Niezależność z rosyjskimi powiązaniami. Kontrowersje wokół Passworka

Bezpieczeństwo haseł to jedna z podstawowych kwestii dotykających każdego użytkownika internetu. Przydatnym narzędziem są tu menedżery – pozwalają zarówno generować, jak i przechowywać wiele haseł, eliminując potrzebę ich zapisywania na kartkach lub zapamiętywania.

Nic zatem dziwnego, że interesują się nimi też cyberprzestępcy. Na naszych łamach zwracaliśmy uwagę na reklamy, które podszywały się pod program KeePass, czy cyberatak na LastPass.

Ekspansja na Europę i żarty o „projekcie Putina”

Zaufanie do oprogramowania często zaczyna się od jego twórców. W przypadku menedżerów haseł, jest to istotne ze względów cyberbezpieczeństwa – i jak się okazuje, nie zawsze rzeczone zaufanie jest wysokie.

Jak poinformował serwis Frontstory, przeprowadzone we współpracy z Organized Crime and Corruption Reporting Project (OCCRP) oraz mediami i organizacjami z całego świata śledztwo wykazało, że europejska firma Passwork odpowiadająca za menedżera haseł o tej samej nazwie posiada powiązania z Rosją.

Przedsiębiorstwo powstało w 2014 roku w Archangielsku. Od początku budziło podejrzenia rosyjskiej społeczności technologicznej pod kątem niezależności – administrator żartobliwie twierdził w 2017 roku, że był to „projekt Putina służący do kradzieży haseł”.

Po wygraniu konkursu zorganizowanego przez Fundację Skołkowo (od 2022 roku objętą sankcjami USA), założyciele firmy Ilia Garakch i Andriej Piankow poznali fińskiego przedsiębiorcę, Pekkę Viljakainena.

Z jego pomocą, w maju 2017 powołali oni firmę Passwork Oy w Finlandii. Jednym z powodów była konieczność rozdzielenia danych europejskich od rosyjskich, czego wymagało prawo.

Firma zlikwidowana, firma utworzona

Gdy doszło do pełnoskalowej inwazji Rosji na Ukrainę, Garakch i Piankow sprzedali swoje udziały w fińskim przedsiębiorstwie, zaś dwa lata później zostało ono zamknięte.

Według Viljakainena, nie angażował się w działalność firmy, zaś po wybuchu wojny zerwał kontakty z Rosjanami z powodu sankcji i utrudnień z nimi związanymi. Miesiąc później, w Hiszpanii powstała spółka Passwork Europe z Rosjaninem Alexandrem Muntianem na czele.

Niecałe pół roku po inwazji, w Zjednoczonych Emiratach Arabskich powstała Passwork FZ-LLC. Nie wiadomo nic o jej kierownictwie, poza tym, że jednym z tamtejszych dyrektorów jest Ilia Garakch.

W listopadzie z kolei w Archangielsku obaj założyciele powołali Passwork LLC.

Powiązania bez powiązań

Oficjalnie, mająca siedzibę w Hiszpanii spółka jest niezależna od rosyjskiego przedsiębiorstwa i nie jest z nią w jakikolwiek sposób powiązana.

Problem w tym, że obie mają identyczne logo i wspólną oryginalną bazę kodu źródłowego, strony są bardzo podobne do siebie, zaś aktualizacje oprogramowania są publikowane przez emiracką spółkę w podobnych terminach.

Według Muntiana są to tylko „pozostałości administracyjne”, zaś działania firmy w Emiratach to jedynie niewykluczony efekt „wspólnego pochodzenia kodu”.

Wątpliwości nie omijają również samego kodu źródłowego. Rosyjski Passwork posiada certyfikaty Federalnej Służby Kontroli Technicznej (FSTEC) podlegającej Ministerstwu Obrony, a także FSB. W ramach procesu certyfikacji, konieczne było przekazanie kodu do laboratorium akredytowanego przez Kreml w celu wykrycia lub w zabezpieczeniach czy backdoorów.

Zespół śledczy nie znalazł dowodów na obecność szkodliwego oprogramowania w wersji europejskiej oprogramowania, ale też nie wiadomo, w jakim stopniu jest ona tożsama z rosyjską.

Niejasności to wyraźne ostrzeżenie

Eksperci zwracają uwagę, że taka sytuacja powinna być już sygnałem ostrzegawczym – zwłaszcza, że Passwork LLC obsługuje rosyjskich klientów objętych sankcjami, m.in. z branży obronnej czy kosmicznej.

Według Barta van den Berga z Instytutu Clingendael cytowanego przez Frontstory, oparcie wersji europejskiej i rosyjskiej na tym samym kodzie źródłowym oraz ich synchroniczne aktualizacje mogą wskazywać na obecność dziur w obu wersjach.

Wgląd do kodu przez rosyjskie władze ma z kolei być poważnym zagrożeniem cyberbezpieczeństwa – państwo może bowiem zmusić podległe podmioty do współpracy ze służbami wywiadowczymi (tak samo działa to m.in. w USA). Gdy do tego doda się wątpliwości co do struktury własnościowej i braku transparentności, pojawia się ryzyko dla oprogramowania – nawet, jeżeli opiera się ono na samodzielnym hostingu, a nie chmurze.

Wiele firm korzystających z usług Passwork nie było świadomych rosyjskiego pochodzenia oprogramowania. W tym gronie znalazły się zarówno podmioty rządowe czy firmy IT obsługujące administrację publiczną, ale też zwykłe przedsiębiorstwa.

Wśród tych ostatnich jest działająca w Polsce Sunreef Yachts. Jej jedyne stanowisko pozyskane przez Frontstory mówiło, że program był wdrożony ok. 6-7 lat temu.