欧洲密码管理公司因与俄罗斯关系面临审查
欧洲政府机构使用的西班牙密码管理器分享深厚的技术联系与一家俄罗斯公司。这种安排引起了专家们严重的安全担忧。
Passwork Europe S.L. 公司将自己定位为一家完全欧洲公司。然而，一项调查发现了与俄罗斯同行的重大联系。
Passwork 销售帮助组织存储和管理密码的软件。其客户包括爱尔兰政府机构和德累斯顿工业大学。该公司强烈强调其欧洲身份。
其网站上展示的徽章反映了其在欧洲的创建，该公司还发布了指导方针，声明其与俄罗斯或美国实体没有任何关系。但调查发现这一公众形象与现实不符。
两位俄罗斯联合创始人 Andrey Pyankov 和 Ilya Garakh 最初开发了密码管理器。他们仍然通过一家位于阿拉伯联合酋长国的不透明公司参与其中。
这家阿联酋公司为西班牙公司提供软件更新。然而，阿联酋公司的所有者没有收到公开披露的信息。因此，尚不清楚谁控制着更新管道。
此外，俄罗斯联合创始人还在俄罗斯拥有一家名为 Passwork LLC 的独立公司。这家俄罗斯公司使用与西班牙版本相同的标志。它的广告客户包括受制裁的俄罗斯导弹制造商。
这家俄罗斯公司拥有国家机构的认证。其中包括联邦技术和出口管制局（FSTEC），该机构隶属于俄罗斯国防部。该公司还获得了俄罗斯主要反情报机构 FSB 的认证。
获得这些认证需要对源代码进行深入审查。目标是搜索漏洞或未声明的功能；简而言之，他们寻找弱点或隐藏的后门。专家警告说，这一过程可能会给莫斯科带来宝贵的见解。如果俄罗斯和欧洲的软件共享相同的代码，那么风险就很明显。
Bart van den Berg 是 Clingendael Institute 的安全专家。他将这些情况描述为“严重风险”。他表示，获取源代码可以让俄罗斯政府深入了解漏洞。甚至可以让他们故意添加有害元素。虽然记者没有发现恶意代码的证据，但情况仍然令人担忧。
专家的担忧和透明度问题
网络安全专家表示，透明度在这一领域至关重要。密码管理员掌握着组织数字系统的密钥。因此，信任不仅仅是一种营销主张。
Alessandra Chirico 是欧盟监管和网络安全政策方面的专家。她说，信任叙述越有力，透明度的义务就越大；此外，该公司缺乏开放性也引发了危险信号。
记者联系的欧洲客户均不知道与俄罗斯的联系。只有一位客户知道该产品的前俄罗斯所有者。这表明沟通上存在明显的差距。
与此同时，该公司首席执行官亚历山大·蒙蒂安否认与这家俄罗斯公司有任何关系。他说他们不共享客户端、服务器或支持系统。他还表示，客户数据安全地保存在私人服务器上。
调查发现这两种产品之间存在相似之处。它指出，这两种产品都源自相同的核心代码库。这些产品还以类似的时间间隔通过软件接收更新。
这种相似性表明这些产品可能彼此存在联系。范登伯格表示，如果两种产品具有相同的代码，其中一种产品不存在缺陷并不能保证另一种产品不存在缺陷。这意味着它们可能会带来一些对欧洲用户来说可能更危险的问题。
记者联系 Muntyan 后不久，该公司就撤回了人工智能指南。该指南曾提到与俄罗斯没有任何关系，但删除该公司使公司的透明度受到质疑。
Muntyan还表示，他两年前从阿联酋公司获得了软件版权。不过，他无法就该公司的所有权发表评论。他表示，今年8月后他将完全获得该商标。
起源和向欧洲的转变
Passwork 最初是一家位于靠近北极的俄罗斯港口城市阿尔汉格尔斯克的初创公司。联合创始人 Pyankov 于 2014 年 6 月注册了俄罗斯网站。第二天，他又在同一地址注册了欧洲域名。这表明欧洲业务直接源自俄罗斯。
该公司最初在俄罗斯遭到质疑。有人质疑它是否独立。在一篇博客文章中，管理员开玩笑称其通俗名称为“普京的密码窃取项目”。许多人还称其为“自由职业安全局部门”。这表明他们在俄罗斯本身面临的信任问题。
该公司的命运在 2017 年发生了变化，当时它赢得了由俄罗斯国家组织斯科尔科沃基金会 (Skolkovo Foundation) 举办的创业竞赛。
然而，这个基金会后来遭到了美国的制裁。通过这次比赛，联合创始人认识了一位名叫Pekka Viljakainen的芬兰企业家，他帮助他们成立了一家欧洲公司。
此举的原因很实际。俄罗斯法规不允许同时处理俄罗斯和欧洲客户数据。因此，运营商必须将西方客户迁出俄罗斯。
该公司的管理员在一篇博客文章中承认了这一点。他说人们并不真正信任俄罗斯产品。因此，他们需要在“正常”国家设立一家官方公司。
实现真正的欧洲数字主权的挑战也显而易见欧盟数字身份钱包对苹果和谷歌的依赖.
2017年5月，Passwork Oy在芬兰完成注册。联合创始人各持有 35% 的股份，Viljakainen 的公司持有剩余的 30%。维尔贾凯宁表示，他没有参与行动。
两年前这家芬兰公司倒闭后，他也不了解该产品。然而，他形容创始人提供了高质量的服务。
