Un team di ricercatori cinesi ha analizzato le configurazioni di quasi 14.000 siti web governativi cinesi e ha scoperto falle di sicurezza che potrebbero portare ad attacchi informatici.

In un lavoro chiamato SilkSecured, gli esperti hanno esaminato:

• risoluzione dei nomi di dominio;
• utilizzo di librerie di terze parti;
• servizi di autorità di certificazione (Certificate Authority, CA);
• servizi di distribuzione di contenuti (Content Delivery Network, CDN);
• fornitori di servizi internet (Internet Service Provider, ISP);
• implementazione di HTTPS;
• Integrazione IPv6;
• implementazione di DNSSEC (Domain Name System Security Extensions);
• prestazioni del sito web.

Durante l’analisi sono stati scoperti molti problemi:

• Oltre il 25% dei domini dei siti web governativi non disponeva di record di server dei nomi (NS), il che potrebbe indicare una configurazione DNS inefficace e possibile inaffidabilità o indisponibilità.
• hanno riscontrato una “notevole dipendenza” da cinque fornitori di servizi DNS: una mancanza di diversità che potrebbe esporre l’infrastruttura di rete a singoli punti di guasto.
• 4.250 sistemi utilizzavano versioni della libreria JavaScript jQuery vulnerabili alla vulnerabilità XSS CVE-2020-23064 (CVSS: 6.1), il che significa che i siti potrebbero essere il bersaglio di un attacco remoto noto da circa 4 anni.
• Problemi DNSSEC: 101 incoerenze trovate tra i record del sottodominio e i record delle firme delle risorse.
• una vasta gamma di vulnerabilità, inclusi problemi di intestazione, mancanza di protezione contro gli attacchi CSRF, mancanza di politiche di sicurezza dei contenuti e fuga di informazioni sugli indirizzi IP interni.
• Nonostante la geografia moderatamente distribuita degli ISP utilizzati dai siti governativi, i ricercatori hanno riscontrato che la ridondanza dei server non è sufficiente per garantire sicurezza e affidabilità ottimali.

I ricercatori hanno concluso che i problemi identificati potrebbero non avere una soluzione rapida. La vulnerabilità dei sistemi agli attacchi informatici evidenzia la “necessità fondamentale di un monitoraggio e rilevamento continui di attività dannose”.

È stata inoltre rilevata la necessità di una “selezione rigorosa e di un aggiornamento regolare”delle librerie software di terze parti. Gli autori chiedono una “distribuzione diversificata dei nodi di rete” per migliorare la resilienza e le prestazioni del sistema.

È improbabile che i risultati dello studio vengano accolti favorevolmente a Pechino, date le richieste del governo cinese per migliorare i servizi governativi digitali e le frequenti indicazioni sul miglioramento della sicurezza informatica.

L'articolo I siti Governativi Cinesi sono insicuri. La ricerca SilkSecured di ResearchSquare proviene da il blog della sicurezza informatica.