AI-ն բացահայտել է համացանցի անվտանգության լուրջ սպառնալիք. հազարավոր կայքեր անջատվել են

AI մոդելները PHP-ում հայտնաբերել են կրիտիկական խոցելիություններ, որոնք ստիպել են անջատել հազարավոր կայքեր։

PHP լեզվի մշակողների թիմը թողարկել է թարմացումներ կրիտիկական խոցելիությունները փակելու նպատակով, որոնց պատճառով ամբողջ աշխարհում կանխարգելիչ կարգով անջատվել են հազարավոր կայքեր, այդ թվում՝ պետական հաստատությունների, ինչպիսիք են Փարիզի ոստիկանության, Նիդերլանդների պառլամենտի, բրիտանական BCC հեռարձակողի էջերը և շատ ուրիշներ։

Այժմ ազգային կառավարությունների և միջպետական անվտանգության ծառայությունների, օրինակ՝ «Ինտերպոլի» ներկայացուցիչները պաշտոնապես հանդես են գալիս փաչեր տեղադրելու կոչով։

PHP ծրագրավորման լեզուն ի հայտ է եկել 1990-ականների սկզբին անձնական էջեր պատրաստելու համար. ի սկզբանե այդ հապավումը բացվում էր որպես Personal Home Page, այսինքն՝ «անձնական տնային էջ»։

Այնուամենայնիվ, ժամանակի ընթացքում սկրիպտային լեզուն դարձավ ժամանակակից ինտերնետի հիմքերից մեկը՝ վեբ-հավելվածների մշակման համար իր մեծ հարմարավետության շնորհիվ։

Առկա տվյալներով՝ այսօր կայքերի մոտ 70%-ն օգտագործում է PHP։

Այս լեզվով գրված են հիմնականում այցելուի համար աննկատ, բայց կրիտիկական նշանակություն ունեցող կառուցվածքներ, որոնք պատասխանատու են դինամիկ սցենարների, տվյալների կառավարման, սխալների մշակման և վճարումների իրականացման համար։

Հենց այդ պատճառով կոդում միանգամից երկու կրիտիկական խոցելիությունների մասին նորությունը ստիպեց խոշոր ընկերություններին և կառավարական կառույցներին ժամանակավորապես անջատել իրենց կայքերը՝ մինչև փաչերի թողարկումը հաքերներից առաջ անցնելու համար։

Պաշտպանված են համարվում 8.5.12, 8.4.27, 8.3.36 և 8.2.35 տարբերակները։ Բոլոր ավելի հին խմբագրությունները պաշտոնապես չեն աջակցվում և պետք է դիտարկվեն որպես խոցելի։

Ինչպես ԱԻ-ն հայտնաբերեց խոցելիությունները

Երկու խնդիրներն էլ ստացել են 9,2 գնահատականը 10-ից՝ լրջության սանդղակով. դրանք գտնվում են PHP-ի այն հատվածներում, որոնց դիմում է գրեթե յուրաքանչյուր հարցում, այսինքն՝ հիշողության կառավարման և սխալների մշակման մեխանիզմներում։

Եթե վեբ-հարցումը հասնում է PHP-ի հիշողության սահմանափակմանը ոչ հարմար պահի, ծրագրային ապահովմանը կարելի է խաբել և ստիպել կատարել չարագործի կոդը՝ առանց որևէ հեղինակազորման։

PHP հիմնադրամը ընդունել է, որ խնդրի առաջին նշանները մշակողները նկատել էին դեռևս 2024 թվականին՝ արտաքին աուդիտի ժամանակ։

Այն ժամանակ նկարագրվել էր էքսպլոյտի միայն տեսական տարբերակը՝ առանց հարձակման հստակ սցենարի։ Ուղղման վրա աշխատանքը մեկ կանգ էր առնում, մեկ վերսկսվում մի քանի ամսվա ընթացքում։ Այսօր հիմնադրամում այդ հապաղումն անվանում են «կառուցվածքային ձախողում»։

Հետո միացավ ԱԻ-ն։ Օգոստոսին Calif ընկերությունը, որն անցկացնում էր OpenAI-ի կողմից ֆինանսավորվող PHP-ի ելակետային կոդի աուդիտը, հայտնեց հեռահար հարձակման լիովին աշխատող սցենարի մասին։ Երկու շաբաթ անց Wiz-ը ներկայացրեց հարձակումների սեփական տարբերակները։

«AI առաջատար մոդելներով և համապատասխան գործիքներով մեկ հետազոտողը մեկ շաբաթում արեց այն, ինչի վրա նախկինում համաշխարհային մակարդակի թիմից ամիսների աշխատանք կպահանջվեր», — գրել են Wiz-ի մասնագետները։

OpenAI-ում այս հայտնագործությունն անվանել են «վերջին տարիների ամենանշանակալի խոցելիություններից մեկը» և ավելացրել, որ այն «նշանավորում է նոր փուլ, երբ ԱԻ-ն ունակ է գտնել անվտանգության սխալներ՝ ամբողջ ինտերնետի մասշտաբով հետևանքներով»։

Հետազոտության արդյունքները մինչև ուղղումների թողարկումը պահվում էին գաղտնի։

PHP-ի թիմը թողարկեց թարմացումը նախատեսվածից մեկ օր շուտ, Calif-ը սխալմամբ հրապարակեց, ապա հեռացրեց տեսանյութ՝ մի քանի թիրախների դեմ հարձակման ցուցադրությամբ։ Հոլովակի պատճենները արագ տարածվեցին։

Հասցրե՞լ են հաքերներն օգտվել խոցելիությունից

PHP հիմնադրամի տվյալներով՝ փաչերի թողարկման պահին չեն հասցրել։ Բայց իրավիճակը փոխվում է։

Cloudflare ընկերությունը չորեքշաբթի հայտարարեց, որ ֆիքսել է իր հաճախորդների վրա հարձակման փորձեր։ Կոմպյուտերային անվտանգության Եվրոպական կենտրոնում (CERT-EU) նախազգուշացրել են, որ տեխնիկական մանրամասների հրապարակումը նշանակալիորեն բարձրացնում է հավանականությունը, որ չարագործներն արդեն ուսումնասիրում են խոցելիությունները։

Այժմ ամեն ինչ կախված է նրանից, թե որքան արագ ընկերությունները կկարողանան թարմացնել PHP-ի իրենց տարբերակները։ Օնլայն-ծառայությունների փոխկապակցված կառուցվածքը նշանակում է, որ ռիսկը կանհետանա միայն այն բանից հետո, երբ կապված խմբի բացարձակապես բոլոր մասնակիցները կտեղադրեն փաչերը։