Президент государства помиловал изобретателя, который обнаружил «дыру» в системе CSDD 0
Президент Латвии Эдгарс Ринкевичс помиловал изобретателя Раймонда Скурула, который был осуждён за вымогательство в связи с обнаруженной в информационно-технологической (IT) системе Дирекции безопасности дорожного движения (CSDD) уязвимостью безопасности, подтвердил агентству LETA советник президента Мартиньш Дрегерис.
Он рассказывает, что Ринкевичс ознакомился с судебными решениями и не ставит под сомнение их законность.
В то же время, учитывая значимость безопасности государственных информационных систем, что включает также обязанность государственных учреждений постоянно устранять возможные уязвимости информационных систем, а также интересы общества в сфере кибербезопасности и стремление содействовать добросовестному раскрытию уязвимостей, президент Латвии считает, что польза для общества от действий Скурула была значительно больше, чем причинённый им вред.
Таким образом, на основании статьи 45 Сатверсме и статьи 4 Закона о помиловании, 15 сентября Ринкевичс решил освободить Скурула от отбывания основного наказания и снять судимость.
Как уже сообщалось, в начале сентября вступил в силу приговор Видземского окружного суда, которым Скурулу за вымогательство в связи с обнаруженной в IT-системе CSDD уязвимостью безопасности был назначен штраф в размере 4290 евро.
CSDD и Государственная полиция (VP) в ноябре 2018 года сообщили, что якобы выявили несанкционированную попытку некоего лица получить доступ к реестру транспортных средств и попытку вымогательства денег. Должностные лица отдела по борьбе с киберпреступлениями VP тогда начали уголовный процесс по факту попытки нарушения работы информационной системы и попытки вымогательства из корыстных побуждений.
Тогда полиция задержала Скурула, которого на пару дней поместили в изолятор временного содержания. Скурул — радиоинженер и инженер-конструктор, которому в своё время за одно изобретение была вручена престижная премия Валтера Цапа Латвийской академии наук и Патентного ведомства Латвии.
Как писала газета “Latvijas Avīze”, в октябре 2018 года Скурул позвонил в CSDD, назвал своё имя и сообщил, что обнаружил возможную уязвимость авторизации в предоставляемых CSDD электронных услугах, связанных с “Государственным реестром транспортных средств и их водителей”. Сотрудники CSDD, с которыми удалось связаться, несколько раз перенаправляли звонившего от одного человека к другому, пока Скурул не попросил, чтобы с ним связался какой-нибудь консультант, компетентный в этом вопросе и понимающий серьёзность проблемы.
CSDD в качестве консультанта для связи со Скурулом привлекло юридическое лицо SIA “WeAreDots”. От имени этой компании со Скурулом связался руководитель группы решений IT-безопасности Каспарс Лицис.
Когда CSDD всё же серьёзно отнеслась к предупреждению об уязвимости авторизации, она параллельно начала проверку безопасности своего реестра. Для этого были назначены три сотрудника CSDD — программисты, которым затем за сверхурочную работу было выплачено 3074,52 евро. После недели работы одна уязвимость была обнаружена, только специалистам CSDD было неясно, та ли это самая уязвимость, о которой предупреждал Скурул. Как позже выяснилось, это был другой дефект информационной системы CSDD, но в некотором смысле похожий, поскольку в модуле единого входа существовала возможность авторизоваться под личностью другого человека.
Одновременно сотрудник “WeAreDots” Лицис продолжал общаться со Скурулом. Изобретатель, у которого возникли подозрения относительно уязвимости авторизации CSDD, также потратил много часов своей работы на её выявление, поэтому Скурул считал, что не должен дарить свой вклад, и хотел получить за свою услугу вознаграждение в 1000 евро. После общения “WeAreDots” заключила договор с компанией Скурула “Acoustic Power LAB”. В договоре было предусмотрено, что сначала Скурул отправит Лицису все имеющиеся у него материалы об уязвимости авторизации, затем “WeAreDots” это проверит и оценит, действительно ли в системе безопасности CSDD есть такая проблема. Установив, что уязвимость реальна, Лицис сообщил бы Скурулу, чтобы тот от имени своей компании выставил счёт на 1000 евро.
После того как обе стороны заключили договор, подписав его электронно, Скурул по электронной почте отправил Лицису информацию, раскрыв недостаток в механизме авторизации интернет-сайта “e-csdd.lv”, который позволял получить несанкционированный доступ к операциям. Скурул якобы изучил, как работает эта уязвимость, но сам ею не воспользовался, поэтому обвинение в попытке нарушения работы системы, в чём он первоначально подозревался, Скурулу предъявлено не было. Изобретатель убеждён, что если бы об этой уязвимости узнали лица с криминальными наклонностями, они могли бы не только получить всю информацию из баз данных CSDD, но даже, например, перерегистрировать любое транспортное средство с одного лица на любое другое.
“Сотрудничество” закончилось тем, что руководство CSDD в конце октября обратилось с заявлением в Государственную полицию, которая начала уголовный процесс. Как отмечает газета, положение Скурула в деле ухудшает то, что, общаясь с сотрудниками CSDD, он заявил, что если они ничего не будут делать, он сообщит латвийскому обществу о “дыре” в системе безопасности, используя для этого средства массовой информации.
Потерпевшая компания, то есть CSDD, считает, что изобретатель своей информацией об уязвимости авторизации, кроме того, причинил ей существенный материальный ущерб в размере 3459,52 евро, который сложился из оплаты труда трём программистам CSDD, которые за неделю так и не нашли “дыру в системе”, и оплаты CSDD компании “WeAreDots” за консультации.
Обвиняемый обжаловал приговор суда первой инстанции в Латгальском окружном суде, который решил признать его невиновным и оправдать. С таким приговором не согласился прокурор, который обратился в Верховный суд (AT) с кассационной жалобой. Трое сенаторов решили полностью отменить приговор Латгальского окружного суда от 2 июня 2022 года и направить дело на новое рассмотрение в Латгальский окружной суд. Латгальский окружной суд решил оставить в силе приговор Резекненского суда, согласно которому Скурулу необходимо уплатить штраф в размере 8400 евро, а также компенсировать CSDD 3459 евро.
