Судебные приставы заплатят 683 млн рублей за обновление VPN

Федеральной службе судебных приставов (ФССП) требуется программное обеспечение от московского АО «ИнфоТеКс». Начальная (максимальная) цена контракта составляет 683,7 млн рублей. 30 мая заканчивается прием заявок. Исполнителя контракта должны объявить 2 июня.

Необходимость в конкретном ПО объясняется тем, что «ИнфоТеКс» уже поставлял оборудование ФССП. Жалоб на конкурс не поступало.

В апреле этого года «Лаборатория Касперского» сообщила о возможности заражения необходимого приставам софта вредоносным ПО, компания «ИнфоТеКс» подтвердила инцидент.

Требуется обновление

Служба судебных приставов хочет, чтобы подрядчик выстроил защищенные информационные и телекоммуникационные системы.

Заказчику требуется один комплект обновления программно-аппаратного комплекса (ПАК) ViPNet от АО «ИнфоТеКс», два сертификата активации сервиса совместной технической поддержки для него.

Другое ПО заказчика не устроит, поскольку поставляемый товар должен быть совместим с оборудованием ведомственной сети передачи данных производства компании «ИнфоТеКс», которое ему поставила по госконтракту в 2020 году ООО «Инлайн Технолоджис».

Mashnews направил запрос в АО «ИнфоТеКс», там ответили, что не готовы комментировать эти темы.

«Федеральной службой судебных приставов закупка осуществляется в целях обеспечения текущих нужд и в соответствии с требованиями Федерального закона от 05.04.2013 № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд»», — ответили на запрос нашего корреспондента в пресс-службе ФССП.

СПРАВКА MASHNEWS

ViPNet — программный комплекс для создания защищенных сетей.

Криптографические средства

Как объяснил Mashnews заместитель гендиректора по корпоративной безопасности ООО «Вириал», эксперт по информационной безопасности Николай Ясинский, сертифицированные криптографические средства защиты информации (СКЗИ) — это либо отдельная программа, либо программа плюс «железо».

«Под «железом» подразумевается физический носитель, на котором программа установлена — так называемый программно-аппаратный комплекс (ПАК), используемый для защиты информации путем шифрования и дешифрования данных при передаче информации, аутентификации пользователей (подтверждении личности) и формировании и подтверждении электронных подписей. Сертификация СКЗИ — это форма подтверждения соответствия конкретного средства требованиям безопасности, которые устанавливаются ФСБ и ФСТЭК», — пояснил Ясинский.

Защищенные VPN-сети, которые предстоит построить исполнителю контракта для ФССП, — это способ криптографической защиты информации, уточнил Ясинский.

«VPN шифрует все, что вы отправляете, и все, что получаете, создавая таким образом защищенный тоннель между вашим устройством и сервером VPN. И никто посторонний, даже находясь в этой сети, не может получить доступ к данным. То есть это сеть поверх сети. Для чего он нужен судебным приставам? Для передачи данных и доступа в корпоративную сеть», — объяснил Ясинский.

По словам эксперта по информационной безопасности Сергея Вакулина, люди считают, что VPN предназначен лишь для обхода блокировок и запретов, но на самом деле его предназначение заключается в создании безопасного подключения. Он необходим и государственным служащим, и компаниям. VPN служит как посредник для передачи информации из точки А в точки Б, и гарантирует ее безопасность.

Это не тот VPN

Корпоративный VPN отличается от того VPN, который граждане используют, чтобы попасть на заблокированные сайты.

Основное отличие, по словам Николая Ясинского, состоит в том, что когда мы пользуемся VPN на смартфоне, то попадаем на нужный сайт не напрямую, а через специально настроенный удаленный сервер. При этом мы не знаем, где он находится (обычно на территории иностранного государства). Мы не знаем, кто этим сервером управляет, кто имеет к нему доступ.

«А тот VPN, который используют госкорпорации и госструктуры, представляет из себя программно-аппаратный комплекс, и сервер фактически находится у владельца VPN. То есть ты отправляешь данные через свой сервер, ты его администрируешь, и только ты имеешь к нему доступ. Это основное отличие. И необходимо отметить, что VPN, который используют госструктуры и госкорпорации, сертифицирован. Сертифицировано как ПО, так и аппаратная часть, которая входит в комплекс», — объяснил Ясинский.

Сергей Вакулин считает, что разница между этими VPN фактически состоит только в локации. Государственные служащие вряд ли смогут его использовать для обхода блокировок, поскольку он будет подвязан не к Нидерландам или США, а к России. Все остальные функции VPN останутся прежними.

У «ИнфоТеКс» есть конкуренты

Николай Ясинский отметил, что Федеральная служба судебных приставов уже закупала VPN у компании «ИнфоТеКс».

«Вероятно, в целях обеспечения совместимости с предыдущей закупкой и сейчас выбор пал на решение «ИнфоТеКс». В состав предмета закупки входит обновление ПАК и сертификат активации», — объяснил эксперт.

По словам Сергея Вакулина, в России есть и другие похожие решения — от ООО «Крипто-Про», АО «Лаборатория Касперского» или ООО «С-Терра Сиэспи». Интегрировать можно любое из них, но на это может уйти время.

«Представим, что у вас есть смартфон, который вы уже настроили под себя, и через время сбросили все до заводских настроек. Придется все начинать сначала: устанавливать приложения, менять обои, входить в аккаунты и прочее. На такую процедуру уйдет время, как и в этом случае», — подчеркнул Вакулин.

Апрельский инцидент

Месяц назад стало известно об уязвимости, затронувшей ПАК от «ИнфоТеКс», обновление которых и заказывает ФССП. 17 апреля «Лаборатория Касперского» сообщила, что ее эксперты и эксперты кибербезопасности «Т-Технологий» обнаружили новый сложный бэкдор (ПО для скрытого дистанционного управления зараженным устройством). Неизвестная группа, специализирующаяся на целевых продолжительных атаках повышенной сложности, использовала его для кибершпионажа.

«С вредоносной кампанией столкнулись десятки организаций в России, в том числе из госсектора, финансовой сферы и промышленности. Последние инциденты зафиксированы в апреле 2025 года», — уточняется в сообщении «Лаборатории Касперского».

По ее информации, обнаруженный зловред нацелен на компьютеры, подключенные к сети ViPNet. Он распространяется, мимикрируя под обновление ViPNet Client.

На следующий день инцидент подтвердили в АО «ИнфоТеКс». При этом в компании уточнили, что выявленный вектор атаки может быть реализован только злоумышленником, обладающим доступом к произвольному узлу ViPNet с правами администратора операционной системы, глубокими знаниями механизмов построения сетей ViPNet и ключом подписи действующего сертификата пространства доверия внутренней сети организации.

Через некоторое время подробная информация об уязвимости механизма обновления программно-аппаратного комплекса защиты информации ViPNet Client 4 появилась и на сайте Федеральной службы по техническому и экспортному контролю России. Согласно сообщению, эксплуатация уязвимости возможна только для внутреннего нарушителя, обладающего повышенными привилегиями и выходящего за рамки заявленного уровня защищенности продукта, и может позволить нарушителю запустить программное обеспечение, имитирующее обновление.

То есть уязвимость есть, но воспользоваться ей трудно.

СПРАВКА MASHNEWS

АО «ИнфоТеКс» («Информационные технологии и коммуникационные системы») зарегистрировано в 1995 году в Москве. В 2022 году выручка компании составила 5,9 млрд рублей, прибыль — 681 млн. Более свежие данные отсутствуют.
АО «Лаборатория Касперского» зарегистрировано в 1997 году в Москве. Выручка в 2024 году составила 56 млрд рублей, прибыль — 7,4 млрд.
ООО «Крипто-Про» зарегистрировано в 1999 году в Москве. Выручка в 2022 году составила 3,5 млрд рублей, прибыль — 1,8 млрд.
ООО «С-Терра Сиэспи» зарегистрировано в 2014 году в Москве. Выручка в 2024 году составила 2,3 млрд рублей, прибыль — 891 млн.