Eksperti amerikan i sigurisë kibernetike Patrick Quirk, i njohur për përdorimin e teknikave OSINT, ka publikuar pretendime për dobësi në mënyrën si aksesohen të dhëna të lidhura me sistemet qeveritare. Në fokus të analizës së tij janë të dhënat që lidhen me ministres “Diella”, ku ai thekson se një pjesë e madhe e materialeve mund të merret pa një proces të zakonshëm autentifikimi.
Sipas shpjegimeve të Quirk, disa endpoint-e të API-së që lidhen me Kuvendin shfaqnin sjellje që, në praktikë, lejonin marrjen e informacionit pa kërkuar identifikim të plotë. Ai përmend se kërkesa të zakonshme mund të pranoheshin pa nevojë për API key, pa përdorimin e bearer token dhe pa mekanizma të tjerë verifikimi që zakonisht shoqërohen me akses të kufizuar.
Gjatë publikimit të tij, Quirk e vë theksin te fakti se struktura e këtyre shërbimeve mund të lehtësonte qasjen në të dhëna që, sipas logjikës së sigurisë, do të duhej të ishin të disponueshme vetëm për përdorues apo sisteme të autorizuara. Ai flet për gjashtë endpoint-e të API-së së Kuvendit që, sipas pretendimeve, pranonin kërkesa pa çelës aksesi dhe pa shenja autentifikimi.
Endpoint-e të API-së së Kuvendit, qasja pa API key dhe bearer token
Në analizën e ekspertit, dokumentet e nxjerra përfshijnë të dhëna të formateve të ndryshme. Ato përmenden si të lidhura me pagesat dhe pagat, por edhe me elementë të tjerë të sistemit institucional. Quirk thekson se dosjet që kanë dalë nga kjo qasje potencialisht e pambrojtur shtrihen nga të dhënat e pagave deri te informacione të natyrës administrative, siç janë të dhënat për votuesit dhe të dhëna që lidhen me deputetët dhe punën parlamentare.
Rëndësia e këtij pretendimi qëndron te mungesa e barrierave bazë të sigurisë: kur endpoint-e të API-së funksionojnë pa verifikim, rreziku rritet si për akses të paautorizuar, ashtu edhe për grumbullim të të dhënave në mënyrë të automatizuar. Quirk, në shpjegimin e tij, argumenton se pranimi i kërkesave pa API key dhe pa bearer token sinjalizon një konfigurim jo standard ose të pambrojtur, ku kontrolli i identitetit nuk po kryhet në mënyrën e pritur.
Publikimi i tij e lidh çështjen me të dhënat e përfolura si “Diella”, duke i paraqitur si një rast ku një sërë skedarësh dhe informacionesh mund të identifikoheshin përmes thirrjeve të thjeshta. Në këtë kuadër, ai thekson se informacioni i marrë shtrihet në disa fusha që u interesojnë drejtpërdrejt qytetarëve, duke përfshirë aspekte që lidhen me mënyrën se si strukturohen të dhënat institucionale dhe si pasqyrohen elementet përkatëse të procesit parlamentar.
Pretendimet e Patrick Quirk e vendosin theksin te API-ja e Kuvendit dhe te mënyra si funksionojnë endpoint-et e saj. Kur theksohen gjashtë endpoint-e që pranojnë kërkesa të zakonshme pa API key, pa bearer token dhe me mungesë autentifikimi, problemi, sipas logjikës së sigurisë, shihet si një çështje e konfigurimit dhe e kontrollit të aksesit. Në këtë mënyrë, ajo që ai paraqet si “Diella” data kthehet në një rast ku interesohen si administrimi i brendshëm i të dhënave, ashtu edhe mbrojtja e informacioneve që prekin pagesa, të dhëna të votuesve dhe elementë të dokumentimit parlamentar.
Botuar fillimisht në Albeu