Kasdienės klaidos, kurių galima buvo išvengti

Lietuvoje turto varžytynės ir valstybės turto aukcionai vyksta tik elektroniniu būdu. Vienoje sistemoje. Vienu adresu. Ir ta sistema šiandien laikosi ant dviejų TLS sertifikatų, kurių nė vienas neturi atsarginio varianto — o vienas iš trijų sistemos domenų jau dabar neveikia per HTTPS. Ne dėl atakos. Dėl to, kad kažkas prasileido.

Patikrinta 2026 m. rugpjūčio 28 d. Visi žemiau pateikti duomenys gauti viešais, neinvaziniais metodais — DNS užklausomis, TLS rankos paspaudimu, viešais sertifikatų skaidrumo (Certificate Transparency) žurnalais ir paties portalo viešu sąrašu.

Kas tai per sistema

Elektroninių varžytynių ir aukcionų portalas veikia adresais evarzytynes.lt ir eaukcionai.lt. Jame skelbiamos antstolių varžytynės, nemokumo administratorių varžytynės, Turto banko aukcionai, savivaldybių aukcionai, valstybės ir savivaldybių turto nuomos konkursai.

Portalo apačioje išvardyti projekto dalyviai: Lietuvos Respublikos teisingumo ministerija, Registrų centras, Lietuvos antstolių rūmai, Turto bankas ir AVNIS. Autorinės teisės — „© Valstybės įmonė Registrų centras“. Portalo pranešimuose kalbama apie „Antstolių informacinės sistemos planinius priežiūros darbus“. Vadinasi, sistemos operatorius yra Registrų centras, o politinė atsakomybė — Teisingumo ministerijos.

Domenus evarzytynes.lt, evarzytines.lt ir eaukcionai.lt registruotas per Kauno technologijos universiteto registrą (domains.lt). Visi trys rodo į tą patį serverį — 91.199.55.196.

Skylė pirma: vienas iš domenų per HTTPS neveikia jau dabar

Valstybė 2012 m. lapkričio 20 d. protingai užregistravo abi lietuviškas rašybos versijas — ir evarzytynes.lt, ir evarzytines.lt. Abu domenai gyvi, abu turi DNS įrašus, abu rodo į tą patį serverį.

Tik vienas iš jų turi sertifikatą.

Serveris į evarzytines.lt užklausą atsako sertifikatu, kuriame išvardyti tik du vardai: www.evarzytynes.lt ir evarzytynes.lt. Rašybos versijos su „i“ ten paprasčiausiai nėra. Rezultatas — bandant atidaryti https://evarzytines.lt naršyklė rodo raudoną įspėjimą apie nesaugų ryšį:

SSL: no alternative certificate subject name matches target host name 'evarzytines.lt'

Viešuose sertifikatų skaidrumo žurnaluose domenui evarzytines.lt nerasta nė vieno kada nors išduoto sertifikato. Per keturiolika metų. Domenas išlaikytas, mokestis mokėtas, DNS sutvarkytas — o sertifikatas neišduotas nė karto.

Kodėl tai svarbu būtent dabar: visos šiuolaikinės naršyklės (Chrome, Safari, Firefox, Edge) į adreso juostą įvestą domeną pirmiausia bando atidaryti per HTTPS. Žmogus, kuris varžytynių adresą užsirašė ant lapelio arba prisimena iš klausos, į HTTPS klaidos langą atsimuš dažniau, nei pataikys į veikiančią versiją.

Skylė antra: HSTS reiškia, kad klaidos nebus galima apeiti

Veikiantis portalas atiduoda tokią antraštę:

Strict-Transport-Security: max-age=63072000; includeSubDomains

Tai yra teisingas sprendimas saugumo prasme — dveji metai priverstinio HTTPS. Bet jis turi kainą, apie kurią retai kalbama.

HSTS panaikina mygtuką „Vis tiek tęsti“. Kai galioja HSTS, naršyklė nerodo įprasto „supratau riziką, eiti toliau“ pasirinkimo — sertifikato klaida tampa neapeinama. Ne įspėjimas, o siena.

Vadinasi, jei portalo sertifikatas kada nors nespės būti atnaujintas, nutiks ne „dalis vartotojų pamatys įspėjimą“. Nutiks tai, kad visi vartotojai, kurie portale jau kada nors lankėsi, prarask prieigą visiškai. Registracija į varžytynes, dalyvio mokesčio mokėjimas, kainos siūlymas realiu laiku — viskas. Ir tai galios dvejus metus po paskutinio apsilankymo, nes tiek nustatytas max-age.

Vienas praleistas atnaujinimas — visiškas sistemos nepasiekiamumas be jokio apėjimo kelio vartotojui.

Skylė trečia: trys domenai, du sertifikatai, nulis atsarginių variantų

Sistemos įėjimas yra ne vienas adresas, o grandinė:

• evarzytines.lt — sertifikato nėra (HTTPS neveikia jau dabar)
• evarzytynes.lt → peradresuoja į www.eaukcionai.lt/evs/ — sertifikatas galioja iki 2026-10-31
• eaukcionai.lt — sertifikatas galioja iki 2026-12-22

Grandinė tokia stipri, kokia stipri silpniausia grandis. Peradresavimas nuo evarzytynes.lt į eaukcionai.lt reiškia, kad užtenka nustoti galioti bet kuriam iš dviejų sertifikatų — ir žmogus, atėjęs įprastu adresu, iki turinio nenueina. Nesvarbu, kad antrasis sertifikatas dar geras: kelias eina per pirmąjį.

Abu sertifikatai yra DV tipo (Domain Validation) — pigiausio lygio, patvirtinantys tik tai, kad kažkas valdo domeną. Valstybinei sistemai, per kurią pardavinėjamas žmonių būstas ir valstybės turtas, tai yra minimumas, o ne standartas.

Laikrodis jau tiksi

Artimiausios datos, kurias verta pasižymėti kalendoriuje:

• 2026-10-20 — baigiasi eaukcionai.lt domeno registracija
• 2026-10-31 — baigiasi evarzytynes.lt sertifikato galiojimas
• 2026-11-21 — baigiasi evarzytynes.lt ir evarzytines.lt domenų registracija
• 2026-12-22 — baigiasi eaukcionai.lt sertifikato galiojimas

Keturios kritinės datos per du mėnesius. Kiekviena iš jų — atskiras rankinis veiksmas, kurį turi kažkas atlikti laiku.

Kiek tai kainuoja: skaičiai iš paties portalo

Portalo viešame sąraše 2026 m. rugpjūčio 28 d. buvo:

• 871 paskelbtos ir vykstančios varžytynės bei aukcionai
• 579 įvykusios (sąraše nuo 2025 m. liepos iki 2026 m. rugpjūčio)
• 1 438 neįvykusios — tuo pačiu laikotarpiu

Tai reiškia, kad iš pasibaigusių varžytynių ir aukcionų maždaug 71 procentas neįvyko. Neįvykusios pasiskirsto taip:

• antstolių varžytynės — 498
• nemokumo administratorių varžytynės — 254
• savivaldybių aukcionai — 127
• Turto banko aukcionai — 73
• nuomos konkursai — 42
• likusios — kitų institucijų turto aukcionai

Svarbu pasakyti sąžiningai: dauguma šių varžytynių neįvyko dėl įprastų priežasčių — neatsirado pirkėjo, per aukšta pradinė kaina, nepatrauklus turtas. Tai nėra sertifikato kaltė. Bet šie skaičiai parodo, kokio dydžio srautą aptarnauja viena sistema, kuri laikosi ant dviejų rankiniu būdu atnaujinamų sertifikatų.

Ir čia įsijungia aritmetika, kuri paaiškina, kodėl kiekvienos neįvykusios varžytynės kaina yra tikra. Pagal Civilinio proceso kodekso 718 straipsnį pirmosiose varžytynėse pradinė turto kaina sudaro 80 procentų nustatytos turto vertės. Neįvykus pirmosioms, pagal 722 straipsnio 1 dalį antrosiose varžytynėse pradinė kaina jau tik 60 procentų.

Vienas neįvykęs raundas nubraukia ketvirtadalį pradinės kainos. Buto atveju, kurio vertė 100 000 eurų, pirmosios varžytynės startuoja nuo 80 000 eurų, antrosios — nuo 60 000. Dvidešimt tūkstančių eurų skirtumo, kuris niekur nedingsta: jo netenka kreditorius. O kai kreditorius yra VMI, „Sodra“ arba pati valstybė kaip turto savininkė — jo netenka valstybės biudžetas.

Turto banko ir savivaldybių aukcionai yra dar tiesesnis atvejis: ten parduodamas valstybės ir savivaldybių turtas, o pajamos eina tiesiai į biudžetą. Nuomos konkursai — tas pats: neįvykęs konkursas reiškia, kad patalpos toliau stovi tuščios ir negeneruoja nuomos pajamų.

Dabar įsivaizduokite, kad portalas neprieinamas parą. Ne dėl kibernetinės atakos, o dėl to, kad kažkas neatnaujino sertifikato. Varžytynės, kurių pabaiga patenka į tą langą, neįvyksta ne dėl to, kad neatsirado pirkėjas, o dėl to, kad pirkėjas negalėjo prisijungti. Kiekvienos tokios varžytynės kaina — tie patys 20 procentinių punktų pradinės kainos kitame raunde, plius keli mėnesiai vilkinimo, plius pakartotinio skelbimo administracinės sąnaudos.

Kas atsakingas

Atsakomybė yra išskaidyta, ir būtent išskaidymas yra problemos šaknis.

Registrų centras yra sistemos operatorius — jam priklauso autorinės teisės, jis skelbia priežiūros darbų grafiką, jis techniškai valdo Antstolių informacinę sistemą. Sertifikatų ir domenų atnaujinimas yra operatoriaus darbas.

Teisingumo ministerija yra projekto dalyvė ir sektoriaus politikos formuotoja. Reikalavimai sistemos prieinamumui, priežiūros standartai ir atsakomybė už tai, kad valstybinė turto realizavimo infrastruktūra veiktų, yra jos lygmens klausimas.

Lietuvos antstolių rūmai, Turto bankas, AVNIS yra sistemos naudotojai ir duomenų teikėjai — jie nukenčia, bet infrastruktūros nevaldo.

Praktikoje tai reiškia, kad sertifikato atnaujinimas priklauso nuo to, ar konkretus žmogus konkrečioje organizacijoje turi kalendoriuje priminimą. Domenas evarzytines.lt be sertifikato keturiolika metų yra tiesioginis įrodymas, kad tokio priminimo nėra — arba jis nepadengia visų vardų.

Ir tai nėra teorinis pavojus. Valstybinių bei privačių svetainių, kurios „nukrito“ vien dėl praleisto sertifikato atnaujinimo, sąrašas ilgas. Skirtumas tik tas, kad dauguma jų nepardavinėja žmonių būsto.

Ką dar rodo patikra

Sertifikatai — pagrindinė, bet ne vienintelė problema. Ta pati neinvazinė patikra parodė:

• DNSSEC neįjungtas — zonai nėra DS įrašo. Vardų sistema neapsaugota nuo klastojimo. Valstybinei sistemai su finansiniais sandoriais tai yra spraga.
• Trūksta pagrindinių saugumo antraščių — nėra nei Content-Security-Policy, nei Referrer-Policy, nei Permissions-Policy. Naudojama pasenusi, jau nebeveikianti X-XSS-Protection.
• Slapukas be apsaugos vėliavėlių — sesijos slapukas JSESSIONID tvarkingai pažymėtas Secure ir HttpOnly, bet greta jo statomas apsaugos sistemos slapukas TS… neturi nė vienos iš šių vėliavėlių.
• Nuorodos į partnerius — grynu HTTP. Portalo poraštėje nuorodos į Registrų centrą, Teisingumo ministeriją, Antstolių rūmus ir Turto banką pateiktos kaip http://, ne https://.
• Pasenęs technologinis pagrindas — portalas iki šiol rodo pranešimą, siūlantį įsidiegti „Internet Explorer 11“, o priekinė dalis remiasi bibliotekomis, kurių palaikymas seniai baigėsi.

Gerąja puse: TLS 1.0 ir 1.1 išjungti, palaikomi tik TLS 1.2 ir 1.3. Tai padaryta teisingai.

Ką reikia padaryti

Nė vienas iš šių taisymų nėra brangus ar sudėtingas. Visi jie yra elementari higiena.

1. Įtraukti evarzytines.lt ir www.evarzytines.lt į sertifikatą. Vienas SAN įrašas. Sutvarkoma per valandą, o pašalina klaidą, kuri gyvuoja nuo 2012-ųjų.
2. Automatizuoti sertifikatų atnaujinimą. ACME protokolas, atnaujinimas kas 60 dienų be žmogaus. Rankinis metinis atnaujinimas valstybinėje sistemoje yra rizika, kurios nebūtina prisiimti.
3. Įjungti stebėseną. Įspėjimas likus 30, 14 ir 7 dienoms iki galiojimo pabaigos — ir sertifikatų, ir domenų registracijos. Įspėjimas turi keliauti komandai, ne vienam žmogui.
4. Automatizuoti domenų registracijos pratęsimą. Trys domenai, trys atskiros datos — visos per artimiausius tris mėnesius.
5. Įjungti DNSSEC.
6. Pridėti trūkstamas saugumo antraštes ir pažymėti visus slapukus Secure bei HttpOnly.
7. Pereiti prie OV lygio sertifikato. Sistemai, kurioje vyksta finansiniai sandoriai su valstybės turtu, pigiausio DV lygio nepakanka.

Esmė

Valstybė sukūrė sistemą, per kurią teisėtai parduodamas žmonių ir valstybės turtas, ir padarė ją vieninteliu galimu kanalu. Bet paliko ją laikytis ant kelių rankiniu būdu atnaujinamų sertifikatų, be automatikos, be DNSSEC ir su viena rašybos versija, kuri per keturiolika metų taip ir negavo sertifikato.

Vienas praleistas atnaujinimas — ir dėl HSTS vartotojas net negalės paspausti „tęsti“. Neįvyks varžytynės. Kitame raunde turtas startuos nuo 60, o ne nuo 80 procentų vertės. Skirtumo neteks kreditoriai, o dažnu atveju — valstybės biudžetas.

Klausimas ne „ar sistema saugi nuo įsilaužimo“. Klausimas paprastesnis ir nemaloniai buitiškas: ar kažkieno kalendoriuje yra priminimas. Šiandien matomi duomenys leidžia manyti, kad ne visai.

---

Šiame straipsnyje aprašyti radiniai gauti tik viešais, neinvaziniais metodais — jokių sistemos pažeidžiamumų nebuvo bandoma išnaudoti. Jei jūsų organizacijoje sertifikatų ir domenų galiojimas vis dar prižiūrimas rankiniu būdu, tai yra ta pati rizika, tik mažesniu mastu. Konsultuoju įmones ir įstaigas dėl NIS2 bei BDAR reikalavimų, saugumo higienos audito ir incidentų tyrimo — nuo infrastruktūros patikros iki atsakomybės pasidalijimo tarp operatoriaus ir užsakovo. Susisiekite: parescius.lt/konsultacijos.