U protekla dva mjeseca predvodili smo koaliciju timova za održavanje, istraživača i pružatelja sigurnosnih usluga radi otklanjanja kritičnih ranjivosti u PHP-u, programskom jeziku otvorenog koda koji pokreće web-stranice i web-aplikacije. Calif je s pomoću modela GPT‑5.6 Sol otkrio kritičan propust u sklopu naše inicijative Patch the Planet(otvara se u novom prozoru), a Wiz je također neovisno otkrio i prijavio obje ranjivosti. Tim za održavanje PHP-a vodio je izradu i objavu ispravaka, a naši timovi i partneri poput Wiza, Cloudflarea i drugih pridonijeli su istraživanjem, tehničkom podrškom i koordinacijom kako bi zaštita bila spremna prije javne objave ranjivosti.
Organizacijama koje upotrebljavaju PHP sada je prioritet primjena ispravaka. Objavljujemo alat za provjeru verzije PHP-a kao vještinu za Codex(otvara se u novom prozoru) kako bismo administratorima pomogli prepoznati potencijalno ranjive verzije PHP-a i, uz smjernice PHP-a i svojih pružatelja usluga, utvrditi koja ažuriranja trebaju primijeniti.
S obzirom na ozbiljnost tih propusta i raširenost PHP-a, smatramo ovo jednim od sigurnosnih problema s najvećim posljedicama u novije vrijeme. To pokazuje kako umjetna inteligencija može otkriti sigurnosne propuste s posljedicama na razini interneta, ali iste sposobnosti mogu i napadačima pomoći da brzo razviju alate za napade i iskorištavanje ranjivosti.
Koliko nam je poznato, granična umjetna inteligencija otkrila je te ranjivosti prije napadača i tako otvorila prostor za djelovanje branitelja, u kojem timovi za održavanje i pružatelji sigurnosnih usluga mogu pripremiti ispravke i zaštitu prije javne objave.
Kako bismo većem broju branitelja omogućili upotrebu tih sposobnosti, izdvojili smo milijardu dolara za subvencionirani pristup Daybreaku putem programa Daybreak za branitelje na prvoj crti, usmjerenog na organizacije koje štite ključne usluge uz ograničene sigurnosne resurse.
Koliko god bile ozbiljne, te su pogreške tek dio značajnih ranjivosti koje smo već pronašli i radimo na njihovu otklanjanju, a očekujemo da će broj sličnih otkrića naglo porasti u idućim mjesecima. Na temelju dosadašnjeg iskustva predlažemo pristup odgovoru na kritične ranjivosti u široko korištenom softveru, primjeren eri umjetne inteligencije, te pozivamo sigurnosnu zajednicu da pomogne unaprijediti taj okvir. On povezuje naše modele, sigurnosnu stručnost i timove za održavanje kako bi se otkrića pretvorila u zaštitu i uspostavio odgovor koji može pratiti napredak sposobnosti umjetne inteligencije.
Primjena ispravka može zahtijevati prilagodbu starijim izdanjima, pripremu zaštitnih mjera kod pružatelja usluga i ažuriranje sustava u brojnim organizacijama. Ponovljiv postupak pomaže tim timovima brzo djelovati kako se otkrivaju nove ranjivosti.
Putem inicijative Patch the Planet pružili smo sigurnosnu stručnost i pristup modelima kao podršku odgovoru na ranjivosti PHP-a te surađivali s timom za održavanje i istraživačkim partnerima na testiranju ispravaka i pripremi smjernica. Pomogli smo i u koordinaciji zaštite pogođenih sustava s pružateljima infrastrukture te uključili državne agencije za kibernetičku sigurnost kako bi smjernice doprle do ključnih organizacija. Time smo podržali odgovor koji je vodio tim za održavanje i pomogli drugim braniteljima da se pripreme.
Kod nekih otkrića istraživači mogu izravno surađivati s timom za održavanje softvera kako bi istražili problem i razvili ispravak. Druga zahtijevaju širi odgovor jer utječu na mnogo proizvoda ili zato što distributerima i pružateljima usluga treba vremena za pripremu ažuriranja i zaštite. Tog vremena može biti malo ako granične sposobnosti nisu znatno ispred onih široko dostupnih. U takvim slučajevima predloženi okvir može pomoći timovima za održavanje da utvrde koga treba uključiti i koordiniraju rad. Odgovor može obuhvaćati pet faza:
Potvrditi i otkloniti ranjivost u izvornom projektu. Tim za održavanje, istraživači i ključni tehnički partneri potvrđuju nalaz, procjenjuju njegov utjecaj te razvijaju i testiraju ispravak. Taj postupak uključuje testiranje iz perspektive napadača s pomoću graničnih modela radi pronalaženja načina zaobilaženja zakrpe i srodnih varijanti ranjivosti.
Dati pogođenim organizacijama vremena za djelovanje. Predlažemo okvir za procjenu kojim organizacijama trebaju informacije unaprijed da bi pripremile zaštitu, dok timovi za održavanje odlučuju koga uključiti. Pomažemo u uspostavi kontakata, sporazumima o razmjeni informacija i koordinaciji među timovima. Distributer može prilagoditi ispravak starijem izdanju, pružatelj usluga hostinga testirati mjeru ublažavanja rizika, a pružatelj sigurnosnih usluga pripremiti mjere otkrivanja ili sprječavanja napada, uključujući pravila vatrozida za web-aplikacije (WAF).
Koordinirati rad s državnim partnerima radi zaštite kritičnih sustava. Državne agencije imaju ključnu ulogu u koordinaciji šireg odgovora i širenju sigurnosnih smjernica među organizacijama odgovornima za kritičnu infrastrukturu i druge ključne usluge. U slučaju PHP-a zajedno s partnerima radili smo na uključivanju više tijela američke vlade, među njima tima Bijele kuće za superinteligenciju (Super Intelligence Force), Ureda nacionalnog direktora za kibernetičku sigurnost (ONCD) i Agencije za kibernetičku i infrastrukturnu sigurnost (CISA), kao i međunarodnih partnera, radi podrške tom nastojanju.
Pripremiti ažuriranja za pogođene proizvode. Kad ispravak, smjernice i planovi objave budu dovoljno razrađeni, timovi za održavanje mogu uključiti dodatne distributere, pružatelje hostinga i drugih usluga, timove za odgovor na incidente i administratore radi pripreme ažuriranja i uklanjanja praznina u zaštiti.
Kad zakrpa bude dostupna, objaviti smjernice i podržati primjenu. Javne smjernice pomažu korisnicima procijeniti izloženost, pronaći službena ažuriranja ili privremene mjere ublažavanja rizika te provjeriti je li ispravak aktivan. Odgovor se nastavlja dok administratori primjenjuju ažuriranja i javljaju gdje im treba pomoć.
Predloženi okvir uzima u obzir zaštitnu ulogu organizacije, uključujući zaštitu vlastitih sustava i korisnika, vrijeme potrebno za djelovanje i sposobnost postupanja s osjetljivim informacijama. Isti bi kriteriji vrijedili za usporedive organizacije, a timovi za održavanje odlučivali bi koga uključiti prije javne objave.
Svaki sudionik dobiva informacije potrebne za provedbu zaštite, od mrežnih zapisnika s pokazateljima kompromitacije do osjetljivijeg funkcionalnog koda koji dokazuje mogućnost iskorištavanja ranjivosti. Čak i ograničeni detalji mogu otkriti ranjivost, pa rizik njihova dijeljenja odvagujemo u odnosu na zaštitu koju omogućuju.
Timovi koji slijede taj okvir surađivali bi s timovima za održavanje kako bi braniteljima dali vremena za pripremu i preispitali rokove ako dođe do aktivnog iskorištavanja ranjivosti u stvarnim napadima, curenja informacija, javne zakrpe koja otkriva ranjivost ili povećanog rizika za korisnike zbog zastoja u sanaciji.
Web-stranica inicijative Patch the Planet(otvara se u novom prozoru) objedinjuje javne objave i smjernice kako bi administratori lakše prepoznali pogođene sustave, pronašli odgovarajuće ažuriranje i provjerili radi li ažurirani softver ispravno. Za PHP upućuje na službenu zakrpu i upute za nadogradnju koje je objavio tim za održavanje te na tehnička istraživanja naših partnera. Smjernice obuhvaćaju i privremene mjere ublažavanja rizika, situacije u kojima treba uključiti pružatelja usluga ili stručnjaka te sigurnosno kopiranje i oporavak. Privremena zaštita može smanjiti rizik, no jasno ćemo navesti njezina ograničenja i kompromise koje zahtijeva u radu.
Administratori mogu primijeniti smjernice CISA-e o određivanju prioriteta i sanaciji(otvara se u novom prozoru) kako bi procijenili koliko brzo trebaju djelovati s obzirom na izloženost, iskorištavanje ranjivosti i moguće posljedice. To može značiti hitnu primjenu zakrpe, trenutačno ublažavanje rizika ili planirano ažuriranje, uz forenzičku trijažu kada je opravdana kako bi se procijenilo jesu li sustavi već kompromitirani. Prioritete treba preispitivati kako se okolnosti mijenjaju, uz jasan plan za trajno otklanjanje problema.
Globalna koordinacija ovisi o ljudima koji održavaju softver. Mnoge projekte vode mali timovi koji uz redoviti razvoj pregledavaju i sigurnosne prijave. Tim timovima treba pomoć pri razlikovanju novih problema od ponovljenih prijava, procjeni utjecaja i testiranju ispravaka u svim podržanim izdanjima. Taj rad podržavamo financiranjem, pristupom sposobnim modelima i praktičnom inženjerskom pomoći.
Moćne sposobnosti umjetne inteligencije napreduju u cijeloj industriji i očekujemo da će umjetna inteligencija sve više pomagati braniteljima u pronalaženju ranjivosti, nadzoru sustava i odgovoru na prijetnje. Ulažemo u modele, alate i partnerstva kako bismo braniteljima pomogli iskoristiti te sposobnosti.
Naša ulaganja uključuju pretplate za sve koji održavaju softver putem programa Codex za OSS te izravno sponzoriranje projekata poput zaklade Rust(otvara se u novom prozoru) za podršku timovima za održavanje i tehničkom radu. Svaki projekt određuje vlastite prioritete. Višekratno primjenjivi testovi i sigurnosni radni procesi mogu smanjiti trud potreban za obradu budućih otkrića. Projekti otvorenog koda mogu se prijaviti u inicijativu Patch the Planet(otvara se u novom prozoru) za praktičnu podršku.
Također podešavamo dodatne klasifikatore za blokiranje u Daybreaku kako bismo smanjili mogućnost zloupotrebe. To zahtijeva teške kompromise: zaštitne mjere namijenjene sprječavanju zloupotrebe mogu blokirati i legitiman sigurnosni rad. I širok pristup sposobnim modelima i učinkovita zaštita od zloupotrebe od ključne su važnosti. Cilj nam je očuvati sposobnosti koje braniteljima trebaju za pronalaženje i otklanjanje ranjivosti, uz ograničavanje štetne upotrebe. Nastavit ćemo prilagođavati tu ravnotežu kako sposobnosti napreduju i kako učimo iz načina upotrebe tih alata.
Kako modeli postaju sposobniji, mogućnosti nadilaze pronalaženje i otklanjanje pojedinačnih ranjivosti. Želimo pomoći inženjerima da od samog početka razvijaju sigurniji softver. Poboljšanja široko korištene komponente mogu spriječiti pogreške ili ograničiti njihove posljedice u brojnim proizvodima i uslugama.
Umjetna inteligencija može pomoći inženjerima razumjeti postojeći kod, pripremiti izmjene i razviti testove, dok timovi za održavanje i sigurnosni stručnjaci provjeravaju čuvaju li te izmjene ponašanje na koje se korisnici oslanjaju. Prilike vidimo u nekoliko područja:
Siguran kod od samog početka. Modeli za programiranje mogu pomoći programerima odabrati sigurnije zadane postavke, pravilno upotrebljavati sigurnosne biblioteke i prepoznati rizične obrasce tijekom pisanja koda. Sprječavanje ranjivosti tijekom razvoja znači manje hitnih ispravaka za timove za održavanje i korisnike.
Softver sa sigurnim upravljanjem memorijom. Prebacivanje kritičnih komponenti na jezike sa sigurnim upravljanjem memorijom može ukloniti uobičajene kategorije memorijskih pogrešaka. Umjetna inteligencija može pomoći pri migracijama, uz testove i stručni pregled radi provjere ponašanja i kompatibilnosti.
Formalna verifikacija. Matematički dokazi mogu pokazati da kritične komponente zadovoljavaju određena sigurnosna svojstva uz navedene pretpostavke. Primjena tih metoda na široko korištene komponente mogla bi pomoći isključiti cijele kategorije ranjivosti u uslugama i kritičnoj infrastrukturi koje o njima ovise.
Snažnija izolacija. Sustave treba zaštititi od ranjivosti koje još nisu pronađene ili otklonjene. Pokretanje softvera koji obrađuje nepouzdane datoteke, slike ili medijske sadržaje u strogo ograničenim izoliranim okruženjima može ograničiti štetu ako taj softver bude kompromitiran. Umjetna inteligencija može pomoći inženjerima testirati i ojačati široko korištene tehnologije izoliranog izvršavanja te tako poboljšati zaštitu u brojnim aplikacijama.
Predstavljamo svoj pristup kako bi timovi za održavanje, istraživači, timovi za odgovor na incidente, pružatelji usluga i administratori pomogli učiniti ga primjenjivim u praksi. Želimo razumjeti gdje bi bio koristan, gdje bi mogao uzrokovati kašnjenje ili dodatno opterećenje te što smo propustili. Posebno bi nam koristili primjeri iz prijašnjih objava ranjivosti.
Posebno nas zanima sljedeće:
Rokovi za objavu ranjivosti. Koliko vremena timovima za održavanje, administratorima i braniteljima treba za pripremu i primjenu pouzdanih ispravaka? Koji bi dokazi trebali potaknuti raniju objavu, osobito kada se neke korisnike može zaštititi prije drugih?
Hitna primjena zakrpa. Kada bi, ako uopće, državna tijela ili drugi upravitelji sustava trebali iskoristiti ranjivost za primjenu zakrpa na sustavima koje posjeduju ili kojima su ovlašteni upravljati nakon gubitka administratorskog pristupa? Koje bi zaštitne mjere trebale vrijediti? Možemo zamisliti budućnost u kojoj se cijeli internet neprekidno skenira u potrazi za poznatim ranjivostima, a kada se neka otkrije, obavještava se vlasnika web-stranice ili se na sustav primjenjuje zakrpa.
Rano obavještavanje. Kome treba upozorenje unaprijed kako bi mogao poduzeti korisne zaštitne mjere, uključujući branitelje koje bismo mogli previdjeti? Kada je postupno obavještavanje učinkovitije od obavještavanja šire skupine odjednom i kako odvagnuti obuhvat zaštite u odnosu na rizik curenja informacija?
Softverski paketi sigurni po zadanim postavkama. Kako možemo pomoći prepoznati i otkloniti ranjivosti u izvedenim paketima dok se čekaju ispravci u izvornom projektu ili prilagoditi ispravke starijim verzijama koje više ne primaju sigurnosna ažuriranja? Kakvi bi testiranje i održavanje učinili te pakete pouzdanim opcijama kada pravodobna nadogradnja nije izvediva?
Dobrodošle su i preporuke neovisnih sigurnosnih stručnjaka koji mogu ocijeniti pristup, preispitati njegove pretpostavke i uočiti nedostatke. Vaši će nam prijedlozi pomoći doraditi odgovor i odrediti prioritete za podršku. Ovdje podijelite svoje povratne informacije(otvara se u novom prozoru).
