Корсун: Голосувати в Дії можуть авторизовані користувачі, зовнішній вплив неможливий

Винесу окремо питання "маніпулювання цифрами" у моєму попередньому дописі стосовно причин падіння Дії під час голосування за переможця національного відбору на Євробачення

Зміст

Дивіться: про 15 тисяч запитів на секунду сказав сам Федоров, і це рознесли всі медіа, сказати "єто другойє", "ви невірно зрозуміли" - вже не вийде. Тобто це факт. "Довіряйте виключно офіційним джерелам", авжеж? Я спочатку недогледів один нулик, але добрі люди мені на це вказали. Хоча 1500 чи 15 000 – це непринципово для такого масштабу проєкту.

Про "580 млн запитів" повідомив співзасновник Монобанку Олег Гороховський. Щоправда, не уточнив – за який період, чи точно "за секунду". І ось тут ноунейм-експерти з калькуляторами накинулися на мене зі звинуваченнями "так це ж за день / годину / за два дні", "ти маніпулятор". Звідки вони це взяли – хтозна. Я ж, як людина, звикла до стандартних метрик у кібербезі, автоматично розумію дані в уніфікованому форматі: запити на секунду, гігабіти на секунду. Співвласник популярного банку як джерело інформації – це ж достатньо "офіційні джерела", так? Йому ж можна довіряти?

Читайте також: Фінал Нацвідбору Євробачення-2024: у Дії виник технічний збій, голосування продовжили до 4 лютого

До речі, найбільшою зафіксованою атакою в жовтні 2023 року була атака на Google: 398 мільйонів запитів на секунду.

Але добре, довелося мені звернутися до більш об'єктивних джерел, близьких до мінеральних. З'ясувалося, що скоріш за все параметри DDoS-атаки проти Монобанку 21-22 січня 2024 року були десь у районі 9-10 мільйонів запитів на секунду. Тобто пан Гороховський, найбільш ймовірно, мав на увазі 580 млн запитів на хвилину. Але про це краще у нього уточнити. Як варіант, можна CSIRT-NBU запитати, але навряд чи вони скажуть.

То й що, хто у цій ситуації маніпулює? Точно не я.

У будь-якому випадку 15 тисяч запитів за секунду для рішення на (начебто) 20 мільйонів користувачів – це просто ні про що. Сам Федоров у лютому 2022 року повідомляв про "найбільшу в історії України DDoS-атаку", коли пікові значення сягали 2 мільйонів запитів за секунду.

І до речі, а чому не згадують більш вживану метрику DDoS-атак Gbps (гігабіт за секунду)? Чому саме про кількість запитів ідеться? Там ще є "пакети в секунду". І який параметр більш коректний? Це питання до спеціалізованих фахівців.

Читайте також: Україну на Євробаченні-2024 представлятимуть Jerry Heil та Alyona Alyona

І ще одне питання, значно важливіше, на яке не звернули увагу: голосувати в Дії можуть виключно авторизовані (!) користувачі. Це означає, що ззовні цього неможливо зробити, не може бути DDoS. Тобто не можуть неавторизовані росіянські хакери надсилати свої "голоси"-запити. І двічі голосувати теж начебто не можна.

Тому беріть калькулятор, будемо рахувати: 15 тисяч запитів за секунду - це 900 тисяч за хвилину, за пів години це вже 27 мільйонів. Авторизованих, перевірених користувачів, а не зовнішніх зловмисників! Звідки взялися усі, яких понад 20 млн? І це лише за 30 хвилин, не за годину.

Чи це не означає, що в Дії завелися кілька мільйонів "лівих" акаунтів, які кинулися раптом одночасно голосувати? І як таке взагалі могло статися? Невже вся екосистема Дії скомпрометована?

І останнє питання, найбільш тривожне: під час голосування за Євробачення – чи обов’язково вимагалося авторизуватися через Дія.Підпис? Бо ж у мене немає Дії, не можу перевірити. Якщо вимагалося – у нас дуже серйозна проблема, товариство.

Джерело

Про автора. Костянтин Корсун, експерт з кібербезпеки

Редакція не завжди поділяє думки, висловлені авторами блогів.

2024, п'ятниця

22 листопада