результаты опубликованы в докладе «Порталы государственных услуг: мнимая защищенность», название которого достаточно красноречиво: Индекс надежности HTTPS подмосковного портала госуслуг составил 37 баллов, всероссийского – 12, а московского – 11 из 108 возможных.
Эти баллы складывались из самозаверенного TLS-сертификата контролера входящего трафика Ingress Controller, выставленного в Сеть как сертификат веб-сайта, поддержки в 2021 году протокола SSL, незакрытых CVE-2014-3566 (POODLE), CVE-2016-2183/CVE-2016-6329 (SWEET32), CVE-2016-2107 (OpenSSL Padding Oracle) и прочих чудес на серверах, чье ПО не обновлялось годами, а настройки приличествуют скорее сайту пивной палатки, чем государственному порталу, обрабатывающему и хранящему личную, финансовую и иную чувствительную информацию миллионов россиян, «защищая» ее в том же 2021 году шифронабором TLS_RSA_WITH_3DES_EDE_CBC_SHA. Если кто не уловил сарказма, то все алгоритмы, используемые в этом шифронаборе, ненадежны либо уязвимы.
Для сравнения индекс сайта «Аэрофлота» составил 60 баллов, а социальных сетей «В контакте» и «Одноклассники» – 57 и 58 баллов соответственно.
Да, зрение вас не подводит: у «Сбербанк онлайн» один из худших рейтингов. Не верите – проверьте, ознакомьтесь с методикой, с пояснениями к ней, найдите изъяны, ткните в них носом – будем признательны и займемся доработкой.
Не лучшие результаты у порталов госуслуг и в Индексе защищенности от XSS: 0 баллов у всероссийского и по 10 баллов у московского и подмосковного. Среди сторонних ресурсов, загружаемых на эти порталы – карты, «бесплатные» библиотеки, шрифты, системы аналитики и далее со всеми остановками из стандартного набора начинающего веб-разработчика с бюджетом в 5000 рублей. Оригинальностью отличился лишь московский портал, подгружающий своим посетителям ресурсы рекламной сети AdFox.
В контрольной группе снова лидируют порталы социальных сетей, хотя и их результат нельзя назвать выдающимся. Сайт РЖД, как и всероссийский портал госуслуг, рейтинга вообще не получил, т.к. не соответствует ни одному критерию, принимаемому в расчет при его составлении. Впрочем, «Одноклассники» оказались буквально в одном шаге (вернее, балле) от более высокой «лиги».
Снова
И тут, кроме традиционной дискуссии о том, зачем корпорациям лучезарного бобра стремиться пролезть на каждый сайт в Интернете – из альтруистической заботы о всеобщем благе или корыстного желания контролировать все и вся
Ну вот все эти запреты использовать информационные системы, размещенные за пределами Российской Федерации, предоставлять удаленный доступ к используемым программным средствам посторонним лицам и передавать им информацию, включая «телеметрию» – принимаются в расчет только при
Вопрос, разумеется, не к хабровчанам, поэтому собираемся задать его ФСТЭК или ФСБ, если они не очень заняты придумыванием очередного убедительного объяснения,
onyxmaster
https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html
OWASP считает что X-XSS-Protection включать не стоит. У вас написано что «считается что стоит». Кем считается?
ifap Автор
Раз у нас написано, логично предположить, что нами и считается.
onyxmaster
Мне кажется это неконструктивный подход, поскольку фактически вы предлагаете положиться на ваш экспертный опыт, который как минимум для меня, по сравнению с OWASP, ничем не подтверждён.
Я согласен с вашей оценкой состояния безопасности указанных сайтов, но подтверждение вашей методики способом «нами считается» без обоснования, ссылок на литературу и на какой-бы то ни было источник консенсуса по этому вопросу это неспортивно =)
ifap Автор
Я лично предлагаю положиться на вполне себе документированный производителями браузеров механизм XSS-фильтрации. Тогда как OWASP по приведенной Вами ссылке никак не обосновывает свою рекомендацию отключать этот фильтр.
onyxmaster
К соажлению, вы вероятно прочитали статью недостаточно внимательно.
Посмотрите пожалуйста текст в разделе cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html#x-xss-protection-header:
Фактически, кроме [Mobile] Safari ни один актуальный браузер на текущий момент не реализует XSS Auditor, а поддержка его в Safari основана на технологиях, которые были актуальны в 2016 году. У меня под рукой нет PoC, который бы сработал на off-the-shelf Safari в iOS 14, но я думаю что если попросить мнения у признанных экспертов в этой области, можно выяснить.
Контактами, увы, не помогу, сейчас некогда искать.
ifap Автор
Прочитал, и ссылки смотрел — ничего нового для себя не увидел. Ну да, XSS Auditor не идеален, CSP лучше, давайте все перейдем на CSP (давайте, мы об этом и пишем) и отключим XSS Auditor. А вот это-то зачем? Сколько я курил эту тему, XSS Auditor может не сработать, а не может создать условия для дополнительного вектора атаки. Т.е. он deprecated, как и было сказано, а не vulnerable.
onyxmaster
Вполне себе vulnerable был в Хроме например. https://medium.com/bugbountywriteup/xss-auditor-the-protector-of-unprotected-f900a5e15b7b
Поручитесь что в Safari такого нет?
ifap Автор
Все что я вижу, это как можно обойти фильтр, как будто его и нет.