Անվտանգության հետազոտողները արհեստական բանականության օգնությամբ բացահայտել են PHP-ում երկու կրիտիկական խոցելիություն՝ ծրագրավորման այն լեզվում, որով աշխատում է ինտերնետում գործող կայքերի գրեթե 70%-ը։ Սխալները գոյություն ունեին տասնամյակներ շարունակ և հաջող շահագործման դեպքում կարող էին թույլ տալ չարագործներին առանց գաղտնաբառերի և այլ հավատարմագրերի վերահսկողություն ձեռք բերել վեբ-սերվերների նկատմամբ, հայտնում է Axios-ը։

Հազարավոր հարձակման փորձերից՝ միլիոնների

Սպառնալիքի մասշտաբների մասին հայտնել է Cloudflare-ի գլխավոր տնօրեն Մեթյու Փրինսը՝ ընկերության, որը տրամադրում է ինտերնետային ենթակառուցվածքի և կիբեռանվտանգության ծառայություններ։ Նրա խոսքով՝ խոցելիությունների մասին հրապարակային հայտարարությունից տասը ժամ առաջ ընկերությունը գրանցել էր դրանց շահագործման հազարավոր փորձեր։

Տեղեկության հրապարակումից հետո իրավիճակը արագ փոխվեց. փորձերի թիվը 45 րոպեում հասավ տասնյակ հազարների, երկու ժամում՝ հարյուր հազարների, իսկ հետո՝ միլիոնների։

Այս դինամիկան ցույց է տալիս, թե որքան արագ կարող են կրիտիկական խոցելիությունների մասին տվյալները վերածվել հարձակումների գործիքի։ Հենց որ տեղեկատվությունը դառնում է հանրամատչելի, չարագործները սկսում են որոնել խոցելի համակարգեր և ավտոմատացնել ներթափանցման փորձերը։

ԱՄՆ-ի, Ճապոնիայի և այլ երկրների իշխանությունները կազմակերպություններին զգուշացրել են շտկումները տեղադրելու անհրաժեշտության մասին։ Եթե համակարգերը օպերատիվ թարմացնել հնարավոր չէ, առանձին դեպքերում խորհուրդ է տրվում ժամանակավորապես անջատել կայքերը՝ փոխզիջման վտանգը նվազեցնելու համար։

Ինչով են վտանգավոր PHP-ի խոցելիությունները

PHP-ն բաց կոդով ծրագրավորման լեզու է, որը լայնորեն օգտագործվում է կայքերի և հավելվածների ստեղծման ու աշխատանքի համար։ W3Techs-ի տվյալներով՝ այն կիրառվում է գրեթե 70% կայքերում, որոնց համար հայտնի է օգտագործվող սերվերային ծրագրավորման լեզուն։

Բացահայտված սխալները հաջող հարձակման դեպքում թույլ են տալիս ստանալ հեռավար կոդի կատարում խոցելի սերվերի վրա։ Այլ կերպ ասած՝ չարագործը կարող է դրա վրա կատարել իր սեփական հրամանները՝ առանց նախապես որևէ հաշիվ գրավելու անհրաժեշտության։

Սա ստեղծում է կայքերի զավթման, գաղտնի տվյալների գողության և վեբ-էջերի բովանդակության փոփոխման վտանգ։ PHP-ի լայն կիրառման պատճառով հետևանքները կարող են ազդել բազմաթիվ կազմակերպությունների և ինտերնետ-ծառայությունների վրա։

Կայքերի որոշ սեփականատերեր նախընտրել են ժամանակավորապես անջատել իրենց ռեսուրսները կամ առանձին գործառույթներ, քանի դեռ խոցելիությունները չեն շտկվել։ Նրանց թվում էին Wikipedia-ի որոշ ծառայություններ և 4chan-ի կայքը։

Wiz ընկերության հետազոտողները այս խնդիրներն անվանել են PHP-ի ողջ պատմության, և հնարավոր է՝ ընդհանրապես ծրագրային ապահովման պատմության, ամենալուրջ խոցելիություններից մի քանիսը։ Ընդ որում՝ երկու սխալներն էլ գոյություն ունեին տասնամյակներ շարունակ, իսկ դրանց շահագործելիության ցուցադրումը պահանջում էր բացառապես բարդ գործողությունների հաջորդականություն։

Ինչպես ԱԲ-ն օգնեց բացահայտել խնդիրը

Խոցելիությունների որոնմանը մասնակցել է OpenAI-ի մոդելը։ Ընկերությունը հայտնել է, որ իր մոդելն օգնել է բացահայտել երկու խնդիրներից մեկը, որից հետո PHP-ի հետազոտողները կարողացել են պատրաստել շտկում։

Սա կիբեռանվտանգության մեջ ԱԲ-ի գործնական կիրառման կարևոր օրինակ է։ Ավելի վաղ մասնագետները զգուշությամբ էին վերաբերվում խոցելիությունների մասին ավտոմատ գեներացված հաշվետվություններին. հայտնաբերված սխալների մասին բազմաթիվ հաղորդումներ պարզվում էին քիչ նշանակալի կամ առհասարակ կեղծ ահազանգեր։

Սակայն ներկայիս դեպքը ցույց է տալիս, որ ԱԲ-ն ունակ է օգնել բացահայտել սխալներ, որոնց հետևանքները կարող են տարածվել ինտերնետի զգալի մասի վրա։ Նման համակարգերը կարող են վերլուծել ծրագրային կոդը և գտնել պայմանների բարդ համակցություններ, որոնք սովորական ստուգման ժամանակ դժվար է նկատել։

Այս հնարավորությունն ունի նաև հակառակ կողմ։ Նույն գործիքները կարող են օգնել չարագործներին ավելի արագ մշակել խոցելիությունների շահագործման եղանակներ և ավտոմատացնել հարձակումները։

OpenAI-ում ընդգծել են, որ այս բացահայտումը միաժամանակ ցույց է տալիս ԱԲ-ի ներուժը կրիտիկական խնդիրների հայտնաբերման համար և նման հնարավորությունների հարձակողական նպատակներով օգտագործման ռիսկը։

Ինտերնետը կախված է ծրագրային ապահովումից, որի աջակցումը դժվար է

PHP-ի հետ կապված պատմությունը բացահայտեց ավելի լայն խնդիր. ժամանակակից ինտերնետը մեծապես կառուցված է բաց կոդով ծրագրային ապահովման վրա, որը հաճախ աջակցվում է փոքր թիմերի կամ կամավորների կողմից։

ԱԲ-ի զարգացմանը զուգընթաց հետազոտողները կկարողանան նման նախագծերում ավելի ու ավելի շատ սխալներ գտնել։ Բայց խոցելիության հայտնաբերումը միայն առաջին փուլն է։ Մշակողները պետք է ստուգեն հաղորդումը, պատրաստեն շտկում և թողարկեն թարմացում, իսկ կայքերի ադմինիստրատորները՝ այն տեղադրեն իրենց համակարգերում։

Եթե ԱԲ-ի կողմից հայտնաբերվող սխալների քանակը աճի ավելի արագ, քան ուղեկցող թիմերը կկարողանան դրանք մշակել, մշակողների վրա ծանրաբեռնվածությունը կդառնա անվտանգության բարձրացման լուրջ խոչընդոտ։

Ավելի վաղ պաշտպանները կարող էին հույս դնել սխալի հայտնաբերման և աշխատող exploit-ի ստեղծման միջև եղած ժամանակահատվածի վրա, որպեսզի հասցնեն տեղադրել շտկումը։ Այժմ այդ ժամանակահատվածը կարող է կրճատվել. ԱԲ-ն ունակ է արագացնել ոչ միայն խոցելիությունների որոնումը, այլև դրանց շահագործման եղանակների մշակումը։

Առաջիկա շաբաթներին մասնագետները սպասում են հարձակումների հնարավոր ալիքի՝ օգտագործելով PHP-ում հայտնաբերված խնդիրները։ Դրանց հետևանքները կախված կլինեն նրանից, թե որքան արագ խոցելի համակարգերի սեփականատերերը կտեղադրեն թարմացումները, և արդյոք չարագործները կկարողանա՞ն ավտոմատացնել սխալների շահագործումը։

Այս դեպքը պատկերավոր ցույց է տալիս, որ ԱԲ-ն փոխում է ուժերի հավասարակշռությունը կիբեռանվտանգությունում. այն օգնում է գտնել վտանգավոր սխալներ, բայց միաժամանակ արագացնում է նրանց գործողությունները, ովքեր ցանկանում են դրանցից օգտվել։