Patch the Planet: παγκόσμια απόκριση σε κρίσιμες ευπάθειες που εντοπίζουν πράκτορες
Τους τελευταίους δύο μήνες, συντονίσαμε μια συμμαχία υπευθύνων συντήρησης, ερευνητών και παρόχων ασφάλειας για την αντιμετώπιση κρίσιμων ευπαθειών στην PHP, μια γλώσσα προγραμματισμού ανοιχτού κώδικα που χρησιμοποιείται σε ιστοτόπους και διαδικτυακές εφαρμογές. Η Calif εντόπισε ένα κρίσιμο κενό ασφάλειας με το GPT‑5.6 Sol στο πλαίσιο της πρωτοβουλίας μας Patch the Planet(ανοίγει σε νέο παράθυρο). Η Wiz ανακάλυψε και ανέφερε ανεξάρτητα και τις δύο ευπάθειες. Οι υπεύθυνοι συντήρησης της PHP ανέλαβαν τις διορθώσεις και την κυκλοφορία τους. Οι ομάδες μας και συνεργάτες όπως η Wiz, η Cloudflare και άλλοι συνέβαλαν με έρευνα, τεχνική υποστήριξη και συντονισμό για την προετοιμασία μέτρων προστασίας πριν από τη δημοσιοποίηση.
Για τους οργανισμούς που χρησιμοποιούν PHP, προτεραιότητα τώρα είναι η εφαρμογή των διορθώσεων. Διαθέτουμε ένα εργαλείο ελέγχου εκδόσεων PHP ως δεξιότητα του Codex(ανοίγει σε νέο παράθυρο) για να βοηθήσουμε τους διαχειριστές να εντοπίζουν πιθανώς ευάλωτες εκδόσεις PHP και, με βάση και τις οδηγίες της PHP και των παρόχων τους, να προσδιορίζουν τις κατάλληλες ενημερώσεις.
Δεδομένης της σοβαρότητας αυτών των κενών και της ευρείας χρήσης της PHP, το θεωρούμε ένα από τα ζητήματα ασφάλειας με τον μεγαλύτερο αντίκτυπο τα τελευταία χρόνια. Αναδεικνύει πώς η AI μπορεί να αποκαλύψει κενά ασφάλειας με αντίκτυπο σε όλο το διαδίκτυο. Οι ίδιες δυνατότητες, όμως, μπορούν να βοηθήσουν επιτιθέμενους να αναπτύξουν γρήγορα επιθετικά εργαλεία και κώδικα εκμετάλλευσης ευπαθειών.
Απ’ όσο γνωρίζουμε, κορυφαία συστήματα AI εντόπισαν αυτές τις ευπάθειες πριν από τους επιτιθέμενους, ανοίγοντας ένα παράθυρο ευκαιρίας για τους αμυνόμενους, ώστε οι υπεύθυνοι συντήρησης και οι πάροχοι ασφάλειας να ετοιμάσουν διορθώσεις και μέτρα προστασίας πριν από τη δημοσιοποίηση.
Για να αξιοποιήσουν αυτές τις δυνατότητες περισσότεροι επαγγελματίες κυβερνοάμυνας, δεσμεύσαμε 1 δισ. δολάρια για επιδοτούμενη πρόσβαση στο Daybreak μέσω του Daybreak for Frontline Defenders, με έμφαση σε οργανισμούς που προστατεύουν βασικές υπηρεσίες με περιορισμένους πόρους ασφάλειας.
Όσο σημαντικά κι αν είναι, αυτά τα σφάλματα συγκαταλέγονται σε αρκετές σοβαρές ευπάθειες που έχουμε ήδη εντοπίσει και εργαζόμαστε για να διορθώσουμε. Αναμένουμε απότομη αύξηση παρόμοιων ευρημάτων τους επόμενους μήνες. Με βάση την έως τώρα εμπειρία μας, προτείνουμε μια προσέγγιση κατάλληλη για την εποχή της AI για την αντιμετώπιση κρίσιμων ευπαθειών σε ευρέως χρησιμοποιούμενο λογισμικό και ζητάμε από την κοινότητα ασφάλειας να βοηθήσει στη βελτίωσή της. Συνδυάζει τα μοντέλα μας, την τεχνογνωσία ασφάλειας και τους υπευθύνους συντήρησης, ώστε τα ευρήματα να οδηγούν σε προστασία και η αντιμετώπιση να μπορεί να κλιμακώνεται καθώς εξελίσσονται οι δυνατότητες της AI.
Η εφαρμογή μιας διόρθωσης μπορεί να απαιτεί προσαρμογή σε παλαιότερες εκδόσεις, προετοιμασία μέτρων μετριασμού από παρόχους και ενημέρωση συστημάτων σε πολλούς οργανισμούς. Μια επαναλήψιμη διαδικασία βοηθά αυτές τις ομάδες να ενεργούν γρήγορα όσο ανακαλύπτονται περισσότερες ευπάθειες.
Μέσω του Patch the Planet, προσφέραμε τεχνογνωσία ασφάλειας και πρόσβαση σε μοντέλα για την αντιμετώπιση των ευπαθειών της PHP και συνεργαστήκαμε με υπευθύνους συντήρησης και ερευνητικούς εταίρους για τη δοκιμή διορθώσεων και τη σύνταξη οδηγιών. Βοηθήσαμε επίσης στον συντονισμό με παρόχους υποδομών για την προστασία των επηρεαζόμενων συστημάτων και απευθυνθήκαμε σε κρατικούς φορείς κυβερνοασφάλειας, ώστε οι οδηγίες να φτάσουν σε κρίσιμους οργανισμούς. Έτσι στηρίξαμε την απόκριση υπό την καθοδήγηση των υπευθύνων συντήρησης και βοηθήσαμε και άλλους επαγγελματίες κυβερνοάμυνας να προετοιμαστούν.
Για ορισμένα ευρήματα, οι ερευνητές μπορούν να συνεργαστούν απευθείας με τους υπευθύνους συντήρησης του λογισμικού, ώστε να διερευνήσουν το ζήτημα και να αναπτύξουν μια διόρθωση. Άλλα απαιτούν ευρύτερη απόκριση, επειδή επηρεάζουν πολλά προϊόντα ή επειδή οι διανομείς και οι πάροχοι υπηρεσιών χρειάζονται χρόνο για να ετοιμάσουν ενημερώσεις και μέτρα προστασίας. Αυτός ο χρόνος μπορεί να είναι λίγος, αν οι κορυφαίες δυνατότητες δεν απέχουν πολύ από τις ευρέως διαθέσιμες. Σε αυτές τις περιπτώσεις, το προτεινόμενο πλαίσιο μπορεί να βοηθήσει τους υπευθύνους συντήρησης να προσδιορίσουν ποιοι πρέπει να συμμετάσχουν και να συντονίσουν τις εργασίες. Η απόκριση μπορεί να περιλαμβάνει πέντε στάδια:
Επιβεβαίωση και διόρθωση της ευπάθειας στο αρχικό έργο λογισμικού. Ο υπεύθυνος συντήρησης, οι ερευνητές και οι απαραίτητοι τεχνικοί συνεργάτες επιβεβαιώνουν το εύρημα, αξιολογούν τον αντίκτυπό του και αναπτύσσουν και δοκιμάζουν μια διόρθωση. Η διαδικασία περιλαμβάνει δοκιμές προσομοίωσης επιθέσεων με κορυφαία μοντέλα, για την αναζήτηση τρόπων παράκαμψης της διόρθωσης και συναφών παραλλαγών της ευπάθειας.
Παροχή χρόνου στους επηρεαζόμενους οργανισμούς για να δράσουν. Προτείνουμε ένα πλαίσιο για την αξιολόγηση του ποιοι οργανισμοί χρειάζονται έγκαιρη πληροφόρηση ώστε να προετοιμάσουν μέτρα προστασίας. Οι υπεύθυνοι συντήρησης αποφασίζουν ποιους θα συμπεριλάβουν. Βοηθάμε στην επικοινωνία, στις συμφωνίες ανταλλαγής πληροφοριών και στον συντονισμό μεταξύ ομάδων. Ένας διανομέας μπορεί να προσαρμόσει μια διόρθωση για παλαιότερη έκδοση, ένας πάροχος φιλοξενίας να δοκιμάσει ένα μέτρο μετριασμού και ένας πάροχος ασφάλειας να ετοιμάσει μέτρα ανίχνευσης ή πρόληψης, όπως κανόνες τείχους προστασίας διαδικτυακών εφαρμογών (WAF).
Συντονισμός με κρατικούς εταίρους για την προστασία κρίσιμων συστημάτων. Οι κρατικοί φορείς έχουν ουσιαστικό ρόλο στον συντονισμό μιας ευρύτερης απόκρισης και στη διάδοση των οδηγιών ασφάλειας σε οργανισμούς που είναι υπεύθυνοι για κρίσιμες υποδομές και άλλες βασικές υπηρεσίες. Στην περίπτωση της PHP, μαζί με τους συνεργάτες μας επιδιώξαμε τη συμμετοχή διαφόρων φορέων της κυβέρνησης των ΗΠΑ, όπως η Ομάδα Υπερνοημοσύνης του Λευκού Οίκου, το Γραφείο του Εθνικού Διευθυντή Κυβερνοασφάλειας (ONCD) και η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA), καθώς και διεθνών εταίρων, για τη στήριξη της προσπάθειας.
Προετοιμασία ενημερώσεων για τα επηρεαζόμενα προϊόντα. Καθώς οριστικοποιούνται η διόρθωση, οι οδηγίες και τα σχέδια δημοσιοποίησης, οι υπεύθυνοι συντήρησης μπορούν να εντάξουν επιπλέον διανομείς, παρόχους φιλοξενίας και υπηρεσιών, ομάδες απόκρισης και διαχειριστές, για να ετοιμάσουν ενημερώσεις και να καλύψουν κενά προστασίας.
Μόλις διατεθεί η διόρθωση, δημοσίευση οδηγιών και υποστήριξη της εγκατάστασής της. Οι δημόσιες οδηγίες βοηθούν τους χρήστες να αξιολογούν την έκθεσή τους στον κίνδυνο, να βρίσκουν έγκυρες ενημερώσεις ή προσωρινά μέτρα μετριασμού και να ελέγχουν ότι η διόρθωση έχει τεθεί σε λειτουργία. Η απόκριση συνεχίζεται καθώς οι διαχειριστές εγκαθιστούν ενημερώσεις και αναφέρουν πού χρειάζονται βοήθεια.
Το προτεινόμενο πλαίσιο εξετάζει τον προστατευτικό ρόλο ενός οργανισμού, μεταξύ άλλων για τα δικά του συστήματα και τους πελάτες του, τον χρόνο που χρειάζεται για να δράσει και την ικανότητά του να χειρίζεται ευαίσθητες πληροφορίες. Τα ίδια κριτήρια θα ίσχυαν για συγκρίσιμους οργανισμούς, με τους υπευθύνους συντήρησης να αποφασίζουν ποιους θα συμπεριλάβουν πριν από τη δημοσιοποίηση.
Κάθε συμμετέχων λαμβάνει τις πληροφορίες που χρειάζεται για το έργο προστασίας του: από αρχεία καταγραφής δικτύου με ενδείξεις παραβίασης έως πιο ευαίσθητο, λειτουργικό κώδικα επίδειξης της εκμετάλλευσης ευπαθειών. Ακόμη και λίγες λεπτομέρειες μπορούν να αποκαλύψουν μια ευπάθεια. Γι’ αυτό σταθμίζουμε τον κίνδυνο κοινοποίησής τους έναντι της προστασίας που επιτρέπουν.
Οι ομάδες που ακολουθούν αυτό το πλαίσιο θα συνεργάζονταν με τους υπευθύνους συντήρησης ώστε να δοθεί χρόνος προετοιμασίας στους αμυνόμενους. Θα επανεξέταζαν το χρονοδιάγραμμα σε περίπτωση ενεργής εκμετάλλευσης σε πραγματικά συστήματα, διαρροής, δημόσιας διόρθωσης που αποκαλύπτει την ευπάθεια ή αυξημένου κινδύνου για τους χρήστες λόγω καθυστέρησης της αποκατάστασης.
Ο ιστότοπος του Patch the Planet(ανοίγει σε νέο παράθυρο) συγκεντρώνει δημοσιοποιήσεις ευπαθειών και οδηγίες, ώστε οι διαχειριστές να εντοπίζουν επηρεαζόμενα συστήματα, να βρίσκουν τη σωστή ενημέρωση και να επιβεβαιώνουν ότι το ενημερωμένο λογισμικό λειτουργεί σωστά. Για την PHP, παραπέμπει στην επίσημη διόρθωση και στις οδηγίες αναβάθμισης των υπευθύνων συντήρησης, καθώς και στην τεχνική έρευνα των συνεργατών μας. Οι οδηγίες καλύπτουν επίσης προσωρινά μέτρα μετριασμού, πότε πρέπει να εμπλακεί πάροχος ή ειδικός, καθώς και τη δημιουργία αντιγράφων ασφαλείας και την ανάκτηση. Τα προσωρινά μέτρα προστασίας μπορούν να μειώσουν τον κίνδυνο, αλλά θα εξηγούμε ξεκάθαρα τα όριά τους και τους λειτουργικούς συμβιβασμούς που συνεπάγονται.
Οι διαχειριστές μπορούν να χρησιμοποιούν τις οδηγίες της CISA για ιεράρχηση προτεραιοτήτων και αποκατάσταση(ανοίγει σε νέο παράθυρο), ώστε να κρίνουν πόσο γρήγορα πρέπει να δράσουν με βάση την έκθεση, την εκμετάλλευση και τον πιθανό αντίκτυπο. Αυτό μπορεί να σημαίνει επείγουσα εφαρμογή διορθώσεων, άμεσο μετριασμό ή προγραμματισμένη ενημέρωση, μαζί με αρχική διερεύνηση ψηφιακών πειστηρίων όπου χρειάζεται, για να εκτιμηθεί αν τα συστήματα έχουν ήδη παραβιαστεί. Οι προτεραιότητες πρέπει να επανεξετάζονται καθώς αλλάζουν οι συνθήκες, με σαφή πορεία προς την οριστική αποκατάσταση.
Ο παγκόσμιος συντονισμός εξαρτάται από τους ανθρώπους που συντηρούν το λογισμικό. Πολλά έργα λειτουργούν με μικρές ομάδες που εξετάζουν αναφορές ασφάλειας παράλληλα με τις καθημερινές εργασίες ανάπτυξης. Αυτές οι ομάδες χρειάζονται βοήθεια για να διακρίνουν τα νέα ζητήματα από τις διπλές αναφορές, να αξιολογούν τον αντίκτυπο και να δοκιμάζουν διορθώσεις σε όλες τις υποστηριζόμενες εκδόσεις. Στηρίζουμε αυτό το έργο με χρηματοδότηση, πρόσβαση σε ικανά μοντέλα και έμπρακτη τεχνική βοήθεια.
Οι ισχυρές δυνατότητες AI εξελίσσονται σε ολόκληρο τον κλάδο. Αναμένουμε ότι η AI θα βοηθά όλο και περισσότερο τους επαγγελματίες κυβερνοάμυνας να εντοπίζουν ευπάθειες, να παρακολουθούν συστήματα και να αντιμετωπίζουν απειλές. Επενδύουμε σε μοντέλα, εργαλεία και συνεργασίες για να βοηθήσουμε τους επαγγελματίες κυβερνοάμυνας να αξιοποιήσουν αυτές τις δυνατότητες.
Οι επενδύσεις μας περιλαμβάνουν συνδρομές για όλους τους υπευθύνους συντήρησης μέσω του Codex for OSS και άμεσες χορηγίες σε έργα όπως το Rust Foundation(ανοίγει σε νέο παράθυρο), για τη στήριξη των υπευθύνων συντήρησης και των τεχνικών εργασιών. Κάθε έργο θέτει τις δικές του προτεραιότητες. Οι επαναχρησιμοποιήσιμες δοκιμές και ροές εργασιών ασφάλειας μπορούν να μειώσουν την προσπάθεια διαχείρισης μελλοντικών ευρημάτων. Τα έργα ανοιχτού κώδικα μπορούν να υποβάλουν αίτηση στο Patch the Planet(ανοίγει σε νέο παράθυρο) για πρακτική υποστήριξη.
Ρυθμίζουμε επίσης πρόσθετους ταξινομητές αποκλεισμού για το Daybreak, ώστε να μειώσουμε τις πιθανότητες κακόβουλης χρήσης. Αυτό απαιτεί δύσκολους συμβιβασμούς: οι δικλίδες που αποτρέπουν την κατάχρηση μπορούν επίσης να εμποδίσουν θεμιτές εργασίες ασφάλειας. Η ευρεία πρόσβαση σε ικανά μοντέλα και η αποτελεσματική προστασία από την κακόβουλη χρήση είναι εξίσου κρίσιμες. Στόχος μας είναι να διατηρήσουμε τις δυνατότητες που χρειάζονται οι επαγγελματίες κυβερνοάμυνας για να εντοπίζουν και να διορθώνουν ευπάθειες, περιορίζοντας παράλληλα την επιβλαβή χρήση. Θα συνεχίσουμε να βελτιώνουμε αυτή την ισορροπία, καθώς οι δυνατότητες εξελίσσονται και μαθαίνουμε από τη χρήση αυτών των εργαλείων.
Καθώς τα μοντέλα γίνονται πιο ικανά, οι ευκαιρίες δεν περιορίζονται στον εντοπισμό και τη διόρθωση μεμονωμένων ευπαθειών. Θέλουμε να βοηθήσουμε τους μηχανικούς να δημιουργούν πιο ασφαλές λογισμικό από την αρχή. Οι βελτιώσεις σε ένα ευρέως χρησιμοποιούμενο στοιχείο λογισμικού μπορούν να αποτρέψουν σφάλματα ή να περιορίσουν τον αντίκτυπό τους σε πολλά προϊόντα και υπηρεσίες.
Η AI μπορεί να βοηθήσει τους μηχανικούς να κατανοήσουν τον υπάρχοντα κώδικα, να ετοιμάσουν αλλαγές και να αναπτύξουν δοκιμές, ενώ οι υπεύθυνοι συντήρησης και οι ειδικοί ασφάλειας επαληθεύουν ότι οι αλλαγές διατηρούν τη λειτουργία στην οποία βασίζονται οι χρήστες. Βλέπουμε ευκαιρίες σε διάφορους τομείς:
Ασφαλής κώδικας από την αρχή. Τα μοντέλα προγραμματισμού μπορούν να βοηθούν τους προγραμματιστές να επιλέγουν ασφαλέστερες προεπιλογές, να χρησιμοποιούν σωστά τις βιβλιοθήκες ασφάλειας και να εντοπίζουν επικίνδυνα μοτίβα καθώς γράφουν κώδικα. Η πρόληψη ευπαθειών κατά την ανάπτυξη σημαίνει λιγότερες επείγουσες διορθώσεις για υπευθύνους συντήρησης και χρήστες.
Λογισμικό με ασφαλή διαχείριση μνήμης. Η μεταφορά κρίσιμων στοιχείων σε γλώσσες με ασφαλή διαχείριση μνήμης μπορεί να εξαλείψει συνήθεις κατηγορίες σφαλμάτων μνήμης. Η AI μπορεί να βοηθήσει σε αυτές τις μεταβάσεις, με δοκιμές και έλεγχο από ειδικούς για την επαλήθευση της λειτουργίας και της συμβατότητας.
Τυπική επαλήθευση. Οι μαθηματικές αποδείξεις μπορούν να δείξουν ότι κρίσιμα στοιχεία πληρούν συγκεκριμένες ιδιότητες ασφάλειας υπό καθορισμένες παραδοχές. Η εφαρμογή αυτών των μεθόδων σε ευρέως χρησιμοποιούμενα στοιχεία θα μπορούσε να αποκλείσει κατηγορίες ευπαθειών στις υπηρεσίες και στις κρίσιμες υποδομές που εξαρτώνται από αυτά.
Ισχυρότερη απομόνωση. Τα συστήματα χρειάζονται προστασία από ευπάθειες που δεν έχουν ακόμη εντοπιστεί ή διορθωθεί. Η εκτέλεση λογισμικού που επεξεργάζεται μη έμπιστα αρχεία, εικόνες ή πολυμέσα σε αυστηρά περιορισμένα, απομονωμένα περιβάλλοντα μπορεί να περιορίσει τη ζημιά σε περίπτωση παραβίασης. Η AI μπορεί να βοηθήσει τους μηχανικούς να δοκιμάσουν και να ενισχύσουν ευρέως χρησιμοποιούμενες τεχνολογίες απομόνωσης, βελτιώνοντας την προστασία σε πολλές εφαρμογές.
Μοιραζόμαστε την προσέγγισή μας ώστε υπεύθυνοι συντήρησης, ερευνητές, ομάδες απόκρισης, πάροχοι και διαχειριστές να βοηθήσουν να γίνει εφαρμόσιμη στην πράξη. Θέλουμε να κατανοήσουμε πού θα βοηθούσε, πού θα μπορούσε να προκαλέσει καθυστερήσεις ή επιβάρυνση και τι μας έχει διαφύγει. Παραδείγματα από προηγούμενες δημοσιοποιήσεις ευπαθειών θα ήταν ιδιαίτερα χρήσιμα.
Μας ενδιαφέρουν ιδιαίτερα τα εξής:
Χρονικά περιθώρια πριν από τη δημοσιοποίηση. Πόσο χρόνο χρειάζονται οι υπεύθυνοι συντήρησης, οι διαχειριστές και οι επαγγελματίες κυβερνοάμυνας για να προετοιμάσουν και να εφαρμόσουν αξιόπιστες διορθώσεις; Ποια στοιχεία θα πρέπει να οδηγούν σε νωρίτερη δημοσιοποίηση, ιδίως όταν κάποιοι χρήστες μπορούν να προστατευτούν νωρίτερα από άλλους;
Επείγουσα εφαρμογή διορθώσεων. Πότε, αν ποτέ, θα πρέπει οι κυβερνήσεις ή άλλοι διαχειριστές να εκμεταλλεύονται μια ευπάθεια για να διορθώσουν συστήματα που τους ανήκουν ή που έχουν εξουσιοδότηση να διαχειρίζονται, αφού χάσουν την πρόσβαση διαχειριστή; Ποιες δικλίδες ασφαλείας θα πρέπει να ισχύουν; Μπορούμε να φανταστούμε ως τελικό στάδιο μια διαρκή σάρωση όλου του διαδικτύου για γνωστές ευπάθειες και, όταν εντοπίζεται κάποια, είτε ειδοποίηση των ιδιοκτητών του ιστοτόπου είτε εφαρμογή διόρθωσης στο σύστημα.
Έγκαιρη ειδοποίηση. Ποιοι χρειάζονται έγκαιρη προειδοποίηση για να λάβουν χρήσιμα μέτρα προστασίας, συμπεριλαμβανομένων επαγγελματιών κυβερνοάμυνας που ίσως παραβλέπουμε; Πότε οι σταδιακές ειδοποιήσεις λειτουργούν καλύτερα από την ταυτόχρονη ενημέρωση μιας ευρύτερης ομάδας και πώς πρέπει να σταθμίζουμε την κάλυψη έναντι του κινδύνου διαρροής;
Πακέτα λογισμικού ασφαλή από προεπιλογή. Πώς μπορούμε να βοηθήσουμε στον εντοπισμό και τη διόρθωση ευπαθειών σε παράγωγα πακέτα όσο εκκρεμούν διορθώσεις στο αρχικό έργο ή να προσαρμόσουμε διορθώσεις σε παλαιότερες εκδόσεις που δεν λαμβάνουν πλέον ενημερώσεις ασφάλειας; Ποιες δοκιμές και εργασίες συντήρησης θα έκαναν αυτά τα πακέτα αξιόπιστες επιλογές όταν η έγκαιρη αναβάθμιση δεν είναι εφικτή;
Δεχόμαστε επίσης προτάσεις για ανεξάρτητους ειδικούς ασφάλειας που μπορούν να αξιολογήσουν την προσέγγιση, να αμφισβητήσουν τις παραδοχές της και να εντοπίσουν κενά. Η συμβολή σας θα μας βοηθήσει να βελτιώσουμε την απόκριση και να θέσουμε προτεραιότητες στην υποστήριξη. Μοιραστείτε τα σχόλιά σας εδώ(ανοίγει σε νέο παράθυρο).
