Passwork'ün Gizli Rus Bağlantıları ve FSTEC Sertifikası Endişe Yarattı
OCCRP soruşturması, Avrupalı şifre yöneticisi Passwork'ün gizlenen Rus kurucularını ve FSTEC sertifikalı Rus ortağıyla bağlantısını ortaya çıkardı.
Passwork Europe S.L., tamamen Avrupalı, kurucu sahipliğinde ve Rusya dahil hiçbir dış bağlantısı olmayan bir şifre yöneticisi olarak pazarlanıyor. Ancak OCCRP'nin soruşturması, yazılımın aslında iki Rus ortak kurucu tarafından geliştirildiğini ve bu kişilerin, Avrupa şirketine güncelleme sağlayan, sahipliği belirsiz bir BAE merkezli firmayla bağlantılarını sürdürdüğünü ortaya koydu.
Şirket kayıtları, aynı Rus kurucuların Rusya merkezli Passwork LLC'ye sahip olduğunu gösteriyor; bu şirket İspanyol firmasıyla aynı logoyu kullanıyor ve yaptırımlı savunma sanayi şirketlerini müşterileri arasında listeliyor. Rus şirket, Savunma Bakanlığı'na bağlı FSTEC ve FSB tarafından sertifikalandırılmış — bu süreç genellikle kaynak kodunun devlet onaylı bir laboratuvara incelenmek üzere teslim edilmesini gerektiriyor.
Güvenlik uzmanları, bu tür devlet düzeyindeki kod denetimlerinin Rus makamlarına istismar edilebilir zafiyetler hakkında bilgi sağlayabileceğini ve iki ürünün ortak kod tabanı ile eşzamanlı güncelleme döngüleri nedeniyle hâlâ yakından ilişkili olabileceğini belirtiyor. Passwork CEO'su Alexander Muntyan, şirketler arasında operasyonel bir ilişki olmadığını reddediyor ve yazılımın sıfır bilgi mimarisinin müşteri verilerini koruduğunu savunuyor.
Kimlik bilgisi yönetim araçlarını değerlendiren mühendisler için bu vaka, pazarlama iddialarının bir ürünün gerçek kurumsal kökenini gizleyebildiği durumlarda, yazılım kökeninin ve güncelleme zincirinin bütünlüğünün doğrulanmasının önemini gözler önüne seriyor.