La Direction de la cybersécurité a terminé les vérifications sur la passerelle d'administration électronique en raison de vulnérabilités critiques du logiciel PHP et a annoncé qu'il n'y avait aucun problème affectant la sécurité du service. Le résultat de l'examen de sécurité fait suite à la publication de mises à jour de sécurité urgentes pour PHP. Selon le communiqué de l'institution, les services publics continuent sans interruption.
L'examen ici se concentre sur les services de e-Government Gateway, dont bénéficient plus de 69 millions d'utilisateurs. La présidence déclare que le système fonctionne en établissant des connexions sécurisées avec les systèmes des institutions publiques concernées, plutôt qu'en collectant des données personnelles dans un centre unique. La déclaration met également l'accent sur les mesures de sécurité à plusieurs niveaux et le contrôle constant des connexions numériques entre les institutions publiques.
De plus, les systèmes sont surveillés 24 heures sur 24 et des tests de sécurité réguliers sont effectués. Ce n’est pas parce qu’il n’y a aucun problème avec les contrôles actuels que tous les sites Web utilisant PHP sont dans la même situation. La version du logiciel, les composants et les mesures prises par chaque service sont évalués au sein de sa propre infrastructure.
La notification technique de l'institution indique que si les vulnérabilités sont exploitées avec succès, il existe un risque d'exécution de code et d'accès aux ressources du système dans le cadre des pouvoirs de l'application. En plus de la mise à jour, l'avis recommande également de limiter l'accès externe aux interfaces de gestion et aux services PHP critiques aux adresses IP autorisées.
L'appel aux institutions pour les mises à jour PHP continue
Dans son communiqué officiel du 21 octobre, la présidence a annoncé avoir lancé des contrôles de sécurité à l'échelle nationale et envoyé une notification urgente aux institutions concernées. Un appel a été lancé aux institutions publiques, aux opérateurs d'infrastructures critiques et aux organisations du secteur privé pour qu'ils examinent les systèmes et mettent rapidement en œuvre les mises à jour de sécurité nécessaires. Ce travail a une portée plus large que la simple vérification de l’accessibilité d’un seul portail public.
La nouvelle déclaration appelle également à identifier les composants logiciels obsolètes et à passer à des versions sécurisées. Les analyses nationales et le suivi technique se poursuivent avec une coordination entre les institutions compétentes et les équipes de réponse aux cyber-incidents. Par conséquent, l’achèvement de l’examen de l’administration électronique ne signifie pas que les efforts de prévention à travers le pays sont terminés.
L'équivalent concret de cette déclaration pour les citoyens est qu'ils peuvent continuer à utiliser les services offerts par l'e-gouvernement. Les destinataires de l'appel à mises à jour du serveur pour PHP sont les institutions qui exploitent cette infrastructure. Il n'y a aucune instruction dans la description selon laquelle vous devez installer une application sur votre téléphone ou effectuer une action spéciale dans votre compte e-Gouvernement. Il est important de conserver cette distinction pour éviter de confondre la sécurité du serveur avec les opérations des comptes utilisateur.
