ინდოეთის საშუალო განათლების ცენტრალურმა საბჭომ (CBSE), რომელიც ყოველწლიურად მილიონობით მოსწავლის გამოცდებს ატარებს, ციფრული შეფასების ახალ სისტემაზე გადასვლა დაიწყო. თუმცა, როგორც ახალგაზრდა კიბერუსაფრთხოების მკვლევარმა გამოავლინა, პლატფორმა, რომელიც პასუხისმგებელია მოსწავლეთა ნაშრომების შეფასებაზე, უსაფრთხოების სერიოზულ ხარვეზებს შეიცავს.

სისტემაში, რომელიც Coempt EduTeck Pvt Ltd-ის მიერაა შემუშავებული, აღმოჩენილია „ოსტატური პაროლი“ (master password). ის პირდაპირ, ღია ტექსტის სახით იყო ჩაშენებული პლატფორმის კლიენტურ ნაწილში. ამ პაროლის გამოყენებით შესაძლებელი იყო ავტორიზაციის პროცესის სრული გვერდის ავლით სისტემაში შესვლა.

რა საფრთხეს უქმნის ხარვეზები სისტემას?

მკვლევარის თქმით, სისტემური პრობლემა გაცილებით მასშტაბურია, ვიდრე მხოლოდ ერთი პაროლი. პლატფორმის არქიტექტურა არ ითვალისწინებდა უსაფრთხოების სათანადო დაცვას, რამაც შემდეგი რისკები წარმოშვა:

  • ავთენტიფიკაციის გვერდის ავლა: ერთჯერადი პაროლი (OTP) მხოლოდ ფორმალური იყო, რადგან მისი შემოწმება სერვერის ნაცვლად ბრაუზერში ხდებოდა.
  • IDOR (Insecure Direct Object Reference) ხარვეზი: სისტემა ენდობოდა კლიენტის მიერ გაგზავნილ მომხმარებლის ID-ს, რაც თავდამსხმელს საშუალებას აძლევდა, მარტივად შეეცვალა ნებისმიერი შემფასებლის ანგარიში.
  • პაროლის შეცვლის მექანიზმი: სისტემა არ ამოწმებდა ძველ პაროლს, რაც ნებისმიერი ანგარიშის პაროლის მარტივად გადაყენების საშუალებას იძლეოდა.

მკვლევარმა აღნიშნა, რომ პლატფორმის მარშრუტიზაცია დაცული არ იყო და ნებისმიერ მომხმარებელს შეეძლო პირდაპირ გადასულიყო შეფასების დაფაზე, ყოველგვარი ავტორიზაციის გარეშე. საკმარისი იყო ბრაუზერის კონსოლში რამდენიმე მნიშვნელობის შეცვლა.

რეაგირება და შედეგები

აღმოჩენილი ხარვეზების შესახებ ინფორმაცია ინდოეთის კომპიუტერული ინციდენტების რეაგირების ჯგუფს (CERT-In) ჯერ კიდევ 2026 წლის თებერვალში მიეწოდა. მიუხედავად დეტალური მტკიცებულებებისა, მათ შორის ვიდეო ინსტრუქციებისა, სახელმწიფო უწყების მხრიდან ეფექტური რეაგირება არ მომხდარა.

საბოლოოდ, მკვლევარმა გადაწყვიტა, აღნიშნული ინფორმაცია საჯარო გაეხადა. მისი თქმით, სისტემის უსაფრთხოება, რომელიც მილიონობით მოსწავლის აკადემიურ ბედს წყვეტს, კრიტიკულად მნიშვნელოვანია და მსგავსი ხარვეზები დაუყოვნებლივ გამოსწორებას საჭიროებს.