Публикувана на 29.09.2025 от Христо Петров
Последна промяна на 29.10.2025
Заглавието и текстът са обновени, за да отразят факта, че след първоначалното публикуване на тази статия е отстранен проблемът, който тя адресира.
Почти месец, след като Questona съобщи за уязвимост в сайта на Софийски университет, проблемът е отстранен.
Една от секциите в сайта на СУ (портал за електронни услуги) работеше с незащитена връзка и позволяваше кражбата на чувствителни данни като потребителски имена и пароли.
Данните, въведени в незащитения портал, можеха да бъдат откраднати от злонамерено лице, което следи интернет трафика в същата безжична мрежа, към която са свързани потребителите на портала.
Това създаваше значителен риск за студенти и преподаватели, които използват портала, след като са се свързали към някоя от WiFi мрежите (и не само) на учебното заведение.
Не е известно колко време порталът е бил без защита. През септември 2025 г. Questona направи опит да предупреди отговорните лица за проблема, но не получи отговор и първоначално не бяха предприети никакви действия за отстраняването му.
Месец по-късно връзката към портала вече е криптирана. Дори ако потребител се опита да отвори портала с незащитена връзка (HTTP), той автоматично се пренасочва към защитена (HTTPS). Преди такава просто нямаше.
Портал за електронни услуги без елементарна защита
За разлика от други секции на сайта на СУ, въпросният портал не използваше HTTPS: протокол, който криптира връзката между браузъра на потребителя и уебсървъра.
Когато потребителят взаимодейства с този портал – например логва се с име и парола – данните му са „видими“ за всеки, който е свързан към същата безжична мрежа и следи трафика в нея.
Липсата на HTTPS е сериозна дупка в сигурността на сайт, който изисква от потребителите да въвеждат чувствителни данни.
Едно от възможните обяснения за този пропуск е, че порталът вече не се използва активно и отговорните лица са преценили, че няма нужда да се слага HTTPS.
Проблемът е, че поддържането на уязвима интернет страница онлайн носи риск някой да я посети и да въведе данните си в нея.
Страницата все още показва активност
Ето един възможен сценарий за атака. Злонамерено лице с достъп до WiFi мрежа на университета започва да я следи с инструмент за анализ на трафика: например Wireshark. След това филтрира само заявките към портала, направени от потребителите, свързани към същата WiFi мрежа. Ако тези потребители са въвеждали данни в портала, злонамереното лице може да ги види.
Questona не успя да установи дали порталът се използва с цел логване към някоя от електронните системи на СУ. Има обаче данни, че той е бил активен месеци преди публикуването на тази статия. Тогава на него е публикувана информация за конкурс за научни проекти, проведен през 2025 г.
Индексиран в интернет търсачките
Допълнителен проблем е, че страницата е индексирана от основните интернет търсачки. Ако напишете в Google „вход в системата су“, порталът не само се появява на първа страница в резултатите, но излиза по-напред от страницата „СУСИ – Вход за студенти“.
Това може да заблуди някои потребители – например първокурсниците – които още не са свикнали да работят със сайта на университета.
Търсейки начин да влязат в електронната система на СУ, те може погрешка да попаднат на опасния доскоро портал и да въведат данните си в него.
Системен проблем в българското образование
През 2024 г. Questona публикува статията „Кошмарът на незащитените академични сайтове„. Един от споменатите в нея примери беше същия портал на СУ, както и липсата на HTTPS в други академични сайтове.
Наличието на HTTPS е стандарт за сигурност. Този протокол е задължителен за търговци и за всеки уебсайт, в който се въвежда чувствителна информация.
Освен за търговците, липсата му е проблем за всички институции и мероприятия, където се събират много хора на едно място: учебни заведения, болници, държавни агенции, летища, фестивали и други. Причината е именно сценария за атака, описан по-горе в статията.
Искате да научавате новините на момента?
|| >>> Следвайте Questona във Facebook || >>> Следвайте Questona в LinkedIn ||
Подобни статии
