Специалисты ОД «Информация для всех» изучили практики российских государственных сайтов, чтобы понять, насколько владельцы ресурсов федеральных органов власти и регуляторов обеспечили защиту от XSS-уязвимостей и стороннего кода. Результаты, конечно, вряд ли смогут порадовать граждан, регулярно доверяющих свои данные таким госсайтам.
Это уже второе исследование подобного рода — в 2015 году эксперты представили отчёт «Индекса XSS-безопасности госсайтов». Тогда стало понятно, что большинство подобных ресурсов не отвечает элементарным нормам безопасности.
Прежде всего, исследователи отметили уязвимости межсайтового скриптинга (XSS), а также возможность утечки данных посетителей в руки третьих лиц.
Спустя пять лет специалисты решили повторить эксперимент и проанализировать (PDF) государственные веб-сайты повторно. За это время число госресурсов, не загружающих код со сторонних сайтов выросло с 7 до 8. Количество источников загрузки сторонних ресурсов при этом сократилось — с 55 до 52.
Другими словами, никаких серьёзных изменений в практиках администраторов государственных сайтов не произошло. Большая часть до сих пор может делиться данными посетителей с посторонними, а также безответственно относится к наличию чужого кода на своих страницах.
