Bezmyślna decyzja MSWiA zablokowała rządowe serwery i doprowadziła do paraliżu. Jak oni na to wpadli?
Wystarczyła jedna bezmyślna decyzja polityczna i jedno kliknięcie, by położyć kluczową infrastrukturę cyfrową państwa. Masowy Alert RCB, wysłany do milionów obywateli z bezpośrednim odnośnikiem do portalu rządowego, wywołał gigantyczny skok ruchu, z którym serwery nie miały szans wygrać. Rząd – w imieniu ministra Marcina Kierwińskiego – w praktyce przeprowadził sam na siebie niszczycielski, rozproszony atak odmowy usługi (DDoS).
Anatomia paraliżu: Kilkadziesiąt milionów wywołań w kilka minut
System Alert RCB został stworzony z myślą o informowaniu obywateli o bezpośrednich zagrożeniach dla życia i zdrowia – klęskach żywiołowych, ekstremalnych warunkach pogodowych czy wypadkach masowych. Tym razem jednak został użyty jako narzędzie masowego powiadamiania z bezpośrednim linkiem przekierowującym na strony rządowe.
Każdy specjalista z zakresu inżynierii sieciowej i utrzymania infrastruktury wie, że wysłanie wiadomości SMS do kilkunastu milionów odbiorców jednocześnie generuje tzw. pico-burst – natychmiastową, niemal równoczesną falę wywołań. Gdy chociażby 2–5% odbiorców kliknie w otrzymany odnośnik w tym samym momencie, na serwery spływa kilkaset tysięcy żądań na sekundę. Efekt? Całkowity paraliż.
Sytuację dosadnie podsumował poseł i były minister cyfryzacji Janusz Cieszyński we wpisie na platformie X (dawniej Twitter):
@jciesz:
„Minister @MKierwinski swoją bezmyślną decyzją o rozesłaniu milionów linków Alertem RCB zablokował dostęp do wszystkich stron rządowych. Wyjątkowa amatorka.”
Strona raz działa, raz nie. Amatorszczyzna w czystej postaci
Skutki decyzji szefa MSWiA Marcina Kierwińskiego odczuli natychmiast obywatele w całym kraju. Portal gov.pl oraz powiązane z nim serwisy poszczególnych ministerstw i urzędów przestały reagować. Reakcja infrastruktury była podręcznikowym objawem przeciążenia:
-
Błędy połączenia: Strony ładowały się w nieskończoność lub zgłaszały błędy limitu czasu odpowiedzi (
HTTP 504 Gateway Timeout/502 Bad Gateway). -
Losowy dostęp: Portal „raz działał, raz nie”, w zależności od tego, czy zapytanie użytkownika trafiło w krótkie okienko chwilowego zwolnienia zasobów procesora i pamięci RAM serwerów.
-
Blokada e-administracji: Kluczowe usługi cyfrowe oraz formularze państwowe stały się całkowicie niedostępne dla osób, które w tym czasie próbują załatwić pilne sprawy urzędowe.
Oficjalna wersja: „Trwają prace serwisowe”
Zamiast otwartego przyznania się do popełnionego błędu i braku wyobraźni technicznej, w komunikacji rządowej zastosowano klasyczny unik. Na niedostępnych portalach oraz w odpowiedziach służb prasowych zaczęły pojawiać się komunikaty informujące o rzekomych „planowanych pracach serwisowych” i „przeglądzie technicznym serwerów”.
Tłumaczenie to wywołało falę oburzenia i kpin zarówno ze strony ekspertów z branży IT, jak i zwykłych użytkowników serwisu X. Nikt nie miał wątpliwości, że awaria była bezpośrednią konsekwencją rozesłanego chwilę wcześniej Alertu RCB.
Komentarze internautów nie pozostawiają złudzeń
„Kto bogatemu zabroni przeprowadzić atak DDoS na własną infrastrukturę? Wystarczyło wysłać SMS-a bez linku albo zastosować buforowanie na Cloudflare/Akamai. To są podstawy administracji sieciami!”
„Chciałem złożyć wniosek w urzędzie przez ePUAP, ale pan minister postanowił przetestować wytrzymałość serwerów. Test oblany na całej linii, strona wisi od godziny.”
„Najlepsze są te 'prace serwisowe'. Prace serwisowe idealnie po pięciu minutach od rozesłania 20 mln SMS-ów? Czy oni naprawdę myślą, że ludzie w branży są ślepi?” - to tylko niektóre z opinii.
Podsumowanie: Lekcja bezmyślności w zarządzaniu IT
Wydarzenie to obnażyło całkowity brak koordynacji pomiędzy pionem polityczno-decyzyjnym a zespołami odpowiedzialnymi za bezpieczeństwo i utrzymanie infrastruktury teleinformatycznej państwa. Zastosowanie Alertu RCB jako platformy dystrybucji masowych linków bez wcześniejszego przygotowania warstwy skrajnej (edge caching), kolejkowania ruchu czy stopniowej wysyłki powiadomień (rate limiting) to podręcznikowy przykład braku kompetencji.
Obywatele mają prawo oczekiwać, że krytyczne systemy państwowe będą zarządzane w sposób profesjonalny, a sytuacje kryzysowe nie będą prowokowane przez same władze.
źr. wPolsce24
Czytaj także
