Patch the Planet: globaali yhteistyö agenttien löytämien kriittisten haavoittuvuuksien korjaamiseksi
Kahden viime kuukauden ajan olemme johtaneet ylläpitäjien, tutkijoiden ja tietoturvapalvelujen tarjoajien yhteistyötä PHP:n kriittisten haavoittuvuuksien korjaamiseksi. PHP on avoimen lähdekoodin ohjelmointikieli, jolla toteutetaan verkkosivustoja ja -sovelluksia. Calif löysi kriittisen haavoittuvuuden GPT‑5.6 Solin avulla osana Patch the Planet(avautuu uudessa ikkunassa) -hankettamme. Myös Wiz löysi molemmat haavoittuvuudet itsenäisesti ja ilmoitti niistä. PHP:n ylläpitäjät johtivat korjaustyötä ja julkaisua. Tiimimme ja kumppanimme, kuten Wiz ja Cloudflare, tukivat suojatoimien valmistelua tutkimuksella, teknisellä tuella ja koordinoinnilla ennen haavoittuvuuksien julkistamista.
PHP:tä käyttävien organisaatioiden on nyt tärkeintä ottaa korjaukset käyttöön. Julkaisemme PHP-version tarkistustyökalun Codex-taitona(avautuu uudessa ikkunassa) auttaaksemme järjestelmistä vastaavia tunnistamaan mahdollisesti haavoittuvat PHP-versiot ja selvittämään PHP:n ja palveluntarjoajien ohjeiden avulla, mitkä päivitykset tarvitaan.
Haavoittuvuuksien vakavuuden ja PHP:n laajan käytön vuoksi pidämme tätä yhtenä viime aikojen merkittävimmistä tietoturvaongelmista. Tapaus osoittaa, miten tekoäly voi paljastaa koko internetin laajuudella vaikuttavia tietoturva-aukkoja. Samat kyvyt voivat kuitenkin auttaa myös hyökkääjiä kehittämään nopeasti hyökkäystyökaluja ja hyväksikäyttömenetelmiä.
Tietojemme mukaan edistynyt tekoäly löysi nämä haavoittuvuudet ennen hyökkääjiä. Näin ylläpitäjille ja tietoturvapalvelujen tarjoajille avautui puolustajan aikaikkuna korjausten ja suojausten valmisteluun ennen julkistamista.
Jotta yhä useampi puolustaja voisi hyödyntää näitä kykyjä, olemme sitoutuneet tukemaan Daybreakin käyttöä miljardilla dollarilla Daybreak for Frontline Defenders -ohjelmassa. Tuki kohdistuu organisaatioihin, jotka suojaavat välttämättömiä palveluja rajallisilla tietoturvaresursseilla.
Vakavuudestaan huolimatta nämä virheet ovat vain osa jo löytämistämme merkittävistä haavoittuvuuksista, joita parhaillaan korjaamme. Odotamme vastaavien löydösten lisääntyvän jyrkästi lähikuukausina. Tähänastisten kokemustemme pohjalta ehdotamme tekoälyaikaan sopivaa toimintamallia laajasti käytettyjen ohjelmistojen kriittisten haavoittuvuuksien käsittelyyn. Pyydämme tietoturvayhteisöä auttamaan sen kehittämisessä. Se yhdistää mallimme, tietoturvaosaamisen ja ylläpitäjät, jotta löydökset johtaisivat suojatoimiin ja haavoittuvuuksiin voitaisiin vastata yhä laajemmin tekoälyn kykyjen kehittyessä.
Korjauksen käyttöönotto voi edellyttää sen sovittamista vanhempiin versioihin, palveluntarjoajien lievennystoimien valmistelua ja järjestelmien päivittämistä monissa organisaatioissa. Toistettava prosessi auttaa tiimejä toimimaan nopeasti, kun haavoittuvuuksia löytyy lisää.
Tuimme PHP:n korjaustyötä Patch the Planet -hankkeen kautta tarjoamalla tietoturvaosaamista ja mallien käyttöoikeuksia. Testasimme korjauksia ja valmistelimme ohjeita yhdessä ylläpitäjien ja tutkimuskumppanien kanssa. Autoimme myös koordinoimaan haavoittuvien järjestelmien suojausta infrastruktuuripalvelujen tarjoajien kanssa ja otimme kyberturvallisuusviranomaiset mukaan auttamaan ohjeiden välittämisessä kriittisille organisaatioille. Tämä tuki ylläpitäjien johtamaa työtä ja auttoi muita puolustajia valmistautumaan.
Joidenkin löydösten kohdalla tutkijat voivat selvittää ongelman ja kehittää korjauksen suoraan ohjelmiston ylläpitäjien kanssa. Toiset vaativat laajempia toimia, koska ne koskevat monia tuotteita tai jakelijat ja palveluntarjoajat tarvitsevat aikaa päivitysten ja suojausten valmisteluun. Aikaa voi olla niukasti, jos edistyneet kyvyt eivät ole kaukana yleisesti saatavilla olevista. Näissä tapauksissa ehdotettu toimintamalli voi auttaa ylläpitäjiä tunnistamaan tarvittavat osapuolet ja koordinoimaan työtä. Toiminta voi jakautua viiteen vaiheeseen:
Vahvistetaan ja korjataan haavoittuvuus alkuperäisprojektissa. Ylläpitäjä, tutkijat ja keskeiset tekniset kumppanit vahvistavat löydöksen, arvioivat sen vaikutukset sekä kehittävät ja testaavat korjauksen. Prosessiin kuuluu hyökkäyksiä simuloiva testaus edistyneillä malleilla. Sillä etsitään tapoja kiertää korjaus sekä haavoittuvuuden muunnelmia.
Annetaan haavoittuvuuden koskettamille organisaatioille aikaa toimia. Ehdotamme toimintamallia sen arviointiin, mitkä organisaatiot tarvitsevat ennakkotietoa suojausten valmisteluun. Ylläpitäjät päättävät, ketkä otetaan mukaan. Autamme yhteydenotoissa, tiedonjakosopimuksissa ja tiimien välisessä koordinoinnissa. Jakelija voi sovittaa korjauksen vanhempaan versioon, hosting-palveluntarjoaja testata lievennystoimia ja tietoturvapalvelun tarjoaja valmistella tunnistus- tai estotoimia, kuten verkkosovelluspalomuurin (WAF) sääntöjä.
Suojataan kriittisiä järjestelmiä yhteistyössä viranomaisten kanssa. Viranomaisilla on keskeinen rooli laajempien toimien koordinoinnissa ja tietoturvaohjeiden välittämisessä kriittisestä infrastruktuurista ja muista välttämättömistä palveluista vastaaville organisaatioille. PHP:n tapauksessa pyrimme kumppaniemme kanssa saamaan työn tueksi useita Yhdysvaltain hallinnon tahoja: Valkoisen talon Super Intelligence Force -ryhmän, kansallisen kyberjohtajan toimiston (ONCD) ja kyber- ja infrastruktuuriturvallisuusviraston (CISA). Tavoittelimme yhteistyötä myös kansainvälisten kumppanien kanssa.
Valmistellaan päivitykset haavoittuviin tuotteisiin. Kun korjaus, ohjeet ja julkistamissuunnitelmat vakiintuvat, ylläpitäjät voivat ottaa mukaan lisää jakelijoita, hosting- ja muita palveluntarjoajia, reagointitiimejä sekä järjestelmistä vastaavia valmistelemaan päivityksiä ja täydentämään suojausten kattavuutta.
Kun korjaus on saatavilla, julkaistaan ohjeet ja tuetaan käyttöönottoa. Julkiset ohjeet auttavat arvioimaan altistumista, löytämään viralliset päivitykset tai väliaikaiset lievennystoimet sekä varmistamaan, että korjaus on käytössä. Työ jatkuu, kun järjestelmistä vastaavat ottavat päivityksiä käyttöön ja ilmoittavat avuntarpeistaan.
Ehdotettu toimintamalli huomioi organisaation suojaustehtävät, kuten omien järjestelmien ja asiakkaiden suojaamisen, toimintaan tarvittavan ajan sekä kyvyn käsitellä arkaluonteista tietoa. Vertailukelpoisiin organisaatioihin sovellettaisiin samoja kriteerejä. Ylläpitäjät päättäisivät, ketkä otetaan mukaan ennen julkistamista.
Kukin osallistuja saa suojaustyössään tarvitsemansa tiedot. Ne voivat ulottua tietomurron merkkejä sisältävistä verkkolokeista arkaluonteisempiin, toimiviin hyväksikäytön esimerkkitoteutuksiin. Niukatkin tiedot voivat paljastaa haavoittuvuuden, joten punnitsemme niiden jakamisen riskiä suhteessa niiden mahdollistamaan suojaan.
Mallia noudattavat tiimit antaisivat ylläpitäjien kanssa puolustajille aikaa valmistautua. Aikataulua arvioitaisiin uudelleen, jos haavoittuvuutta hyödynnetään hyökkäyksissä, tietoja vuotaa, julkinen korjaus paljastaa haavoittuvuuden tai korjausten viivästyminen kasvattaa käyttäjien riskiä.
Patch the Planet -sivusto(avautuu uudessa ikkunassa) kokoaa julkistetut tiedot ja ohjeet, jotta järjestelmistä vastaavat voivat tunnistaa haavoittuvat järjestelmät, löytää oikean päivityksen ja varmistaa päivitetyn ohjelmiston toimivan oikein. PHP:n osalta se ohjaa ylläpitäjien viralliseen korjaukseen ja päivitysohjeisiin sekä kumppaniemme tekniseen tutkimukseen. Ohjeet käsittelevät myös väliaikaisia lievennystoimia, palveluntarjoajan tai asiantuntijan avun tarvetta sekä varmuuskopiointia ja palautusta. Väliaikaiset suojaukset voivat pienentää riskiä, mutta tuomme selvästi esiin niiden rajoitukset ja vaikutukset toimintaan.
Järjestelmistä vastaavat voivat arvioida toimien kiireellisyyttä altistumisen, hyväksikäytön ja mahdollisten vaikutusten perusteella CISA:n priorisointi- ja korjausohjeiden(avautuu uudessa ikkunassa) avulla. Tarpeen voi olla hätäkorjaus, välitön lievennystoimi tai suunniteltu päivitys. Tarvittaessa tehdään myös teknisen tutkinnan ensiarvio sen selvittämiseksi, onko järjestelmiin jo murtauduttu. Prioriteetteja tulee arvioida uudelleen olosuhteiden muuttuessa ja pitää eteneminen kohti pysyvää korjausta selkeänä.
Maailmanlaajuinen koordinointi on ohjelmistoja ylläpitävien ihmisten varassa. Monista projekteista vastaavat pienet tiimit, jotka käsittelevät tietoturvailmoituksia tavanomaisen kehitystyön ohessa. Nämä tiimit tarvitsevat apua uusien ongelmien erottamiseen toistuvista ilmoituksista, vaikutusten arviointiin ja korjausten testaamiseen tuetuissa versioissa. Tuemme työtä rahoituksella, suorituskykyisten mallien käyttöoikeuksilla ja käytännön teknisellä avulla.
Tekoälyn tehokkaat kyvyt kehittyvät koko alalla. Odotamme tekoälyn auttavan puolustajia yhä enemmän haavoittuvuuksien löytämisessä, järjestelmien valvonnassa ja uhkiin vastaamisessa. Investoimme malleihin, työkaluihin ja kumppanuuksiin, jotta puolustajat voivat hyödyntää näitä kykyjä käytännössä.
Tarjoamme muun muassa tilauksia kaikille ylläpitäjille Codex for OSS -ohjelman kautta ja tuemme suoraan esimerkiksi Rust Foundationin(avautuu uudessa ikkunassa) kaltaisia hankkeita ylläpitäjien ja teknisen työn rahoittamiseksi. Kukin projekti päättää omista prioriteeteistaan. Uudelleenkäytettävät testit ja tietoturvatyönkulut voivat vähentää tulevien löydösten käsittelyyn tarvittavaa työtä. Avoimen lähdekoodin projektit voivat hakea Patch the Planet -hankkeeseen(avautuu uudessa ikkunassa) saadakseen käytännön tukea.
Kalibroimme myös Daybreakiin lisää estoluokittimia vähentääksemme väärinkäytön mahdollisuuksia. Tähän liittyy vaikeita kompromisseja: väärinkäytön estämiseen tarkoitetut suojaukset voivat estää myös asianmukaista tietoturvatyötä. Sekä suorituskykyisten mallien laaja saatavuus että tehokas suoja väärinkäyttöä vastaan ovat ratkaisevan tärkeitä. Tavoitteemme on säilyttää puolustajien tarvitsemat kyvyt haavoittuvuuksien löytämiseen ja korjaamiseen samalla, kun rajoitamme haitallista käyttöä. Hiomme tätä tasapainoa edelleen kykyjen kehittyessä ja oppiessamme työkalujen käytöstä.
Mallien kykyjen kehittyessä mahdollisuudet ulottuvat yksittäisten haavoittuvuuksien löytämistä ja korjaamista pidemmälle. Haluamme auttaa kehittäjiä rakentamaan turvallisempia ohjelmistoja alusta alkaen. Laajasti käytetyn komponentin parannukset voivat ehkäistä virheitä tai rajoittaa niiden vaikutuksia monissa tuotteissa ja palveluissa.
Tekoäly voi auttaa kehittäjiä ymmärtämään olemassa olevaa koodia, valmistelemaan muutoksia ja kehittämään testejä. Ylläpitäjät ja tietoturva-asiantuntijat puolestaan varmistavat, etteivät muutokset riko käyttäjille tärkeitä toimintoja. Näemme mahdollisuuksia useilla osa-alueilla:
Turvallista koodia alusta alkaen. Ohjelmointimallit voivat auttaa kehittäjiä valitsemaan turvallisempia oletusasetuksia, käyttämään tietoturvakirjastoja oikein ja havaitsemaan riskialttiit koodirakenteet jo kirjoitusvaiheessa. Haavoittuvuuksien ehkäiseminen kehitysvaiheessa vähentää ylläpitäjien ja käyttäjien tarvetta hätäkorjauksiin.
Muistiturvalliset ohjelmistot. Kriittisten komponenttien siirtäminen muistiturvallisille kielille voi poistaa yleisiä muistivirheiden luokkia. Tekoäly voi auttaa siirtymissä. Testeillä ja asiantuntija-arvioinnilla varmistetaan toiminta ja yhteensopivuus.
Formaali verifiointi. Matemaattisilla todistuksilla voidaan osoittaa, että kriittiset komponentit täyttävät määritellyt turvallisuusominaisuudet annettujen oletusten vallitessa. Näiden menetelmien soveltaminen laajasti käytettyihin komponentteihin voisi auttaa sulkemaan pois kokonaisia haavoittuvuusluokkia niistä riippuvissa palveluissa ja kriittisessä infrastruktuurissa.
Vahvempi eristys. Järjestelmät tarvitsevat suojaa myös haavoittuvuuksilta, joita ei ole vielä löydetty tai korjattu. Jos epäluotettavia tiedostoja, kuvia tai mediaa käsittelevää ohjelmistoa ajetaan tiukasti rajatussa hiekkalaatikossa, siihen kohdistuvan tietomurron vahingot voivat jäädä pienemmiksi. Tekoäly voi auttaa kehittäjiä testaamaan ja vahvistamaan laajasti käytettyjä hiekkalaatikkoteknologioita ja siten parantaa monien sovellusten suojaa.
Julkaisemme toimintamallimme, jotta ylläpitäjät, tutkijat, reagointitiimit, palveluntarjoajat ja järjestelmistä vastaavat voivat auttaa tekemään siitä käytännössä toimivan. Haluamme ymmärtää, missä siitä olisi apua, missä se voisi aiheuttaa viiveitä tai lisätyötä ja mitä emme ole huomioineet. Esimerkit aiemmista haavoittuvuuksien julkistamisista olisivat erityisen hyödyllisiä.
Meitä kiinnostavat erityisesti seuraavat asiat:
Julkistamisen aikataulu. Kuinka paljon aikaa ylläpitäjät, järjestelmistä vastaavat ja puolustajat tarvitsevat luotettavien korjausten valmisteluun ja käyttöönottoon? Millaisen näytön pitäisi johtaa aikaistettuun julkistamiseen, etenkin jos osa käyttäjistä voidaan suojata muita aiemmin?
Hätäkorjaukset. Missä tilanteissa, jos koskaan, valtioiden tai muiden toimijoiden pitäisi hyödyntää haavoittuvuutta korjatakseen omistamansa tai hallintaansa valtuutetut järjestelmät, joihin ne ovat menettäneet ylläpitopääsyn? Mitä suojatoimia tällöin pitäisi edellyttää? Voimme kuvitella tulevaisuuden, jossa tunnettuja haavoittuvuuksia etsitään jatkuvasti koko internetistä. Löydöksestä joko ilmoitetaan sivuston omistajalle tai järjestelmä korjataan.
Ennakkovaroitus. Ketkä tarvitsevat ennakkovaroituksen voidakseen toteuttaa hyödyllisiä suojatoimia? Jääkö meiltä puolustajia huomaamatta? Milloin vaiheittaiset ilmoitukset toimivat paremmin kuin laajalle joukolle ilmoittaminen kerralla, ja miten kattavuutta pitäisi punnita suhteessa tietovuodon riskiin?
Oletusarvoisesti turvalliset ohjelmistopaketit. Miten voimme auttaa tunnistamaan ja korjaamaan haavoittuvuuksia johdannaispaketeissa alkuperäisprojektin korjauksia odotettaessa tai sovittamaan korjauksia vanhoihin versioihin, jotka eivät enää saa tietoturvapäivityksiä? Millainen testaus ja ylläpito tekisi näistä paketeista luotettavan vaihtoehdon, kun ajoissa päivittäminen ei ole mahdollista?
Otamme mielellämme vastaan myös suosituksia riippumattomista tietoturva-asiantuntijoista, jotka voivat arvioida toimintamallia, kyseenalaistaa sen oletukset ja tunnistaa puutteet. Näkemyksenne auttavat meitä kehittämään toimintaa ja kohdentamaan tukea. Anna palautetta täällä(avautuu uudessa ikkunassa).
