© Анелия Николова Пробит ли е софтуерът през който се

...
© Анелия Николова Пробит ли е софтуерът през който се
Коментари Харесай

Разпределението на дела: not great, not terrible

© Анелия Николова Пробит ли е софтуерът през който се разпределят делата в съдилищата в България? В петък от държавното обвиняване оповестиха, че стартира следствие откакто шестима членове на Висшия правосъден съвет (ВСС) са сезирали основния прокурор за констатациите на външния одит на системата, която се употребява от 2015 година
Иван Гешев съобщи, че системата била толкоз пробита, че " все едно пет години не сме имали правораздаване ".
Източници на Капитал споделиха наличието на дългия 50 страници отчет, който имаме основателни аргументи да считаме, че е достоверният документ.

Анализът е направен от компанията за киберсигурност Amatas.

Абонирайте се за Капитал Четете безкрайно и подкрепяте напъните ни да пишем по значимите тематики Одитът разкрива редица недостатъци в сигурността на системата. В документа обаче не се съдържат никакви данни, че инцидентното систематизиране е било компрометирано или някой е експлоатирал слабостите на системата. Има информация за един евентуален опит - от края на 2016 година, който съгласно специалистите е бил несполучлив.

Констатациите на IT специалистите, които без подозрение са притеснителни, мощно се разминават с шума, който беше вдигнат от прокуратурата и болшинството във Висш съдебен съвет. От няколкото обществени изяви на представители на двете институции наподобява, че по-скоро зад абсурда прозира опит за почистване на сметки на политическата сцена и вътре в правосъдната система, в сравнение с действителна угриженост за осведомителната сигурност.

Парадоксалното в целия случай е, че компанията, разработчик на системата, която беше посочена с пръст от Висш съдебен съвет и основния прокурор, единствено преди няколко месеца е била наета от прокуратурата да надгради осведомителната ѝ система.

Какво излиза наяве от инспекцията
Докладът, станал мотив за инспекцията от прокуратурата, показва общо 10 уязвимости на системата за
инцидентно систематизиране на каузи.

" Всеки, който има електронен автограф, може да прави всичко - да разпределя каузи, да манипулира данни " съобщи Иван Гешев в петък.

Основната установена уязвимост е при автентикацията в системата. Замисълът на софтуерът е влизането да става с двойна инспекция - един път с електронен автограф, а по-късно с въвеждане на потребителско име и ключова дума.

При създаването на програмата обаче е изработен пропуск - липсва инспекция дали употребяваният електронен автограф има право на достъп до централизираната система за систематизиране на каузи или не. Така всеки с електронен автограф може да мине през първата отбрана.

Това е проблематично доколкото двуфакторна автентикация на процедура става еднофакторна.
От отчета не излиза наяве дали от сходни влизания остават следи в журнала (т.нар. log файлове).
При всички положения в системата не може да влезе всеки, който има електронен автограф. Освен това той би трябвало да се е сдобил с непознато име и ключова дума. Дори и да го направи обаче той към този момент е оставил своята идентичност преди този момент - идентифицирайки се с електронен автограф.

Следващата серия от установени проблеми са свързани с това, че един път получен достъп до системата, при ръчно въвеждане на съответен конкретен адрес в браузъра, може да се стигне до функционалности, които би трябвало да са в пълномощия единствено на оторизирани консуматори (например с администраторски права): може да се прибавя нов съд (примерно Районен съд - Ню Йорк) да се редактира името на действителен съд (Районен съд-Монтана да бъде прекръстен на Районен съд - Михайловград) да редактира параметрите на съдии (три имена, ЕГН, тип каузи, които разглежда) да редактира параметрите на другите групи каузи (примерно групата " каузи по Закона за придвижване по пътищата " да бъде прекръстена на " каузи по Закона за собствеността на жителите " ) да изтрива отсъствия на съдии (това е интервалът, в който даден арбитър е изключен от систематизиране - заради отпуск, болничен, командировка) изтрива наряди на съдии да има достъп до профилите на съдиите (три имена и типа на обсъжданите дела) арбитър от един съд да разпредели дело на съответен арбитър от различен съд. Този пропуск наподобява най-стряскащ, само че в реалност няма действително приложение, тъй като през него (например) арбитър от Кубрат може да разпореди дело от съда си на арбитър от Добрич - нещо, което няма по какъв начин да остане неусетно
Експертите означават, че системата разрешава да се употребяват слаби и предвидими данни за достъп - ключова дума и потребителско име.

Проверката на употребения уебсървър също е установила уязвимости, само че от по-ниско равнище на сдържаност.

Стандартна амтьорщина

Всички тези недостатъци на системата са проблематични, като ИТ специалист с опит в държавната администрация ги дефинира като " общоприета аматьорщина: " Може да разпределяш дело на арбитър в различен съд, само че това е бъг, който би бил заловен елементарно.. сега в който съдията в Исперих види, че би трябвало да гледа бургаско дело " разяснява още той.

В реалност всяко систематизиране генерира обществен протокол, в който всяка една от вероятните промени ще бъде забележима. В тези протоколи е записано какво дело се разпределя, сред кои съдии, кои съдии са изключени от разпределението и каква е повода за това. На протокола се изписва името на индивида, който прави разпределението, само че също така протоколът се подписва с електронен автограф.

На процедура в случай че се извърши операция страните по делото ще могат да видят това.

В отчета се загатва, че при обзор на логовете на системата е било открито " съмнителна интензивност " от IP адрес в София през октомври 2016 година Заключението е, че " тази офанзива не е използвана и опитите на евентуално злонамереното лице не са били сполучливи ".

В петък представителят на основния прокурор Сийка Милева съобщи, че чиновници на Висш съдебен съвет са попречили на инспекцията: " Освен това IT - експертите не са съдействали при одита и са отказали достъп до сървъра за инцидентно систематизиране "

В отчета обаче е записано, че е изработен разбор на конфигурацията на сървърите, на които е ситуирана системата, въз основата данни, на изходния код на приложението и съществуването и ръководството на журналните записи за потребление на системата.

От документа излиза наяве, че тестванията са направени в постройката на Висш съдебен съвет, като на екпертите е " възложен достъп до сървърите, на които е ситуирана системата, както и потребителски имена и пароли ", а също по този начин и " изходният код на системата и нейната документи. "

Единствените ограничавания, които специалистите показват са, че при тестванията са внимавали да запазят естествената функционалност на системата и базите данни, както и, че не им е било позволено да изнасят документите, както и да имат отдалечен достъп до сървъра.

Пет години по-късно

Темата за инцидентното систематизиране на делата се трансформира в интернационален скандал преди пет години, когато самостоятелни инспекция сподели, че употребеният тогава от множеството съдилища програмен продукт Law Choice няма и базови равнища на отбрана.

Повод за инспекцията бяха голям брой подозрения в разпределението на делата в Софийския градски съд. Ставаше дума главно за концентрацията на цивилен и търговски каузи с висок публичен интерес при избрани съдии.

Покрай тези подозрения гръмна абсурда с несъстоятелността на сдружението " Белведере " предизвикало гнева на тогавашния френски дипломат в София Ксавие Лапер дьо Кабан.

През 2014 година Висш съдебен съвет образува работна по неотложност избира краткотрайно решение на казуса до въвеждането на напълно нова система за разпределение на делата като част от цялостната промяна към електронно правораздаване.

В отчета се предлагат две компании - " Смарт системс 2010 " и " Кодинов ". И двете от десетилетия работят по осведомителните системи в съдилищата.

Преди половин година - през август 2019 година, тогавашният основен прокурор Сотир Цацаров разпорежда на " Смарт Системс 2010 " контракт за надграждане на унифицираната осведомителна система на прокуратурата. Това е софтуерът, който съдържа информация за безусловно всички преписки. Дружеството е работило още по модула за инцидентно систематизиране на каузи в прокуратурата, както и по разнообразни функционалности на Единната осведомителна система за противопоставяне на престъпност.

Решението е признато единомислещо от тогавашния състав на съвета, като чак през втората половина на 2015 година " Смарт Системс 2010 " интегрира системата. Тогава е осъществен тест за нейната функционалност и са отправени съответни рекомендации от 11 специалиста, измежду които и академични преподаватели, както и представители на Върховен касационен съд, Върховен административен съд и основния прокурор.

Фирмата е еднолична благосъстоятелност на Марин Кошутов е реализатор на най-различни ИТ поръчки - както в правосъдната система, по този начин и в държавната администрация. Преди половин година - през август 2019 година, тогавашният основен прокурор Сотир Цацаров разпорежда на " Смарт Системс 2010 " контракт за надграждане на унифицираната осведомителна система на прокуратурата. Това е софтуерът, който съдържа информация за безусловно всички преписки. Дружеството е работило още по модула за инцидентно систематизиране на каузи в прокуратурата, както и по разнообразни функционалности на Единната осведомителна система за противопоставяне на престъпността.
Уж краткотрайното решение се оказва непрекъснато в продължение пет години, като главната причина за това е, че правосъдният съвет на няколко пъти рестартира поръчката за въвеждане на единна осведомителна система за съдилищата.

Временно решение, което продължава дълго
Пред БНР в неделя основният прокурор Иван Гешев повдигна въпроса за какво системата е функционирала " пет години, без да се ревизира нейната сигурност? "

През 2016 година в проектите за осъществяване на рекомендациите от отчетите на Европейска комисия по мониторинговия механизъм е записано като ангажимент за Висшия правосъден съвет и Инспектората на всеки шест месеца да правят одит на системата.

През април 2017 година тогавашният състав на Висш съдебен съвет взима решение да разпореди самостоятелен одит на сигурността на софтуера за инцидентно систематизиране на каузи. Решението е разпределено на отрасловата комисия по Информационни технологии. Оттам изискват подпомагане от Българска академия на науките и Техническия университет, а от Инспектората към Висш съдебен съвет желаят да уточни какви проблем са срещали със системата при инспекциите които са правили при съдилищата.

Няколко месеца по-късно мандатът на съвета и изтича. През септември 2017 година е определен нов състав на Висш съдебен съвет, само че тематиката за инцидентното систематизиране на делата се появява в дневния ред година по-късно - през февруари 2019 година, когато излиза наяве, че договорът за поддръжка на системата е завършил.

Вероятно това даде мотив на Иван Гешев да попита в едно от трите изявленията, които даде по тематиката от петък до неделя: " Защо пет години една компания поддържа тази система без пари. Търговска компания се явява човеколюбец, това може би е първият подобен случай в правосъдната система. "

В реалност през февруари 2019 година Висш съдебен съвет установи, че договорът за поддръжка е бил до края на 2017 година и в продължение на една година - 2018 година " Смарт системс 2010 " са поддържали системата гратис.
През април 2019 година членовете на съдийската гилдия Боян Новански, Боряна Димитрова и Стефан Гроздев и на прокурорската - Огнян Дамянов, Пламена Цветанова и Георги Кузманов внасят предложение да се извърши външен одит на системата.

Този петък пред Българска национална телевизия основният прокурор Иван Гешев даде собствен прочит на разискването при гласуването на предлагането: " Интересно ми е за какво господин Лозан Панов и присъдружните му дами от Висш съдебен съвет, доколкото чета протоколите през 2019 година, са се хвърляли като Матросов на амбразурата против това да се извърши техническа експертиза на тази система за инцидентно систематизиране на делата " беше разбор заключи последвалата дълга полемика основния прокурор Иван Гешев.

В реалност от протоколите се вижда, че Лозан Панов не е взел отношение по въпроса. В реалност е дал своя вот срещу, както и Атанаска Дишева (която евентуално основният прокурор визира), само че също по този начин и членовете на прокурорската гилдия Калина Чапкънова и Светлана Бошнакова, които предходната година бяха измежду издигналите кандидатурата на Гешев за началник на държавното обвиняване.

От полемиката се вижда, че Атанаска Дишева не се опълчва на одита, а слага въпроса за какво ще се прави инспекция на система, която се чака да бъде заменена единствено след няколко месеца.

Три месеца по-късно - през юли 2019 година министърът на правораздаването Данаил Кирилов внася като изключителна точка на съвещание на Висш съдебен съвет предложение за оповестяване на социална поръчка за самостоятелен одит на системата. Инициативата на Кирилов идва няколко седмици след емблематичното му посещаване му във Върховен касационен съд, когато той се опита да убеди публицистите, че има проблем със системата за инцидентно систематизиране на делата и е нужна намесата на " бял хакер ".

Лозан Панов гласоподава срещу включване на спомагателна точка в дневния ред с претекст, че това е станало с устно предложение на министъра на правораздаването. След това той напуща съвещанието (малко откакто това са създали Сотир Цацаров и Данаил Кирилов) и не е взе участие в гласуването всъщност. В последна сметка решението е взето единствено с един глас срещу. Противно на казаното от Гешев той не е нито на Лозан Панов, нито на Атанаска Дишева или Олга Керелска, а на представителя на прокурорската гилдия Калина Чапкънова.

Какво следва

От Amatas отхвърлиха да разясняват констатациите в отчета, базирайки се на контракта с Висш съдебен съвет, който им не разрешава да изнасят информация. От " Смарт системс 2010 " не дадоха отговор на молбата за коментар.
Темата за инцидентното систематизиране ще бъде обсъждана на съвещание на пленума в четвъртък.

Същевременно от прокуратурата направиха поръчка, че ще осведомят Европейска комисия и обществото за развиването на следствието.

Ако се съди по изявленията в медиите на депутата от Движение за права и свободи Делян Пеевски (от които разбираме, че зад всичко стои Иван Костов), които до момета без изключение съответстват с линията на държание на държавното обвиняване, казусът ще бъде употребен, с цел да бъде удължен огъня против съперниците на Гешев в съда и правосъдния съвет.
Източник: capital.bg

СПОДЕЛИ СТАТИЯТА


Промоции

КОМЕНТАРИ
НАПИШИ КОМЕНТАР