всё ещё печальнее, чем у федералов / Хабр

Вот мы и выпустили сводный доклад по итогам мониторинга сайтов высших органов власти регионов – «Надежность сайтов органов государственной власти субъектов Российской Федерации – 2020». Оценивали их с трех сторон: а) можно ли эти сайты считать официальными с точки зрения закона, б) обеспечивают ли они надежное HTTPS-соединение, и в) что и откуда они загружают, т.е. насколько потенциально уязвимы к XSS и как щедро сливают данные о своих посетителях третьим лицам?

По результатам исследования сайтов федеральных органов власти можно было догадаться, что на региональном уровне все окажется не лучше, но вот как и насколько, мы даже не догадывались.

Что касается официальности сайтов: у федералов 2 из 82 исследованных сайтов органов власти оказались неофициальным. Первоначально мы посчитали неофициальным еще и сайт Росгвардии, администрируемый подведомственным ей центром информационных технологий, но та отстояла свою точку зрения: центр – это войсковая часть, т.

е. часть самой Росгвардии, поэтому нарушения закона тут нет, а есть наша невнимательность (но вот TLS-сертификат у них на сайте уже вне всяких сомнений второй месяц как протух).

Поэтому региональные сайты мы проверяли по уже доработанной методике, предусматривающей запрос в ЕГРЮЛ и выяснили: из 184 сайтов, названных официальными, 27 (15%) таковыми не являются, т.к. соответствующие доменные имена администрируются подведомственными госучреждениями, коммерческими и некоммерческими организациями, и даже физическими лицами, хотя закон четко устанавливает, что это разрешено только государственным органам (читай – органам власти). Особенно отличились Северо-Западный и Сибирский федеральные округа, где официальных сайтов не имеют более 30% высших органов власти.

С замиранием сердца делали запрос в ЕГРЮЛ по ИНН администратора сайта Парламента Чеченской Республики, который указан в реестре регистратора как «ООО Парламент ЧР». Я, конечно, заранее извиняюсь, Рамзан Ахматович, но у парламентов в России иная организационно-правовая форма, и в ФНС считают так же (они пусть сами извиняются).

В общем, сенсации не случилось – администратор там «Аппарат Парламента Чеченской Республики», а за «ООО» пусть извиняется тот, кто внес такую запись в реестр доменов.

Тут внимательный читатель может перебить меня вопросом: а почему исследовались 184 сайта, когда субъектов федерации 85? Отвечаю: исследовались сайты региональных правительств, парламентов и губернаторов при их наличии (сайта, а не губернатора). Но если вы думаете, что количество губернаторских сайтов легко вычисляется по формуле 184 – 85 – 85 (= 14), то вы заблуждаетесь, все намного сложнее. Например, у Правительства Москвы нет своего сайта, есть только сайт Мэра Москвы, где правительству отведен свой угол. Зато органы власти некоторых других субъектов располагают сразу двумя сайтами, причем оба называются официальными.

Для примера, у Правительства Республики Тыва сразу два сайта, оба названы официальными (gov.tuva.ru и rtyva.ru) и оба таковыми не являются с точки зрения закона, т.к. первое доменное имя администрируется АО «Тывасвязьинформ», а второе – вообще анонимным физическим лицом. У Правительства Костромской области тоже два сайта (adm44.ru и kostroma.gov.ru), оба официальные, но с разным наполнением.

Меня в комментариях к одной из прошлых публикаций упрекнули, что мы доматываемся до мышей с этой официальностью. Нет, ребята, мы просто требуем неукоснительно соблюдать закон, тем более что в данном случае он логичный и легко исполнимый: администратором доменного имени для сайта органа власти может быть только орган власти. Не подведомственное госучреждение, не ООО, не гражданин Пупкин, а только орган власти и точка.

С поддержкой HTTPS на региональном уровне все примерно так же, как и на федеральном: большинство декларирует наличие поддержки, но лишь четверть действительно обеспечивает что-то похожее на нормальную защиту соединения, остальные – кто сертификат забыл вовремя обновить, а кто годами ПО на веб-сервере не обновляет, и тот светит в Интернет дырами и уязвимостями чуть не десятилетней давности.

Интересно тут другое: наверное, все хотя бы слышали про «Электронную Москву», «Электронную Бурятию», «Электронный Татарстан» и прочие электронные программы по освоению бюджетов на информатизацию госуправления. А знаете, у кого в результате оказалась лучшая поддержка HTTPS на официальном сайте? У правительств Ульяновской и Московской областей и парламентов Владимирской области и ЯНАО.

Я вот ничего даже не слышал про «Электронное ЯНАО», может такой программы и не существует, а хотя бы одного пряморукого админа в ЯНАО найти смогли (пятое место по площади среди субъектов федерации, населения – как в одном районе Москвы). А в электронной Бурятии то ли с населением еще хуже (Росстат возражает), то ли денег на нормального админа не хватило, но сервера обоих органов власти – законодательной и исполнительной – приветливо машут любознательным исследователям букетом из CVE-2014-0160, CVE-2014-0224, CVE-2016-2107, CVE-2019-1559 и далее со всеми остановками.

Из занимательного: при попытке проверить сайт Администрации Ненецкого автономного округа, мы наткнулись на блокировку по IP ряда исследовательских инструментов. На это у администратора хватило и усердия, и знаний, и желания, а вот на закрытие CVE-2012-4929 (кто не в курсе, первое число – год описания уязвимости, 8 лет назад, Карл!) и прочих дыр уже ни сил, ни желания не осталось, а может и знаний тоже.

Лидером по поддержке защищенного соединения является Южный федеральный округ, где 53% исследованных сайтов обеспечивают достаточно надежное HTTPS-соединение. Следом за ним идут Центральный и Уральский (47% и 40% соответственно). Отстающие – Приволжский и Северо-Кавказский, в которых лишь 13% сайтов высших органов власти не имеют значимых проблем с поддержкой защищенного соединения.

Что касается XSS, т.е. мусора, которые сайты сами загружают из сторонних источников, то тут, как и у федералов – зоопарк: JS-библиотеки, шрифты, счетчики, баннеры и далее со всеми остановками, но есть и свои интересные нюансы.

Например, у федералов Google Analytics на 4 месте по популярности, а у регионалов – на 7; это даже в абсолютных цифрах меньше, чем у федералов. Но если собственно счетчик GA стоит лишь на 9% региональных сайтов, то гуглокод вообще – на 63%, так что данные о посетителях они все равно успешно собирают. А вот на третьем месте среди счетчиков у регионалов внезапно оказался Bitrix.

Это который вроде бы CMS ну и еще немного сбора статистики.

Рекордсменом по любви к аналитике стало Правительство Алтайского края, чей сайт «украшен» сразу 6 счетчиками, но его успех несколько меркнет по сравнению с сайтами Администрации Костромской области, парламентов Калининградской области, Удмуртской Республики и Москвы, которые «украшены» кодом счетчика OpenStat, уже два года не подающим признаков жизни. Это, конечно, не электронные пропуска шаманить, это ж HTML, а у ДИТ лапки… загребущие.

В качестве резюме: как и в случае мониторинга федеральных сайтов, мы рассылали отдельные доклады по субъектам их героям. Федералов после этого специально не мониторили, но подвижки видны невооруженным глазом: кто-то дыры на сервере залатал, кто-то HTTPS включил, кто-то TLS-сертификат обновил, кто-то так и не почесался, но реакция заметна.

Регионалов немного помониторили, пока единственная заметная реакция – Правительство Тульской области переписало домен для своего сайта с подведомственного госучреждения на региональное Минсвязи.

Хорошо, мы для того и мониторили, чтобы указать на ошибки и подсказать, как их исправить. Плохо, что остальным, похоже, плевать: ну нарушаем закон о доступе к госинформации, ну сайт дырявый, ну грузят на него код все подряд, включая «вероятного противника», подумаешь…

В общем, пока на главной странице его сайта не появится срамная картинка или хула на государя-императора, губернатор партбилетом не перекрестится. Через год проверим, так ли это – планируем проводить мониторинг ежегодно.

Платформа сайтов «Открытый регион»

Большинство проектов нашей компании используют в качестве основы единую платформу «Открытый регион», которая представляет собой набор готовых процедур, функций и модулей и обеспечивает возможность оперативного создания программных продуктов и информационных систем для автоматизации процессов в органах власти (организациях) и повышения эффективности при взаимодействии с населением.

Создаваемые продукты имеют web-интерфейс, публичную и административную части.

Платформа интегрирована с CMS 1С-Битрикс: Управление сайтом.

Ключевым решением на базе платформы «Открытый регион» является платформа для создания сайтов органов власти (ГосВеб), включающая в себя конструктор сайтов. Платформа внедрена в ряде регионов России. Более подробное описание доступно в буклете и по ссылке.

Назначение:

• Создание большого количества однотипных сайтов органов власти или организаций.
• Интеграция порталов и сайтов на базе CMS 1С-Битрикс с СЭД.
• Развертывание электронной приемной в соответствии с требованиями Федерального закона от 02.05.2006г. №59-ФЗ «О порядке рассмотрения обращений граждан Российской Федерации».

Ключевые особенности платформы «Открытый регион»:

• Готовый набор типовых объектов (организационная структура, типовые деятельности, документы и т.д.) для множества сайтов.
• Авторизация ЕСИА.
• Единый реестр организаций и ведомств, работающих на платформе.
• Готовые редакторы информации для типовых объектов.
• Распределение прав доступа в разрезе подсайтов и видов объектов.
• Готовый механизм электронной приемной.
• Готовые механизмы использования электронной подписи.
• Встроенные механизмы интеграции с СЭД, поддерживающими формат ГОСТ Р 53898-2013.
• Встроенные механизмы интеграции с реестром услуг.

Установка и сопровождение платформы «Открытый регион»:

Установка и сопровождение продуктов, основанных на платформе «Открытый регион» осуществляется нашей командой или компаниями — партнерами. Для получения детальной информации или партнерского статуса необходимо обратиться в службу технической поддержки.

При сопровождении продуктов, основанных на платформе «Открытый регион», необходимо выполнять следующие условия:

• Любое обслуживание, модификация, доработка и модернизация, должно осуществляться только специалистами, прошедшими обучение у нас или наших партнеров.
• Любое обслуживание, модификация, доработка и модернизация, должны осуществлять компании, имеющее соответствующее соглашение (на передачу прав) с нами.
• При осуществлении процедур обслуживания, обслуживающая организация обязана в течение 5 рабочих дней обеспечить установку новых версий ПО и модулей, которые анонсируются на нашем сайте.
• Предоставление доступа к администрированию и управлению платформой и модулями, передача исходных кодов и его составных частей (модулей) людям, не прошедшим обучение у нас или наших партнеров, или компаниям, с которыми у с нами не заключены соответствующие соглашения является нарушением наших авторских прав.
• Платформа допускает подключение только модулей, разработанных или аттестованных нами. Подключение сторонних модулей не допускается.

Невыполнение пунктов указанных может является нарушением условий гарантийного сопровождения.

Перечень доступных модулей:

• Централизованный портал.
• Единый шаблон порталов.
• Шаблон сайтов органов государственной власти и местного самоуправления и организаций.
• Шаблон сайта Правительства.
• Субсидии.
• Запись на прием.
• Тестирование.
• Электронная приемная.
• Портал открытых данных.
• Корпоративный портал.
• Чат-бот.
• Мониторинг поручений.

Официальное название продукта: Программа для автоматизации процессов в органах власти (организациях) и взаимодействия с населением «Открытый регион»

Свидетельство о государственной регистрации программы для ЭВМ № 2016618970 от 10 августа 2016 года.

Приказом Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 05.07.2018 №347 Платформа «Открытый регион» включена в реестр отечественного программного обеспечения. Номер реестровой записи: 4612

Проекты, работающие с использованием модулей платформы «Открытый регион»:

• Субсидии
• Платформа для создания сайтов «Власть»
• Портальное решение «Электронная приемная»
• Портал электронной демократии «Голос»
• Платформа «Депутаты»
• Портал «Кадры республики»

Ряд решений, занял первое место в номинации «IT в открытом регионе» конкурса «ПРОФ-IT. 2016», а также Всероссийского конкурса лучших практик открытости государственного управления в сфере использования цифровых технологий и инноваций для повышения открытости органов государственной власти в 2018 году. Полный список наград можно посмотреть по ссылке.

Гарантия и сопровождение

Гарантийный срок обслуживания платформы составляет 1 год. В течение этого промежутка времени обеспечивается полный цикл сопровождения и консультирования пользователей платформы.

Для проведения оперативных доработок рекомендуется приобретение пакета расширенной технической поддержки, которая включает в себя возможность оперативной адаптации Платформы: добавление нового функционала в т.ч. в части визуализации страниц, создание специфических отчетов, помощь при наполнении контентом и т.д. Конкретный состав работ обговаривается при заключении контракта.

Особенности лицензирования

Обращаем внимание на то, что набор базовых процедур и функций ПО «Открытый регион» и его модули лицензируются отдельно. При подписании лицензионного соглашения лицензиат получает права только на те модули, которые явно указаны в лицензионном соглашении (договоре).

Для получения прав на обновления ПО «Открытый регион» также необходимы отдельные лицензионные соглашения.

Гарантия и сопровождение

Гарантийный срок обслуживания платформы составляет 1 год. В течение этого промежутка времени обеспечивается полный цикл сопровождения и консультирования пользователей платформы.

Документация

Руководство по эксплуатации для шаблонов сайтов органов власти и ведомств (платформа «Власть»)

Банковские услуги: расчетные, сберегательные, ипотечные | Регион Банк

Получите карту Visa Reward Card на 50 долларов, если вы порекомендуете другу, открывшему текущий счет в регионах.

Узнать больше

Имя пользователя

Запомнить меня

меня интересует.

..

Проверка

Дебетовые и предоплаченные карты

Кредитные карты

Сбережения

Ссуды и кредитные линии

Ипотека

Получайте больше от повседневных банковских операций с помощью Regions Rewards.

Смотри как

Как мне достичь цели сбережений?

Узнать больше

Хорошие истории.

Лучшее понимание. Больше возможностей.

Узнать больше

Почему регионы?

Мы стремимся удерживать клиентов в первую очередь, обеспечивая технологическое удобство и являясь сильным партнером сообщества.

Цифровое инвестирование

Мы обеспечиваем вам полный контроль благодаря диверсифицированному инвестиционному портфелю, основанному на ваших финансовых целях и устойчивости к риску, а также доступу к нашей команде финансовых консультантов для планирования и получения рекомендаций, когда вам это нужно.

Узнайте, как начать работу с InvestPath

Банковские услуги на ходу с онлайн- и мобильным банкингом

Управляйте всеми своими счетами в одном месте. Узнайте больше о:

• Интернет-банкинг ¹
• Мобильный банкинг, включая мобильные депозиты ²
• Перевод денег и осуществление платежей, включая Zelle® ³

Цифровые банковские реквизиты

Узнайте, как подать заявление на прощение кредита PPP

В зависимости от суммы вашего кредита PPP теперь вы можете подать заявление на прощение кредита PPP по одному из следующих каналов:

• Для получения кредита менее 150 000 долларов США, пожалуйста, подайте заявку на www.directforgiveness.sba.gov.
• Для получения ссуды на сумму 150 000 долларов США или более, пожалуйста, свяжитесь с членом региональной группы PPP Forgiveness по электронной почте [email protected].

Узнайте больше о прощении PPP

Информация о следующем шаге

4 совета по выбору расчетного счета

4 фактора открытия расчетного счета для подростков

Легкое управление деньгами

Проверка альтернатив учетной записи

Просмотреть все следующие шаги

Справка и поддержка

Нужна помощь? Мы здесь, чтобы помочь вам найти то, что вам нужно.

Часто задаваемые вопросы

Как с нами связаться

Найти местоположение

Используйте наш поиск по местоположению, чтобы найти ближайший к вам филиал или банкомат, или выполните поиск региональных ипотечных кредиторов, финансовых консультантов и консультантов по вопросам благосостояния.

Найти место

Открыть банковский счет онлайн

Когда вы откроете банковский счет в Regions, вы обнаружите полный спектр счетов, продуктов и услуг, разработанных для удовлетворения ваших банковских потребностей.

Помогите мне решить

Найдите учетную запись, которая соответствует вашим потребностям

Проверка

Сбережения

Кредитные карты

Ссуды и кредитные линии

Ипотека

Открыть расчетный счет онлайн

самый популярный

Проверка LifeGreen®

Банковские операции на каждый день с привилегиями.

Варианты ежемесячной платы:

8 долларов США с онлайн-выписками

ИЛИ

11 долларов США с бумажными выписками

Как отказаться от ежемесячной платы0002 Открой сейчас Детали учетной записи

процентный

LifeGreen Preferred Checking®

Эксклюзивный счет, который приносит проценты и предоставляет предпочтительные услуги и преимущества.

$18 ежемесячная плата

Как отказаться от ежемесячной платы

Открой сейчас Детали учетной записи

без комиссии за овердрафт

Регионы сейчас проверяются®

Текущий счет с гарантиями, помогающими управлять деньгами, и без комиссий за овердрафт.

5  долл. США в месяц (нельзя отменить)

Открой сейчас Детали учетной записи

электронный расчетный счет

Учетная запись LifeGreen eAccess®

Вы осуществляете банковские операции в Интернете, расплачиваетесь в основном картой и можете выписать несколько чеков.

8 долларов США ежемесячная плата

Как отказаться от ежемесячной платы

Открой сейчас Детали учетной записи

Старший проверяет с льготами

62+ проверки LifeGreen®

Если вам 62 года или больше, вы получили дополнительные преимущества, такие как более простой способ отказаться от ежемесячной платы.

Варианты ежемесячной платы:

8 долларов США с онлайн-выписками

ИЛИ

11 долларов США с бумажными выписками

Как отказаться от ежемесячной платы

2 Открой сейчас Детали учетной записи

проверка студентов до 25 лет

Проверка LifeGreen® для учащихся

Аккаунт без абонентской платы, если вам 25 лет или меньше.

$0 ежемесячная плата

Открой сейчас Детали учетной записи

Сравните аккаунты

Потребительские кредиты

без залога, кредит с фиксированной процентной ставкой

Необеспеченный кредит

Обеспечение не требуется. Процентные ставки от 7,99% годовых. ¹

Максимальная сумма кредита для существующих клиентов составляет 50 000 долларов США и 35 000 долларов США для неклиентов.

Подать заявку онлайн Детали кредита

использовать баланс счета региона в качестве залога

Депозит под залог кредита

Обеспечьте себе средства по низкой фиксированной процентной ставке с помощью депозитного сертификата региона, сберегательного счета или счета денежного рынка.

Максимальная сумма кредита составляет до 100% доступного остатка на депозитном счете, обеспечивающем его.

Подать заявку онлайн Детали кредита

Используйте фургон, лодку или грузовой автомобиль в качестве залога

Кредит с рассрочкой платежа

Получите средства для покупки или рефинансирования автомобиля для отдыха по низкой фиксированной ставке.

Максимальный размер кредита для каждого типа транспортного средства составляет от 5 000 до 300 000 долларов США.

Записаться на прием Детали кредита

Сравните кредиты

Кредитные карты

Создайте положительный кредит

Ознакомьтесь с кредитной картой Visa®

Ответственное использование кредитной карты Explore Visa® может помочь вам создать положительную кредитную историю . ²

Применить сейчас Детали карты

Экономьте на процентах

Кредитная карта Life Visa®

Воспользуйтесь нашей самой длинной стандартной начальной процентной ставкой ³ — помогите вам управлять своими финансами с помощью кредитной карты Life Visa®.

Применить сейчас Детали карты

Неограниченные денежные вознаграждения

Денежные вознаграждения Кредитная карта Visa®

Получайте денежные вознаграждения в размере 1,5% ⁴ за покупки ⁵ без годовой платы ³ с кредитной картой Visa® Signature Cash Rewards.

Применить сейчас Детали карты

Расширенные преимущества

Премиальная кредитная карта Visa® Signature

Получите 1,5 вознаграждения за отношения ⁴ баллов за 1 доллар США при покупках ⁵ с кредитной картой Premium Visa® Signature.

Применить сейчас Детали карты

Больше баллов за повседневные покупки

Кредитная карта Prestige Visa® Signature

Получите до 3 вознаграждений за отношения ⁴ баллов за каждый доллар, потраченный на избранные покупки ⁵ с кредитной картой Prestige Visa® Signature.

Применить сейчас Детали карты

Сравните карты

Персональные кредитные линии

без залога с плавающей процентной ставкой

Предпочтительная кредитная линия

Возобновляемая кредитная линия, не требующая залога и имеющая переменную процентную ставку.

Максимальная сумма по линии составляет 50 тысяч долларов.

Подать заявку онлайн Детали кредитной линии

Использовать баланс счета региона в качестве залога

Сберегательная обеспеченная кредитная линия

Обеспечено сберегательным счетом или счетом денежного рынка регионов.