Hükümetlerin kullandığı AB merkezli parola yöneticisinin kökeni Rusya’ya uzanıyor

Organized Crime and Corruption Reporting Project (OCCRP), Le Monde, Investico ve diğer Avrupalı medya kuruluşlarının ortak araştırması, Avrupa ürünü olarak pazarlanan ve AB genelindeki devlet kurumları tarafından kullanılan bir parola yönetim aracı olan Passwork'ün, teknolojik kökenlerini Rusya Federal Güvenlik Servisi (FSB) ve yaptırım uygulanan füze üreticileri gibi müşterileri olan bir Rus muadiliyle paylaştığını ortaya çıkardı.

Ortak Kod Tabanı ve BAE'deki Şeffaf Olmayan Aracı

Barselona merkezli Passwork Europe SL, kendisini "Made in EU 2017" rozetiyle tanıtıyor ve GDPR ile NIS2 uyumluluğuna sahip olduğunu iddia ediyor. Ancak 17 Temmuz'da yayınlanan araştırma, yazılımın aslında 2014 yılında Rusya'nın Arkhangelsk kentinde Rus kurucular Ilya Garakh ve Andrey Pyankov tarafından geliştirildiğini ortaya koydu.cybernews+1

Gazeteciler, Avrupa ürününün Rus kardeş şirketi Passwork LLC ile ortak bir kod tabanını paylaştığını, güncellemeleri benzer bir zaman çizelgesinde aldığını ve neredeyse aynı kullanım kılavuzuna sahip olduğunu keşfetti. Avrupa versiyonuna yönelik güncellemeler, Temmuz 2022'de BAE'deki Ras Al Khaimah Ekonomik Bölgesi'nde tescil edilen ve Rus kuruculardan biri tarafından yönetilen Passwork FZ-LLC aracılığıyla sağlanıyor.brusselssignal

Rus firma, Rusya Savunma Bakanlığı'na bağlı Teknik ve İhracat Kontrolü Federal Servisi (FSTEC) ve FSB'den sertifikalara sahip; bu sertifikalar detaylı kaynak kodu incelemesi gerektiriyor. Reklamı yapılan müşterileri arasında Gazprom, Transneft, Rusya Savunma Bakanlığı, FSB ve yaptırım uygulanan Rus füze üreticileri bulunuyor.cybernews+1

Avrupalı Müşteriler ve Güvenlik Uyarıları

Passwork'ün Avrupalı müşterileri arasında en az üç İrlanda devlet kurumu, Almanya'daki Dresden Teknoloji Üniversitesi, büyük bir Hollandalı güneş enerjisi parkı işletmecisi, bir Fransız liman işletmecisi ve Brüksel bölge hükümetine hizmet veren bir Belçikalı BT sağlayıcısı aracılığıyla hizmet alan kurumlar bulunuyor.irishtimes+2

Clingendael Enstitüsü güvenlik birimi başkanı Bart van den Berg, kaynak koduna erişimin Rus devletine "yazılım ve açıkları hakkında kapsamlı bir içgörü sağlayabileceğini, hatta yazılıma kasıtlı olarak unsurlar ekleyebileceğini" konusunda uyardı. Ayrıca her iki ürünün de aynı kod tabanını paylaşması durumunda "açıkların her iki versiyonu da etkileyebileceğini" ekledi.brusselssignal

CEO Bağlantıları Reddediyor ve AI Rehberini Kaldırıyor

Passwork Europe SL'in CEO'su ve tek hissedarı Alexander Muntyan, İspanyol ve Rus kuruluşları arasında herhangi bir ilişki olduğunu reddetti. Gazetecilere verdiği demeçte, "Müşterileri, sunucuları, destek sistemlerini, müşteri kayıtlarını, idari erişimi veya müşteri ortamlarını paylaşmıyoruz" dedi. Güvenlik önlemi olarak şifrelemenin istemci tarafında gerçekleştiği "sıfır bilgi mimarisini" (zero-knowledge architecture) gerekçe gösterdi.brusselssignal

Muntyan, "ortak kod tabanı kökenini" kabul etti ve yazılım haklarını 2024 yılında BAE merkezli kuruluştan devraldığını, tam ticari marka haklarının ise Ağustos 2026'da geçeceğini doğruladı. Ancak OCCRP'nin kendisiyle ilk temas kurmasından kısa bir süre sonra şirket, web sitesinden "ABD, Rusya veya diğer Avrupa dışı kuruluşlarla hiçbir bağlantısı olmadığı" yönündeki AI rehberini kaldırdı. Gazeteciler tarafından herhangi bir kötü amaçlı kod veya veri ihlali kanıtı bulunamadı.brusselssignal