В конце 2024 года федеральные оценщики кибербезопасности дали тревожную оценку одному из основных продуктов Microsoft для облачных вычислений, однако предоставили ему разрешение, несмотря на серьезные проблемы с безопасностью.
ProPublica сообщает, что рецензенты Федеральной программы управления рисками и авторизацией (FedRAMP) не смогли проверить безопасность Microsoft Government Community Cloud High (GCC High) после многих лет неполной документации от технологического гиганта. Согласно внутреннему отчету правительства, «отсутствие у Microsoft надлежащей подробной документации по безопасности» привело к тому, что у рецензентов «не было уверенности в оценке общего состояния безопасности системы». Один из членов команды назвал пакет авторизации «кучей дерьма».
Несмотря на эти оценки, FedRAMP все равно разрешил GCC High в декабре 2024 года, предоставив то, что можно назвать знаком одобрения кибербезопасности федерального правительства. Решение было принято после спорного пятилетнего процесса проверки, отмеченного неоднократной неспособностью Microsoft предоставить запрошенную документацию по безопасности и диаграммы, объясняющие, как система защищает конфиденциальные правительственные данные.
Разрешение особенно важно, учитывая роль Microsoft в двух крупных кибератаках против правительства США. Российские хакеры воспользовались слабостью Microsoft для кражи конфиденциальных данных у федеральных агентств, включая Национальное управление по ядерной безопасности. Позже китайские хакеры проникли в учетные записи электронной почты члена кабинета министров и других высокопоставленных чиновников через системы Microsoft.
GCC High поступила на федеральный конвейер авторизации через Министерство юстиции в начале 2020 года. Когда рецензенты FedRAMP начали свою оценку, они сразу же выявили недостающую документацию, сосредоточив внимание на диаграммах потоков данных, которые должны иллюстрировать, как информация проходит через систему и как шифрование защищает ее во время передачи.
Microsoft годами пыталась предоставить запрошенные диаграммы. Когда Microsoft наконец ответила после нескольких месяцев задержки, она представила официальный документ, в котором обсуждалась стратегия шифрования, без конкретных подробностей, необходимых FedRAMP. По словам бывших членов команды FedRAMP, запрос был обычным, и другие крупные поставщики облачных услуг, такие как Amazon и Google, регулярно предоставляли такую документацию.
Затянувшиеся переговоры выявили более глубокие проблемы с облачной архитектурой Microsoft. Люди, участвующие в создании федеральных облачных сервисов Microsoft, говорят, что компания сталкивается с уникальными проблемами, поскольку она создавала свои облачные продукты на основе устаревшего программного кода десятилетней давности. Один рецензент сравнил систему с «кучей спагетти-пирогов», где данные идут окольными, а не прямыми путями.
Сторонние оценочные фирмы, нанятые Microsoft для оценки GCC High, разделили эти опасения. В 2020 году две фирмы, Coalfire и Kratos, конфиденциально сообщили FedRAMP, что не могут получить полную картину безопасности GCC High. «Коулфайр и Кратос с готовностью признали, что было трудно или невозможно получить от Microsoft информацию, необходимую для правильного проведения достаточной оценки», — сказал бывший обозреватель FedRAMP.
Несмотря на отрицательную оценку, FedRAMP определила, что отказать в авторизации невозможно, поскольку несколько агентств уже использовали GCC High. Программа пришла к выводу, что «лучше» выдать разрешение с условиями. GCC High получила разрешение FedRAMP на следующий день после Рождества 2024 года.
В прошлом году Breitbart News сообщило о тревожном открытии того, что Microsoft использует китайских инженеров для обновления кода для самых секретных подразделений правительства США, включая Пентагон:
Система полагается на американских работников с допуском к секретной информации, известных как «цифровое сопровождение», которые контролируют китайских инженеров и служат защитой от вредоносных действий. Однако ProPublica обнаружила, что этим сопровождающим часто не хватает продвинутых технических навыков, необходимых для эффективного наблюдения за иностранными работниками, которые обладают гораздо большим опытом программирования. Некоторые из сопровождающих — бывшие военные с небольшим опытом разработки программного обеспечения и зарабатывающие едва выше минимальной заработной платы.
Хотя Microsoft утверждает, что раскрыла детали этой модели сопровождения правительству, опрошенные бывшие американские чиновники заявили, что им не было известно об этой договоренности. Эксперты по кибербезопасности также были удивлены, отметив, что эта схема предоставляет китайским оперативникам прекрасную возможность проникнуть в сети США.
Подробнее читайте на ProPublica здесь.
Лукас Нолан — репортер Breitbart News, освещающий вопросы свободы слова и онлайн-цензуры.
