Σοβαρές αδυναμίες ασφαλείας στην τεχνολογία που βρίσκεται πίσω από μεγάλο μέρος του διαδικτύου παρέμεναν αδιάγνωστες για περισσότερο από μία δεκαετία. Χρειάστηκε η παρέμβαση της τεχνητής νοημοσύνης (AI) για να εντοπιστούν, προκαλώντας παγκόσμιο συναγερμό στον τομέα της κυβερνοασφάλειας.
Οι ευπάθειες εντοπίζονται στην PHP, μια γλώσσα προγραμματισμού που χρησιμοποιείται διεθνώς από τη δεκαετία του 2000 για την κατασκευή και τη λειτουργία ιστοσελίδων. Κυβερνήσεις και υπηρεσίες κυβερνοασφάλειας σε όλο τον κόσμο κινητοποιήθηκαν μετά τη δημοσιοποίηση της ανακάλυψης την Τετάρτη, καλώντας τους διαχειριστές ιστοσελίδων να εγκαταστήσουν επειγόντως τις διαθέσιμες ενημερώσεις ασφαλείας ή, εφόσον δεν μπορούν να το κάνουν άμεσα, να εξετάσουν το ενδεχόμενο προσωρινής διακοπής λειτουργίας των πλατφορμών τους.
Η εταιρεία κυβερνοασφάλειας Wiz, μία από τις εταιρείες των οποίων οι ερευνητές εντόπισαν τις αδυναμίες, χαρακτήρισε τα κενά ασφαλείας ως τα «σοβαρότερα» που έχουν εντοπιστεί ποτέ με τη βοήθεια της τεχνητής νοημοσύνης. Από την πλευρά της, η OpenAI, η τεχνολογία της οποίας χρησιμοποιήθηκε στην έρευνα, περιέγραψε την ανακάλυψη ως ένα από τα σημαντικότερα ζητήματα κυβερνοασφάλειας των τελευταίων ετών.
Τι είναι η PHP και γιατί αφορά εκατομμύρια ιστοσελίδες
Η PHP, συντομογραφία του «PHP: Hypertext Preprocessor», είναι μια γλώσσα προγραμματισμού που χρησιμοποιείται ευρέως για τη λειτουργία ιστοσελίδων και διαδικτυακών υπηρεσιών. Αν και το όνομά της μπορεί να μην είναι γνωστό στους περισσότερους χρήστες, βρίσκεται πίσω από πλατφόρμες με τις οποίες εκατομμύρια άνθρωποι αλληλεπιδρούν καθημερινά.
Μεταξύ των υπηρεσιών που βασίζονται στην PHP περιλαμβάνονται ηλεκτρονικά καταστήματα, η Wikipedia και το WordPress, το σύστημα διαχείρισης περιεχομένου που χρησιμοποιείται από μεγάλο αριθμό ιστοσελίδων και ιστολογίων.
Όπως εξήγησε στο BBC ο Πολ Σπέιν, διευθύνων σύμβουλος της Gorilla Cyber Security, όταν ένας χρήστης επισκέπτεται μια ιστοσελίδα όπως η Wikipedia, η PHP συμβάλλει στη συλλογή και επεξεργασία των πληροφοριών που χρειάζεται, ώστε αυτές να εμφανίζονται με τρόπο κατανοητό στον browser.
Το πρόβλημα είναι ότι οι ευπάθειες που εντοπίστηκαν θα μπορούσαν να επιτρέψουν σε επιτιθέμενους να αποκτήσουν τον έλεγχο ευάλωτων διακομιστών χωρίς προηγούμενη πιστοποίηση ταυτότητας και να υποκλέψουν ευαίσθητα δεδομένα.
Με άλλα λόγια, η αδυναμία δεν αφορά απλώς μια μεμονωμένη ιστοσελίδα, αλλά μια τεχνολογία πάνω στην οποία βασίζεται μεγάλο μέρος του διαδικτύου. Ο Σπέιν εκτίμησε ότι θα μπορούσαν να επηρεαστούν «εκατομμύρια και εκατομμύρια» ιστοσελίδες, προειδοποιώντας παράλληλα ότι η τεχνητή νοημοσύνη μπορεί να κάνει τις επιθέσεις ευκολότερες και ταχύτερες.
Η ερευνήτρια κυβερνοασφάλειας Τζιλ Σλέι, από το Πανεπιστήμιο της Αδελαΐδας, προειδοποίησε ότι θα μπορούσαν να προκύψουν καταστροφικές συνέπειες εάν χάκερ ή κρατικοί παράγοντες αξιοποιούσαν τις ευπάθειες για να αποκτήσουν πρόσβαση σε ιδιωτικά δεδομένα.
Ποιες ιστοσελίδες κατέβηκαν προληπτικά
Η προειδοποίηση έχει ήδη προκαλέσει αναστάτωση σε διαδικτυακές υπηρεσίες σε όλο τον κόσμο, από πλατφόρμες παιχνιδιών έως κυβερνητικές πύλες και διαδικτυακά φόρουμ.
Μεταξύ των οργανισμών που έλαβαν προληπτικά μέτρα είναι η Wikimedia, ο φορέας πίσω από τη Wikipedia, η οποία έθεσε εκτός λειτουργίας ορισμένα από τα συστήματά της.
Ιστοσελίδες και διαδικτυακές υπηρεσίες κατέβασαν επίσης η φινλανδική κυβέρνηση, ο δήμος του Εδιμβούργου και το BBC. Παράλληλα, η αρμόδια υπηρεσία κυβερνοασφάλειας της Ολλανδίας απέσυρε προσωρινά τη δική της ιστοσελίδα.
Ανάλογες κινήσεις έγιναν και στην Ελβετία, όπου η ιστοσελίδα του Πανεπιστημίου της Γενεύης τέθηκε εκτός λειτουργίας μετά από σχετική προειδοποίηση της ευρωπαϊκής ομάδας αντιμετώπισης περιστατικών κυβερνοασφάλειας CERT-EU.
Στη Σκωτία, αρκετοί δημόσιοι οργανισμοί, μεταξύ των οποίων δήμοι και υγειονομικές υπηρεσίες, προχώρησαν επίσης σε προσωρινή διακοπή λειτουργίας των ιστοσελίδων τους.
Οι ειδικοί επισημαίνουν ότι μεγαλύτερο κίνδυνο ενδέχεται να αντιμετωπίζουν οι ιστοσελίδες που δεν συντηρούνται συστηματικά, ιδίως όσες ανήκουν σε μικρότερους οργανισμούς με περιορισμένους πόρους για την κυβερνοασφάλεια.
Ο Σαλίλ Κανχέρε, ερευνητής κυβερνοασφάλειας στο Πανεπιστήμιο της Νέας Νότιας Ουαλίας (UNSW) στο Σίδνεϊ, προειδοποίησε ότι τις επόμενες εβδομάδες ενδέχεται να αυξηθούν οι απόπειρες εκμετάλλευσης των ευπαθειών, καθώς οι τεχνικές λεπτομέρειες της ανακάλυψης γίνονται πλέον δημόσιες.
Άμεση κινητοποίηση και προειδοποιήσεις από κυβερνήσεις
Οι προγραμματιστές της PHP δημοσίευσαν την Τετάρτη διορθώσεις ασφαλείας για τις ευπάθειες που παρέμεναν στο λογισμικό επί χρόνια.
«Όλοι οι χρήστες της PHP καλούνται έντονα να ενημερώσουν αμέσως τα συστήματά τους», ανέφερε η ομάδα ανάπτυξης της πλατφόρμας.
Οι αρμόδιες αρχές σε πολλές χώρες επανέλαβαν την έκκληση προς τους διαχειριστές ιστοσελίδων να εγκαταστήσουν τις διορθώσεις χωρίς καθυστέρηση.
Η Εθνική Υπηρεσία Ασφαλείας των ΗΠΑ (NSA) κάλεσε όλους τους οργανισμούς που χρησιμοποιούν PHP να θέσουν τα συστήματά τους εκτός λειτουργίας, εάν δεν μπορούν να εγκαταστήσουν άμεσα τις ενημερώσεις. Όπως προειδοποίησε, η ευπάθεια θα μπορούσε να προσφέρει μια «άμεση διαδρομή» προς την εκμετάλλευση της βάσης δεδομένων ενός συστήματος.
«Οι κίνδυνοι είναι αρκετά σοβαροί ώστε να απαιτούν άμεση εγκατάσταση διορθώσεων σε όλα τα υπουργεία και τις υπηρεσίες της κυβέρνησης των Ηνωμένων Πολιτειών», ανέφερε η NSA.
Αντίστοιχες οδηγίες εξέδωσε το Εθνικό Κέντρο Κυβερνοασφάλειας του Ηνωμένου Βασιλείου, καλώντας παράλληλα τους οργανισμούς να ελέγξουν τα συστήματά τους για πιθανές «κερκόπορτες» που ενδέχεται να έχουν εγκαταστήσει επιτιθέμενοι.
Παρόμοιες προειδοποιήσεις εξέδωσαν οι αρμόδιες αρχές στην Ευρωπαϊκή Ένωση, τη Σιγκαπούρη και την Αυστραλία.
Στην Ιαπωνία, η πρωθυπουργός Σανάε Τακαΐτσι κάλεσε τους υπευθύνους δημόσια προσβάσιμων ιστοσελίδων να ελέγξουν εάν αυτές λειτουργούν με PHP.
«Έχουμε ένα επείγον αίτημα προς όλους να αναλάβουν δράση απόψε», έγραψε στην πλατφόρμα X. Πρόσθεσε ότι, εάν δεν είναι δυνατή η άμεση εγκατάσταση της διορθωτικής ενημέρωσης, η προσωρινή αναστολή λειτουργίας των ιστοσελίδων μπορεί να αποτελέσει αποτελεσματικό μέτρο περιορισμού του κινδύνου.
Στο στόχαστρο και μεγάλες τεχνολογικές εταιρείες
Η κινητοποίηση δεν περιορίζεται σε δημόσιους οργανισμούς. Μεγάλες τεχνολογικές εταιρείες προσπαθούν επίσης να διασφαλίσουν τα συστήματά τους.
Ο κολοσσός του ηλεκτρονικού εμπορίου Amazon ανακοίνωσε ότι έγινε στόχος πολλαπλών απόπειρων επίθεσης λίγες ημέρες πριν από τη δημόσια αποκάλυψη του προβλήματος στην PHP.
Δεν είναι γνωστό πώς οι πιθανοί επιτιθέμενοι είχαν πληροφορηθεί την ύπαρξη της ευπάθειας πριν αυτή γίνει ευρύτερα γνωστή.
Το περιστατικό ενισχύει τις ανησυχίες ότι η αξιοποίηση τέτοιων κενών ασφαλείας μπορεί να ξεκινήσει πριν προλάβουν οι οργανισμοί να εφαρμόσουν τις απαραίτητες διορθώσεις.
Πώς βοήθησε η τεχνητή νοημοσύνη στον εντοπισμό των ευπαθειών
Τα κενά ασφαλείας εντοπίστηκαν από ερευνητές των εταιρειών κυβερνοασφάλειας Calif και Wiz, οι οποίοι χρησιμοποίησαν προηγμένα εργαλεία τεχνητής νοημοσύνης για να αναλύσουν τον κώδικα και να εντοπίσουν προβληματικά σημεία.
Τα εργαλεία αυτά μπορούν να εξετάζουν μεγάλες ποσότητες κώδικα και να εντοπίζουν αδυναμίες πολύ ταχύτερα από τους ανθρώπους ή από παλαιότερα συστήματα ανάλυσης.
«Το σύγχρονο λογισμικό είναι εξαιρετικά σύνθετο και ορισμένες ευπάθειες μπορούν να παραμένουν αδιάγνωστες για χρόνια», ανέφερε ο Κανχέρε.
Όπως εξήγησε, τα σφάλματα στον κώδικα δεν ήταν καινούργια. Αυτό που άλλαξε ήταν η δυνατότητα των ερευνητών να τα εντοπίσουν.
Η διαρροή λεπτομερειών σχετικά με την ανακάλυψη στο διαδίκτυο μέσα στην εβδομάδα ανάγκασε τους υπευθύνους ανάπτυξης της PHP να επιταχύνουν την ανακοίνωση του προβλήματος και να ενημερώσουν για την έκτασή του.
Σε ανάρτησή της, η OpenAI επισήμανε ότι το περιστατικό αναδεικνύει τόσο τη δυνατότητα της τεχνητής νοημοσύνης να αποκαλύπτει αδυναμίες ασφαλείας όσο και τον κίνδυνο να βοηθήσει επιτιθέμενους να αναπτύξουν γρήγορα εργαλεία και τεχνικές εκμετάλλευσης.
Η εταιρεία που αναπτύσσει το ChatGPT ανακοίνωσε επίσης ότι κυκλοφόρησε πρόγραμμα για τον έλεγχο της ασφάλειας της PHP.
Ο Ράιαν Κο, από το Κέντρο Έρευνας Κυβερνοασφάλειας του Πανεπιστημίου του Κουίνσλαντ, σημείωσε ότι πολλές από αυτές τις αδυναμίες σχετίζονται με τον τρόπο με τον οποίο κατασκευαζόταν το λογισμικό στο παρελθόν, όταν η έμφαση δινόταν περισσότερο στη λειτουργικότητα και λιγότερο στην ασφάλεια.
Τι πρέπει να κάνουν οι διαχειριστές ιστοσελίδων και οι χρήστες
Οι ιδιοκτήτες και διαχειριστές ιστοσελίδων καλούνται να εγκαταστήσουν την πιο πρόσφατη έκδοση της PHP και τις διαθέσιμες διορθώσεις ασφαλείας.
Όπως ανέφερε ο Πολ Σπέιν, η εγκατάσταση της σχετικής ενημέρωσης αποτελεί συνήθως μια μικρή και συνηθισμένη διαδικασία για τις τεχνικές ομάδες. Ωστόσο, η καθυστέρηση στην εφαρμογή της μπορεί να αφήσει τα συστήματα εκτεθειμένα.
Η NSA συνέστησε αυξημένη επαγρύπνηση τις επόμενες εβδομάδες και στενή παρακολούθηση των ενημερώσεων που εκδίδουν οι προμηθευτές λογισμικού, υπογραμμίζοντας ότι η έγκαιρη εγκατάσταση των διορθώσεων είναι καθοριστικής σημασίας.
Η κύρια ευθύνη για την προστασία των ιστοσελίδων ανήκει στους διαχειριστές τους. Οι απλοί χρήστες, ωστόσο, θα πρέπει να παρακολουθούν τις επίσημες ανακοινώσεις των υπηρεσιών που χρησιμοποιούν, ιδίως εάν τους ζητηθεί να αλλάξουν κωδικούς πρόσβασης ή να λάβουν άλλα μέτρα προστασίας.
Παράλληλα, οι ειδικοί προειδοποιούν για πιθανή αύξηση των μηνυμάτων ηλεκτρονικού «ψαρέματος» (phishing) που θα επιχειρήσουν να εκμεταλλευτούν τη δημοσιότητα γύρω από το περιστατικό. Οι χρήστες καλούνται να είναι ιδιαίτερα προσεκτικοί με ύποπτους συνδέσμους και μηνύματα που ζητούν προσωπικά στοιχεία ή κωδικούς.
Η υπόθεση αναδεικνύει μια νέα πραγματικότητα για την κυβερνοασφάλεια: η τεχνητή νοημοσύνη μπορεί να βοηθήσει στον εντοπισμό αδυναμιών που παρέμεναν κρυφές για χρόνια, αλλά η ίδια δυνατότητα μπορεί να επιταχύνει και τις επιθέσεις. Το κρίσιμο στοιχείο πλέον είναι πόσο γρήγορα θα μπορέσουν οι οργανισμοί να προστατεύσουν τα συστήματά τους.
Πηγή: BBC
