רמת האבטחה של אתרים: מה הראו 884 בדיקות של Smart Audit

אתר שנפתח עדיין אינו בהכרח מוגן. בעל העסק רואה את דף הבית, את טופס ההזמנה ואת הקטלוג — ומסיק שהכול בסדר. אבל חלק ממה שקורה באתר נראה רק מבחוץ, בעיניו של מי שבודק אותו.

השקנו את השירות Smart Audit, שמסתכל על אתרים של אחרים בדיוק כך: באופן פסיבי, ורק על דפים ציבוריים. הוא לא משנה דבר, לא מנחש סיסמאות ולא חודר פנימה. עד כתיבת מאמר זה היו בידינו תוצאות של 884 אתרים ייחודיים של חברות — לכל אתר נלקחת הבדיקה המוצלחת האחרונה. לא סיננו אתרים «מוצלחים» או «לא מוצלחים»: במדגם יש חנויות אונליין, אתרים עסקיים, אתרי מדיה ואתרים של ארגונים גדולים. שמות לא נציין — מעניינת אותנו התמונה הכוללת ולא כתובות מסוימות.

להלן מה שראינו, מה זה מסכן עבור בעל העסק ומאיפה כדאי להתחיל בתיקון.

התמונה הכללית: 22 נקודות מתוך 100

הציון הכללי הממוצע בכל 884 האתרים הוא 22 מתוך 100. לפי תחומים: אבטחה — 19, מהירות — 18, נראות בחיפוש — 17.

• 480 אתרים (54%) קיבלו פחות מ-20 נקודות מתוך 100;
• 286 (32%) — בין 20 ל-39;
• 96 (11%) — בין 40 ל-59;
• רק 22 אתרים (2.5%) הגיעו ל-60 ומעלה.

בציון האבטחה לבדו התמונה היא כזו: ב-466 אתרים (53%) הוא נמוך מ-10 נקודות, ב-652 (74%) — נמוך מ-30, ורק 75 אתרים (8.5%) קיבלו 60 ומעלה.

מיד הסתייגות, כדי שלא יקראו את המספרים לא נכון. «22 מתוך 100» לא אומר שהאתר מוגן ב-22%, ובוודאי שלא שהוא נפרץ. זהו המרחק מסט בסיסי של בדיקות: האם האתר מפעיל את ההגנות שכבר מזמן נחשבות לנורמה. רוב הנקודות הולכות לאיבוד על דברים שאפשר לתקן במהירות ובזול. בדיוק משום כך כדאי לעצור על המספרים האלה.

השכבה הראשונה: דלתות בלי בריחים

כל דף ששרת שולח לדפדפן מלווה ב«הוראות» שירות: מה מותר לדף הזה ומה אסור. אלה כותרות האבטחה, כפי שהן קרויות. הן לא הופכות אתר לבלתי חדיר, אבל הן ממתנות את המכה כשנמצאת פרצה אחרת. וכאן החוסר כמעט מוחלט:

• מדיניות אבטחת תוכן (CSP) חסרה ב-90% מהאתרים. היא קובעת אילו סקריפטים הדפדפן רשאי להריץ בדף. בלעדיה, כל קוד שהוחדר פועל בדיוק כמו קוד «שלכם». כך בדפי התשלום מופיעים סקימרים — סקריפטים שמעתיקים בחשאי פרטי כרטיסי אשראי. עבור חנות (ובמדגם יש 130 כאלה) זה «הבריח» החסר היקר ביותר.
• מדיניות הרשאות (Permissions-Policy) חסרה ב-93%. היא מגבילה מה ווידג'טים המוטמעים באתר יכולים לבקש מהמבקר: מצלמה, מיקרופון, מיקום גאוגרפי.
• מדיניות העברת כתובת (Referrer-Policy) חסרה ב-88%. בלעדיה הכתובות המלאות של הדפים שלכם — יחד עם מספרי הזמנה פנימיים או טוקנים שבקישורים — עפות אל מוני ביקורים ושירותי פרסום חיצוניים.
• הגנה מפני הטמעה במסגרות של אחרים חסרה ב-73%. תוקף יכול להציג את האתר שלכם במסגרת שקופה בדף שלו ולגרום לאדם ללחוץ על «כפתור» שבפועל נמצא באתר שלכם. שיטה זו נקראת קליקג'קינג.
• איסור «לנחש» את סוג הקובץ חסר ב-71% (nosniff).
• HSTS לא מופעל ב-62%. בלעדיו הביקור הראשון של אדם עלול לעבור בערוץ לא מוצפן — וברשת Wi-Fi ציבורית זו הזדמנות להחלפת הדף.

בכנות: היעדר כותרת אינו אתר שנפרץ. זו שכבת הגנה שחסרה. אבל היא מתוקנת בכמה שורות בהגדרות השרת, ולכן היעדרה כמעט תמיד אומר דבר אחד — אף אחד לא הגיע להגדרות האבטחה.

השכבה השנייה: מה שמונח לעין כול

הפרק הזה חמור יותר. ב-172 אתרים מתוך 884 (19%) — כמעט אחד מכל חמישה — נגישות מבחוץ כתובות שירות שלעולם לא היו אמורות להיות ציבוריות. באתרים מסוימים יש כמה מקומות כאלה בו-זמנית. החלוקה לפי סוגים:

• רשימת חשבונות WordPress — 103 אתרים (12%). הכתובת הסטנדרטית מוסרת את שמות המשתמש, ובהם מנהלים. מחצית מהעבודה של התוקף כבר נעשתה: שם המשתמש ידוע, נשאר לנחש סיסמה.
• תיקיית השירות של Git — 45 אתרים (5%). ממנה אפשר לשחזר את קוד המקור של האתר, ובהיסטוריית השינויים לעיתים יש סיסמאות ומפתחות שפעם הוטמעו בקוד «זמנית».
• דף phpinfo — 43 אתרים (5%). הוא מציג גרסאות PHP, מודולים, נתיבים בשרת, משתני סביבה. עבור תוקף זו מפת שטח מוכנה.
• דף שירות עם מצב השרת — 34 אתרים (4%). רואים אילו כתובות המבקרים פותחים כרגע ומאילו כתובות IP.
• קובץ ההגדרות .env — 33 אתרים (4%). בקובץ כזה בדרך כלל נמצאות סיסמאות למסד הנתונים, מפתחות לדואר ולשירותי תשלום.
• עותק של מסד הנתונים — 28 אתרים (3%). קובץ שמישהו השאיר בשורש האתר «לרגע»: לקוחות, הזמנות, טלפונים, כתובות.

חשוב להבין שכאן אין צורך לפרוץ לשום דבר. מספיק לפתוח כתובת בדפדפן. Smart Audit לא נכנס לתוכן הקבצים האלה: הוא רק קובע שבכתובת כלשהי יש מענה, והתוכן לא נקרא ולא נשמר. אבל מה שאנחנו לא עושים, כל אחד אחר יכול לעשות — וסורקים אוטומטיים עוברים על כתובות כאלה מסביב לשעון בכל רחבי האינטרנט.

השכבה השלישית: תוכנה שהתיישנה

בין האתרים שנבדקו, הרבים ביותר הם על WordPress — 222 (25%), אחריו OpenCart — 88 (10%). בשאר הפלטפורמה לא זוהתה או שהאתר נכתב «בהזמנה».

154 אתרים (17%) מספרים בעצמם איזו גרסה של המערכת יש להם. זה נראה בתגיות השירות בדף. כשלעצמן הן לא מזיקות — המזיק הוא השילוב עם גרסה ישנה. בין אלה שחשפו את גרסת WordPress, 22 אתרים עובדים על ענפים 4 ו-5, שיצאו לפני שנים רבות. לגבי גרסאות כאלה אין טעם לצפות שמישהו עוד ייסגור פרצות חדשות.

נושא נפרד הוא גרסת השרת עצמו. ב-247 אתרים (28%) כותרות התשובה מנקבות בגרסאות המדויקות של תוכנת השרת. התוקף לא צריך לנחש: הוא רואה את הגרסה ומיד פועל בשיטה הידועה לה. עד כמה זה משמעותי רואים בדוגמה של פרצות קריטיות ב-PHP: שם ההגנה היחידה היא עדכון בזמן. ועל הצד ההפוך — מה קורה כשהעדכון מתבצע בלי הכנה — סיפרנו בניתוח של עדכון אוטומטי של תוסף.

השכבה הרביעית: טפסים וחיבורים — המקום שבו נתוני הלקוחות נכנסים לאתר

דרך טפסים אדם מוסר לכם שם, טלפון, כתובת, לפעמים תשלום. לכן אופן הבנייה שלהם חשוב מכול. מה שמצאנו:

• 489 אתרים (55%) — טפסים בלי הגנה מפני זיוף בקשה (CSRF). זה כשדף של אחרים יכול לגרום לדפדפן של המבקר או של מנהל האתר שלכם לשלוח טופס בשמו, בלי לשאול אותו.
• 543 (61%) — טפסים שאוספים נתונים אישיים בלי הסכמה לעיבודם. זה לא רק עניין של אבטחה: זו גם שאלה של עמידה בחוק הגנת המידע האישי.
• 532 (60%) — טפסים בלי הגנה מפני בוטים. התוצאה מוכרת לכל מי שראה תיבת דואר מוצפת בספאם מ«פניות».
• 76 אתרים (9%) — טפסים שמעבירים נתונים אישיים בכתובת הדף (שיטת GET). הטלפון והשם נשארים בהיסטוריית הדפדפן, ביומני השרת, ומגיעים לשירותים חיצוניים יחד עם הכתובת.
• 321 (36%) — cookie בלי תגיות הגנה. קל יותר ליירט או לקרוא אותם בסקריפט.

ועוד כמה דברים בסיסיים שהיה אפשר לחשוב שמזמן אמורים להיות אצל כולם: 35 אתרים (4%) נפתחים בכלל בלי הצפנה (הדפדפן מציג בהם אזהרת «לא מאובטח»), ב-43 התעודה עומדת לפוג בקרוב, ובעוד 36 אתרים חלק מתוכן הדף המאובטח נטען בערוץ לא מאובטח — ולכן ההצפנה אינה פועלת במלואה.

מה זה מסכן עבור בעל העסק

אם מניחים את הז'רגון בצד, יש רק כמה סיכונים לעסק.

1. דליפת נתוני לקוחות. עותק פתוח של מסד נתונים או קובץ הגדרות אינם «פרט טכני קטן», אלא אפשרות לקחת את רשימת הלקוחות שלכם בלי לפרוץ לשום דבר. אחר כך — נזק למוניטין ואחריות על שמירת המידע האישי.
2. קוד זר באתר שלכם. עדכונים שלא הספקתם להתקין, ובנוסף היעדר CSP — ובדפים מופיעות פרסומות לקזינו, הפניות לאתרים חיצוניים או סקימר בדף התשלום. אתם עלולים לשמוע על כך מלקוח ולא מעצמכם.
3. סימון «אתר מסוכן» וירידה בחיפוש. דפדפנים ומנועי חיפוש לא מסכנים מבקרים. אתר שנפרץ עלול לרדת בתוצאות לשבועות, וההחלמה תיקח יותר זמן מאשר האובדן.
4. השבתה ועלות השחזור. שחזור לאחר פריצה עולה בדרך כלל פי כמה מהמשאבים שנדרשו למניעה. ובזמן שהאתר מושבת — אין הזמנות.
5. אובדן אמון של שותפים. יותר ויותר לקוחות גדולים ומכרזים מבקשים להראות מה מצבכם באבטחה. התשובה «אנחנו לא יודעים» לא מוסיפה נקודות.

מאיפה להתחיל: סדר שעובד

1. לסגור קבצי שירות פתוחים. אלה הפרצות היקרות ביותר, והן מתוקנות הכי מהר: בדרך כלל מספיקה שעת עבודה. קבצים עם סיסמאות — להוציא מהגישה, ואת הסיסמאות עצמן להחליף אחר כך, כי אסור להניח שהן לא דלפו.
2. לעדכן את המערכת והתוספים ולהסיר מתשובות השרת את הגרסאות המדויקות. לעדכן — על עותק של האתר, ולא על עיוור באתר החי.
3. להוסיף כותרות הגנה. להתחיל מ-HSTS, מהגנה מפני הטמעה, מ-nosniff ומ-Referrer-Policy — כמעט אף פעם הם לא שוברים דבר. את CSP להכניס בהדרגה, קודם במצב תצפית.
4. לסדר את HTTPS: חידוש אוטומטי של התעודה, הפניה מ-http, היעדר תוכן לא מאובטח.
5. לבדוק את הטפסים: טוקן נגד זיוף בקשה, הגנה מפני בוטים, העברה בשיטת POST בלבד, הסכמה ברורה לעיבוד נתונים.
6. להגדיר גיבויים מחוץ לאתר וניטור. גיבוי שמונח לצד האתר נעלם יחד איתו בעת פריצה. ואת זמינות האתר לא צריך לבדוק הלקוח.

איך אנחנו עוזרים

Smart Audit עונה על השאלה «מה בדיוק לא בסדר» בשפת העדיפויות: הדוח מחלק את הממצאים לאלה שנראים מיד ולאלה שטמונים בפלטפורמה של האתר עצמה. את הראשונים אנחנו סוגרים באתר הנוכחי שלכם. את האחרונים — גרסאות ישנות, מגבלות המערכת, חוסר אפשרות להגדיר הגנה כראוי — בדרך כלל פותרים במעבר למערכת שלנו, Smart CMS, שבה כותרות ההגנה, הגנת הטפסים והעדכונים כבר מובנים בבסיס. את המעבר אנחנו מבצעים בעצמנו: מעבירים דפים וכתובות, שומרים את הגדרות הנראות בחיפוש ומסייעים בכל שלב, כדי שלא תאבדו לא תנועה ולא הזמנות.

מכל מקום שתחליטו להתחיל, קודם כדאי לראות את התמונה שלכם.

---

אפשר לבדוק את האתר שלכם בחינם, בלי הרשמה, בשלוש דקות — ב-audit.sgt.com.ua. ואם תרצו שנסתכל על התוצאה יחד אתכם ונגיד ישירות מה לתקן קודם — כתבו לנו.