Patch the Planet: globális fellépés az ügynökök által feltárt kritikus sérülékenységek ellen
Az elmúlt két hónapban karbantartókból, kutatókból és biztonsági szolgáltatókból álló összefogást vezettünk a weboldalak és webalkalmazások működtetésére használt nyílt forráskódú PHP programozási nyelv kritikus sérülékenységeinek javítására. A Calif a GPT‑5.6 Sol segítségével azonosított egy kritikus hibát a Patch the Planet(új ablakban nyílik meg) kezdeményezésünk keretében. A Wiz ettől függetlenül mindkét sérülékenységet felfedezte és jelentette. A javításokat és kiadásukat a PHP karbantartói irányították. Csapataink és partnereink – köztük a Wiz és a Cloudflare – kutatással, műszaki támogatással és koordinációval segítették a védelmi intézkedések előkészítését a nyilvánosságra hozatal előtt.
A PHP-t használó szervezetek legfontosabb feladata most a javítások telepítése. Codex-készségként közzéteszünk egy PHP-verzióellenőrzőt,(új ablakban nyílik meg) amellyel az üzemeltetők azonosíthatják a potenciálisan sérülékeny PHP-verziókat, és a PHP, valamint szolgáltatóik útmutatása alapján meghatározhatják a szükséges frissítéseket.
A hibák súlyossága és a PHP elterjedtsége miatt ezt az utóbbi évek egyik legnagyobb hatású biztonsági problémájának tartjuk. Ez rávilágít arra, hogy az MI az internet egészére kiható biztonsági hibákat tárhat fel, de ugyanezek a képességek a támadókat is segíthetik támadóeszközök és hibakihasználó kódok gyors fejlesztésében.
Tudomásunk szerint az élvonalbeli MI a támadók előtt találta meg ezeket a sérülékenységeket, időelőnyt adva a védőknek, hogy a karbantartók és biztonsági szolgáltatók még a nyilvánosságra hozatal előtt előkészítsék a javításokat és a védelmet.
Hogy több védelmi szakember használhassa e képességeket, 1 milliárd dollárt különítettünk el támogatott Daybreak-hozzáférésre a Daybreak for Frontline Defenders programban, elsősorban az alapvető szolgáltatásokat korlátozott biztonsági erőforrásokkal védő szervezetek számára.
Bármilyen jelentősek is ezek a hibák, csak néhányat jelentenek a már feltárt, javítás alatt álló súlyos sérülékenységek közül. A következő hónapokban a hasonló felfedezések számának meredek növekedésére számítunk. Eddigi tapasztalataink alapján egy, az MI korához illeszkedő megközelítést javaslunk a széles körben használt szoftverek kritikus sérülékenységeinek kezelésére, és a biztonsági közösség segítségét kérjük e keretrendszer továbbfejlesztéséhez. Modelljeinket, biztonsági szakértelmünket és a karbantartók munkáját egyesítve segít a felfedezéseket védelemmé alakítani, és az MI fejlődésével lépést tartó reagálást kialakítani.
Egy javítás bevezetéséhez szükség lehet a régebbi kiadásokhoz való igazítására, szolgáltatói kockázatcsökkentő intézkedések előkészítésére és számos szervezet rendszereinek frissítésére. Az ismételhető folyamat segíti e csapatok gyors fellépését, ahogy egyre több sérülékenységre derül fény.
A Patch the Planet keretében biztonsági szakértelemmel és modellhozzáféréssel támogattuk a PHP hibáinak kezelését, a karbantartókkal és kutatópartnerekkel pedig javításokat teszteltünk és útmutatást készítettünk. Segítettük az infrastruktúra-szolgáltatókkal való egyeztetést az érintett rendszerek védelméről, és kormányzati kiberbiztonsági szerveket vontunk be, hogy az útmutatás eljusson a kritikus fontosságú szervezetekhez. Ezzel támogattuk a karbantartók által vezetett fellépést és más védelmi szakemberek felkészülését.
Bizonyos felfedezéseknél a kutatók közvetlenül a szoftver karbantartóival vizsgálhatják ki a problémát és dolgozhatják ki a javítást. Máskor szélesebb körű fellépés kell, mert sok termék érintett, vagy a terjesztőknek és szolgáltatóknak időre van szükségük a frissítések és a védelem előkészítéséhez. Ebből kevés lehet, ha az élvonalbeli képességek nem sokkal előzik meg a széles körben elérhetőket. Ilyenkor a javasolt keretrendszer segíthet a karbantartóknak meghatározni, kiket kell bevonni, és összehangolni a munkát. A fellépés öt szakaszból állhat:
A sérülékenység igazolása és javítása az eredeti projektben. A karbantartó, a kutatók és a nélkülözhetetlen műszaki partnerek megerősítik a felfedezést, felmérik a hatását, majd kidolgozzák és tesztelik a javítást. Ennek része az élvonalbeli modellekkel végzett, támadásokat szimuláló tesztelés is, amely a javítás megkerülésének módjait és a sérülékenység rokon változatait keresi.
Idő biztosítása az érintett szervezeteknek a cselekvésre. Keretrendszert javaslunk annak mérlegelésére, mely szervezeteknek kell előzetes információ a védelem előkészítéséhez, de a karbantartók döntenek arról, kit vonnak be. Segítünk a kapcsolatfelvételben, az információmegosztási megállapodásokban és a csapatok közötti koordinációban. Egy terjesztő régebbi kiadáshoz igazíthatja a javítást, egy tárhelyszolgáltató kockázatcsökkentő megoldást tesztelhet, egy biztonsági szolgáltató pedig észlelési vagy megelőző intézkedéseket készíthet elő, például webalkalmazás-tűzfalak (WAF) szabályait.
Egyeztetés kormányzati partnerekkel a kritikus rendszerek védelméért. A kormányzati szervek nélkülözhetetlenek a szélesebb körű fellépés összehangolásában és abban, hogy a biztonsági útmutatás eljusson a kritikus infrastruktúráért és más alapvető szolgáltatásokért felelős szervezetekhez. A PHP esetében partnereinkkel együtt az amerikai kormány több szervét is igyekeztünk bevonni, köztük a Fehér Ház szuperintelligenciával foglalkozó munkacsoportját, a Nemzeti Kiberbiztonsági Igazgató Hivatalát (ONCD), a Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökséget (CISA), valamint nemzetközi partnereket.
Frissítések előkészítése az érintett termékekhez. Amint a javítás, az útmutatás és a közzétételi terv végleges formát ölt, a karbantartók további terjesztőket, tárhely- és egyéb szolgáltatókat, incidenskezelő csapatokat és üzemeltetőket vonhatnak be a frissítések előkészítésébe és a védelmi hiányosságok megszüntetésébe.
A javítás elkészültével útmutatás közzététele és a telepítés támogatása. A nyilvános útmutatás segít felmérni a kitettséget, megtalálni a hiteles forrásból származó frissítéseket vagy átmeneti védelmi megoldásokat, és ellenőrizni, hogy a javított verzió fut-e. A munka folytatódik, miközben az üzemeltetők telepítik a frissítéseket, és jelzik, hol van szükségük segítségre.
A javasolt keretrendszer figyelembe veszi a szervezet védelmi szerepét – saját rendszerei és ügyfelei védelmét is –, az intézkedéshez szükséges időt és az érzékeny információk kezelésére való felkészültségét. A hasonló szervezetekre ugyanazok a szempontok vonatkoznának; a karbantartók döntenék el, kit vonnak be a nyilvánosságra hozatal előtt.
Minden résztvevő megkapja a védelmi munkájához szükséges információkat, a behatolásra utaló jeleket tartalmazó hálózati naplóktól az érzékenyebb, a kihasználhatóságot bizonyító működő kódokig. Már kevés részlet is felfedhet egy sérülékenységet, ezért a megosztás kockázatát az általa lehetővé tett védelemmel együtt mérlegeljük.
A keretrendszert követő csapatok a karbantartókkal együtt időt biztosítanának a védők felkészülésére. Felülvizsgálnák az ütemtervet, ha éles támadás, kiszivárgás vagy a hibát felfedő nyilvános javítás történik, illetve ha az elakadt hibaelhárítás növeli a felhasználók kockázatát.
A Patch the Planet weboldala(új ablakban nyílik meg) egybegyűjti a nyilvános közleményeket és útmutatókat, hogy az üzemeltetők azonosíthassák az érintett rendszereket, megtalálják a megfelelő frissítést, és ellenőrizhessék a frissített szoftver helyes működését. A PHP esetében a karbantartók hivatalos javítására és frissítési útmutatójára, valamint partnereink műszaki kutatásaira hivatkozik. Az útmutatás kitér az átmeneti védelemre, a szolgáltató vagy szakértő bevonásának szükségességére, valamint a biztonsági mentésre és helyreállításra is. Az átmeneti védelem csökkentheti a kockázatot, de világossá tesszük a korlátait és az üzemeltetési kompromisszumokat.
Az üzemeltetők a CISA prioritásokról és hibaelhárításról szóló útmutatása(új ablakban nyílik meg) alapján mérhetik fel, milyen gyorsan kell cselekedniük a kitettség, a kihasználás és a lehetséges hatás függvényében. Ez jelenthet sürgősségi javítást, azonnali kockázatcsökkentést vagy tervezett frissítést, indokolt esetben kezdeti digitális forenzikai vizsgálattal kiegészítve annak felmérésére, történt-e már behatolás. A körülmények változásával a prioritásokat újra kell értékelni, egyértelmű utat kijelölve a tartós megoldáshoz.
A globális koordináció a szoftvereket karbantartó embereken múlik. Sok projektet kis csapatok működtetnek, amelyek a mindennapi fejlesztés mellett vizsgálják a biztonsági bejelentéseket. E csapatoknak segítség kell az új és az ismétlődő bejelentések elkülönítéséhez, a hatások felméréséhez és a javítások teszteléséhez a támogatott kiadásokban. Ezt a munkát finanszírozással, nagy képességű modellekhez való hozzáféréssel és közvetlen mérnöki segítséggel támogatjuk.
Az egész iparágban fejlődnek a nagy teljesítményű MI-képességek. Arra számítunk, hogy az MI egyre fontosabb szerepet játszik a védők támogatásában a sérülékenységek feltárásakor, a rendszerek felügyeletében és a fenyegetések kezelésében. Modellekbe, eszközökbe és partnerségekbe fektetünk, hogy a védelmi szakemberek hasznosíthassák ezeket a képességeket.
Támogatásaink részeként minden karbantartónak előfizetést biztosítunk a Codex for OSS programban, és közvetlenül támogatjuk például a Rust Foundation(új ablakban nyílik meg) tevékenységét, a karbantartókat és a műszaki munkát segítve. Minden projekt maga határozza meg a prioritásait. Az újrafelhasználható tesztek és biztonsági munkafolyamatok csökkenthetik a későbbi felfedezések kezelésének munkaigényét. A nyílt forráskódú projektek jelentkezhetnek a Patch the Planet programba(új ablakban nyílik meg) közvetlen szakmai támogatásért.
Emellett további blokkoló osztályozókat hangolunk a Daybreakhez, hogy csökkentsük a visszaélés lehetőségét. Ez nehéz kompromisszumokkal jár: a visszaélést megelőző védelmi intézkedések a jogszerű biztonsági munkát is blokkolhatják. A nagy képességű modellek széles körű hozzáférhetősége és a visszaélések elleni hatékony védelem egyaránt kulcsfontosságú. Célunk, hogy a káros felhasználás korlátozása mellett megőrizzük a védők számára a sérülékenységek feltárásához és javításához szükséges képességeket. A képességek fejlődésével és az eszközök használatából szerzett tapasztalatok alapján tovább finomítjuk ezt az egyensúlyt.
A modellek fejlődésével a lehetőségek már túlmutatnak az egyes sérülékenységek feltárásán és javításán. Szeretnénk segíteni a mérnököknek abban, hogy már a kezdetektől biztonságosabb szoftvereket építsenek. Egy széles körben használt komponens fejlesztése számos termékben és szolgáltatásban megelőzheti a hibákat vagy korlátozhatja hatásukat.
Az MI segíthet a mérnököknek megérteni a meglévő kódot, előkészíteni a módosításokat és teszteket fejleszteni. Eközben a karbantartók és biztonsági szakértők ellenőrzik, hogy a változtatások megőrzik-e a felhasználók által elvárt működést. Több területen is látunk lehetőségeket:
Biztonságos kód a kezdetektől. A programozási modellek segíthetnek biztonságosabb alapbeállításokat választani, helyesen használni a biztonsági könyvtárakat, és már kódírás közben felismerni a kockázatos mintákat. A sérülékenységek fejlesztés közbeni megelőzése kevesebb sürgősségi javítást jelent a karbantartóknak és a felhasználóknak.
Memóriabiztos szoftverek. A kritikus komponensek memóriabiztos nyelvekre való átültetése kiküszöbölheti a memóriahibák gyakori osztályait. Az MI segítheti az átállást, tesztekkel és szakértői felülvizsgálattal ellenőrizve a működést és a kompatibilitást.
Formális verifikáció. Matematikai bizonyításokkal igazolható, hogy a kritikus komponensek adott feltételezések mellett teljesítik az előírt biztonsági tulajdonságokat. E módszerek széles körben használt komponensekre alkalmazva sérülékenységi osztályokat zárhatnának ki az azokra épülő szolgáltatásokban és kritikus infrastruktúrában.
Erősebb elkülönítés. A rendszereket a még fel nem tárt vagy ki nem javított sérülékenységekkel szemben is védeni kell. A nem megbízható fájlokat, képeket vagy médiatartalmakat feldolgozó szoftverek szigorúan korlátozott, elkülönített környezetben való futtatása mérsékelheti a kárt sikeres támadás esetén. Az MI segíthet a mérnököknek tesztelni és megerősíteni a széles körben használt elkülönítési technológiákat, számos alkalmazás védelmét javítva.
Azért osztjuk meg megközelítésünket, hogy a karbantartók, kutatók, incidenskezelő csapatok, szolgáltatók és üzemeltetők segíthessenek azt a gyakorlatban is működőképessé tenni. Szeretnénk megérteni, hol segítene, hol okozhatna késedelmet vagy többletterhet, és mit hagytunk figyelmen kívül. Különösen hasznosak lennének a korábbi nyilvánosságra hozatalokból vett példák.
Különösen az alábbiak érdekelnek minket:
A nyilvánosságra hozatal időzítése. Mennyi időre van szükségük a karbantartóknak, üzemeltetőknek és védelmi szakembereknek a megbízható javítások előkészítéséhez és telepítéséhez? Milyen bizonyítékok indokolják a korábbi közzétételt, különösen akkor, ha egyes felhasználók hamarabb védhetők meg, mint mások?
Sürgősségi javítás. Indokolt lehet-e, és ha igen, mikor, hogy kormányzatok vagy más üzemeltetők egy sérülékenységet kihasználva javítsák a tulajdonukban álló vagy jogszerűen kezelt rendszereket, miután elvesztették a rendszergazdai hozzáférést? Milyen biztosítékokra lenne szükség? Elképzelhetőnek tartjuk, hogy végül az internet egészén folyamatosan keresik majd az ismert sérülékenységeket, és találat esetén értesítik a webhely tulajdonosát, vagy javítják a rendszert.
Előzetes értesítés. Kinek van szüksége előzetes figyelmeztetésre ahhoz, hogy érdemi védelmi lépést tehessen – beleértve azokat a védőket is, akikről esetleg megfeledkezünk? Mikor hatékonyabb a szakaszos értesítés egy szélesebb kör egyidejű tájékoztatásánál, és hogyan mérlegeljük a lefedettséget a kiszivárgás kockázatával szemben?
Alapértelmezés szerint biztonságos szoftvercsomagok. Hogyan segíthetünk feltárni és javítani a származtatott csomagok sérülékenységeit, amíg az eredeti projekt javításai elkészülnek, vagy átültetni a javításokat olyan régebbi verziókra, amelyek már nem kapnak biztonsági frissítéseket? Milyen tesztelés és karbantartás tenné e csomagokat megbízható alternatívává, ha nem lehetséges időben újabb verzióra váltani?
Szívesen fogadunk ajánlásokat olyan független biztonsági szakértőkre is, akik felülvizsgálhatják a megközelítést, megkérdőjelezhetik a feltevéseit és feltárhatják hiányosságait. Visszajelzése segít finomítani a reagálási folyamatot és meghatározni a támogatás prioritásait. Itt oszthatja meg visszajelzését(új ablakban nyílik meg).
