Katika miezi miwili iliyopita, tuliongoza muungano wa watunzaji wa programu, watafiti na watoa huduma za usalama kushughulikia udhaifu hatari katika PHP, lugha ya programu huria inayotumika kuendesha tovuti na programu za wavuti. Calif iligundua dosari hatari kwa kutumia GPT‑5.6 Sol chini ya mpango wetu wa Patch the Planet(fungua katika dirisha jipya). Wiz pia iligundua na kuripoti udhaifu huo wote wawili kwa kujitegemea. Watunzaji wa PHP waliongoza urekebishaji na utoaji wa toleo jipya. Timu zetu na washirika kama Wiz, Cloudflare na wengine walichangia utafiti, usaidizi wa kiufundi na uratibu ili kuandaa ulinzi kabla ya taarifa kuwekwa hadharani.
Kwa mashirika yanayotumia PHP, kipaumbele sasa ni kusakinisha marekebisho. Tunatoa kikagua matoleo ya PHP kama ujuzi wa Codex(fungua katika dirisha jipya) ili kuwasaidia waendeshaji kutambua matoleo ya PHP yanayoweza kuwa hatarini na, kwa kufuata pia mwongozo wa PHP na watoa huduma wao, kubaini masasisho yanayofaa.
Kwa kuzingatia uzito wa dosari hizi na matumizi makubwa ya PHP, tunalichukulia hili kuwa mojawapo ya masuala ya usalama yenye athari kubwa zaidi katika miaka ya karibuni. Linaonyesha jinsi AI inavyoweza kugundua dosari za usalama zenye athari kote mtandaoni, lakini uwezo huohuo unaweza pia kuwasaidia washambuliaji kutengeneza haraka zana za mashambulizi na za kutumia udhaifu huo.
Kwa ufahamu wetu, AI ya kiwango cha juu iligundua udhaifu huu kabla ya washambuliaji, na kufungua Fursa ya Watetezi kwa watunzaji na watoa huduma za usalama kuandaa marekebisho na ulinzi kabla ya taarifa kuwekwa hadharani.
Ili kusaidia watetezi zaidi kutumia uwezo huu, tumeahidi dola bilioni 1 kufadhili matumizi ya Daybreak kupitia Daybreak kwa Watetezi wa Mstari wa Mbele, tukilenga mashirika yenye rasilimali chache za usalama yanayolinda huduma muhimu.
Licha ya uzito wake, dosari hizi ni miongoni mwa udhaifu kadhaa mkubwa ambao tayari tumegundua na tunaushughulikia. Tunatarajia ugunduzi kama huu kuongezeka sana katika miezi ijayo. Kwa kuzingatia uzoefu wetu hadi sasa, tunapendekeza mbinu inayofaa enzi ya AI ya kushughulikia udhaifu hatari katika programu zinazotumika sana. Tunaiomba jumuiya ya usalama kusaidia kuboresha mfumo huu. Unaunganisha miundo yetu, utaalamu wa usalama na watunzaji ili matokeo ya utafiti yazae ulinzi na kujenga mwitikio unaoweza kupanuka kadiri uwezo wa AI unavyoimarika.
Kutekeleza marekebisho kunaweza kuhitaji kuyabadilisha yafae matoleo ya zamani, kuandaa hatua za kupunguza hatari kwa watoa huduma, na kusasisha mifumo katika mashirika mengi. Utaratibu unaoweza kurudiwa huzisaidia timu hizo kuchukua hatua haraka udhaifu zaidi unapogunduliwa.
Kupitia Patch the Planet, tulitoa utaalamu wa usalama na ufikiaji wa miundo kusaidia juhudi za PHP. Pia tulishirikiana na watunzaji na washirika wa utafiti kujaribu marekebisho na kuandaa mwongozo. Pia tulisaidia kuratibu ulinzi wa mifumo iliyoathirika na watoa huduma za miundombinu, na kushirikisha mashirika ya serikali ya usalama wa mtandao ili mwongozo ufikie mashirika muhimu. Hili liliunga mkono juhudi zilizoongozwa na watunzaji na kusaidia watetezi wengine kujiandaa.
Kwa baadhi ya matokeo, watafiti wanaweza kushirikiana moja kwa moja na watunzaji wa programu kuchunguza tatizo na kuandaa marekebisho. Mengine yanahitaji hatua pana zaidi kwa sababu yanaathiri bidhaa nyingi, au wasambazaji na watoa huduma wanahitaji muda wa kuandaa masasisho na ulinzi. Muda huo unaweza kuwa mfupi ikiwa uwezo wa kiwango cha juu haujapita kwa mbali uwezo unaopatikana kwa wengi. Katika hali hizo, mfumo unaopendekezwa unaweza kuwasaidia watunzaji kutambua wanaohitaji kushirikishwa na kuratibu kazi. Hatua za kukabiliana na tatizo zinaweza kugawanywa katika awamu tano:
Thibitisha na urekebishe udhaifu katika programu asili. Mtunzaji, watafiti na washirika muhimu wa kiufundi huthibitisha matokeo, kutathmini athari zake, na kuandaa na kujaribu marekebisho. Utaratibu huu unajumuisha majaribio ya kuiga mashambulizi kwa kutumia miundo ya kiwango cha juu kutafuta njia za kukwepa kiraka na aina nyingine zinazohusiana na udhaifu huo.
Yape mashirika yaliyoathirika muda wa kuchukua hatua. Tunapendekeza mfumo wa kubaini mashirika yanayohitaji taarifa mapema ili kuandaa ulinzi, huku watunzaji wakiamua watakaoshirikishwa. Tunasaidia kuwasiliana na wahusika, kuandaa makubaliano ya kushiriki taarifa, na kuratibu timu. Msambazaji anaweza kubadili marekebisho yafae toleo la zamani, mtoa huduma za uhifadhi akajaribu hatua ya kupunguza hatari, na mtoa huduma za usalama akaandaa njia za kugundua au kuzuia mashambulizi, ikiwemo sheria za ngome ya programu za wavuti (WAF).
Shirikiana na washirika serikalini kusaidia kulinda mifumo muhimu. Mashirika ya serikali yana jukumu muhimu la kuratibu hatua pana zaidi na kusaidia mwongozo wa usalama kuyafikia mashirika yanayosimamia miundombinu muhimu na huduma nyingine za lazima. Kwa PHP, tulishirikiana na washirika wetu kushirikisha sehemu kadhaa za serikali ya Marekani, zikiwemo Kikosi cha Akili ya Hali ya Juu cha Ikulu ya Marekani, Ofisi ya Mkurugenzi wa Kitaifa wa Usalama wa Mtandao (ONCD), Wakala wa Usalama wa Mtandao na Miundombinu (CISA), pamoja na washirika wa kimataifa kusaidia juhudi hizo.
Andaa masasisho kwa bidhaa zote zilizoathirika. Marekebisho, mwongozo na mipango ya kutoa taarifa zinapotulia, watunzaji wanaweza kushirikisha wasambazaji zaidi, watoa huduma za uhifadhi na huduma nyingine, timu za kukabiliana na matukio, na waendeshaji ili kuandaa masasisho na kuziba mapengo ya ulinzi.
Kiraka kinapopatikana, chapisha mwongozo na usaidie utekelezaji. Mwongozo wa umma husaidia watu kutathmini kiwango cha hatari, kupata masasisho rasmi au hatua za muda za kupunguza hatari, na kuthibitisha kuwa marekebisho yanafanya kazi. Juhudi huendelea waendeshaji wanaposakinisha masasisho na kuripoti wanapohitaji msaada.
Mfumo unaopendekezwa huzingatia jukumu la shirika katika ulinzi, ikiwemo kulinda mifumo na wateja wake, muda unaohitajika kuchukua hatua, na uwezo wake wa kushughulikia taarifa nyeti. Vigezo hivyo hivyo vingetumika kwa mashirika yanayolingana, huku watunzaji wakiamua watakaoshirikishwa kabla ya taarifa kuwekwa hadharani.
Kila mshiriki hupokea taarifa anazohitaji kwa kazi yake ya ulinzi, kuanzia kumbukumbu za mtandao zenye viashiria vya uvamizi hadi zana nyeti zaidi zinazofanya kazi kuthibitisha uwezekano wa kutumia udhaifu kushambulia. Hata maelezo machache yanaweza kufichua udhaifu, hivyo tunapima hatari ya kuyashiriki dhidi ya ulinzi unaowezeshwa nayo.
Timu zinazofuata mfumo huu zingeshirikiana na watunzaji kuwapa watetezi muda wa kujiandaa na kutathmini upya ratiba ikiwa udhaifu unatumiwa katika mashambulizi halisi, taarifa zimevuja, kiraka cha umma kimefichua udhaifu, au ucheleweshaji wa marekebisho umeongeza hatari kwa watumiaji.
Tovuti ya Patch the Planet(fungua katika dirisha jipya) hukusanya taarifa za umma na mwongozo ili kusaidia waendeshaji kutambua mifumo iliyoathirika, kupata sasisho linalofaa, na kuthibitisha kuwa programu iliyosasishwa inafanya kazi ipasavyo. Kwa PHP, inaelekeza kwenye kiraka rasmi na maagizo ya kusasisha kutoka kwa watunzaji, pamoja na utafiti wa kiufundi wa washirika wetu. Mwongozo pia unahusu hatua za muda za kupunguza hatari, wakati wa kushirikisha mtoa huduma au mtaalamu, na kuhifadhi nakala rudufu na kurejesha mifumo. Ulinzi wa muda unaweza kupunguza hatari, lakini tutaweka wazi mipaka yake na athari zake kwa uendeshaji.
Waendeshaji wanaweza kutumia mwongozo wa CISA wa vipaumbele na urekebishaji(fungua katika dirisha jipya) kutathmini uharaka wa hatua kulingana na uwezekano wa kuvamiwa, matumizi ya udhaifu katika mashambulizi, na athari zinazoweza kutokea. Hilo linaweza kuhitaji viraka vya dharura, hatua za haraka za kupunguza hatari, au sasisho lililopangwa, pamoja na uchunguzi wa awali wa kidijitali inapofaa ili kubaini kama mifumo tayari imevamiwa. Vipaumbele vinapaswa kutathminiwa upya hali zinapobadilika, kukiwa na njia wazi ya kufikia suluhisho la kudumu.
Uratibu wa kimataifa unategemea watu wanaotunza programu. Miradi mingi inaendeshwa na timu ndogo zinazopitia ripoti za usalama sambamba na kazi za kawaida za uundaji. Timu hizo zinahitaji msaada kutofautisha matatizo mapya na yale yaliyoripotiwa awali, kutathmini athari, na kujaribu marekebisho katika matoleo yanayopokea usaidizi. Tunaunga mkono kazi hiyo kwa ufadhili, ufikiaji wa miundo yenye uwezo mkubwa, na msaada wa moja kwa moja wa kiuhandisi.
Uwezo mkubwa wa AI unaendelea kuimarika katika sekta nzima, na tunatarajia AI kuwa na jukumu kubwa zaidi la kuwasaidia watetezi kugundua udhaifu, kufuatilia mifumo na kukabiliana na vitisho. Tunawekeza katika miundo, zana na ushirikiano ili kusaidia watetezi kutumia uwezo huo.
Uwekezaji wetu unajumuisha usajili kwa watunzaji wote kupitia Codex kwa OSS na ufadhili wa moja kwa moja wa miradi kama Wakfu wa Rust(fungua katika dirisha jipya) kusaidia watunzaji na kazi za kiufundi. Kila mradi hujiwekea vipaumbele vyake. Majaribio na taratibu za usalama zinazoweza kutumika tena zinaweza kupunguza kazi inayohitajika kushughulikia ugunduzi wa baadaye. Miradi ya programu huria inaweza kutuma ombi kwa Patch the Planet(fungua katika dirisha jipya) kupata usaidizi wa moja kwa moja.
Pia tunarekebisha usahihi wa viainishi vya ziada vya kuzuia matumizi katika Daybreak ili kupunguza uwezekano wa matumizi mabaya. Hili linahitaji kusawazisha mambo magumu: kinga zinazolenga kuzuia matumizi mabaya zinaweza pia kuzuia kazi halali za usalama. Ufikiaji mpana wa miundo yenye uwezo mkubwa na kinga madhubuti dhidi ya matumizi mabaya ni muhimu kwa pamoja. Lengo letu ni kudumisha uwezo ambao watetezi wanahitaji kugundua na kurekebisha udhaifu, huku tukizuia matumizi yenye madhara. Tutaendelea kuboresha uwiano huo kadiri uwezo unavyoimarika na tunavyojifunza kutokana na matumizi ya zana hizi.
Kadiri miundo inavyopata uwezo mkubwa, fursa zinazidi kugundua na kurekebisha udhaifu mmoja mmoja. Tunataka kuwasaidia wahandisi kuunda programu salama zaidi tangu mwanzo. Kuboresha kipengele kinachotumika sana kunaweza kuzuia dosari au kupunguza athari zake katika bidhaa na huduma nyingi.
AI inaweza kusaidia wahandisi kuelewa msimbo uliopo, kuandaa mabadiliko na kuunda majaribio, huku watunzaji na wataalamu wa usalama wakithibitisha kuwa mabadiliko hayo yanadumisha utendaji ambao watumiaji wanategemea. Tunaona fursa katika maeneo kadhaa:
Msimbo salama tangu mwanzo. Miundo ya kuandika msimbo inaweza kusaidia wasanidi kuchagua mipangilio chaguomsingi iliyo salama zaidi, kutumia maktaba za usalama kwa usahihi, na kutambua mifumo hatarishi wanapoandika. Kuzuia udhaifu wakati wa uundaji hupunguza marekebisho ya dharura kwa watunzaji na watumiaji.
Programu zenye matumizi salama ya kumbukumbu. Kuhamishia vipengele muhimu kwenye lugha zenye matumizi salama ya kumbukumbu kunaweza kuondoa aina za kawaida za hitilafu za kumbukumbu. AI inaweza kusaidia uhamishaji huo, huku majaribio na ukaguzi wa wataalamu vikithibitisha utendaji na uoanifu.
Uthibitishaji rasmi. Uthibitisho wa kihisabati unaweza kuonyesha kuwa vipengele muhimu vinatimiza sifa maalumu za usalama chini ya dhana zilizowekwa. Kutumia mbinu hizi kwa vipengele vinavyotumika sana kunaweza kusaidia kuondoa aina nzima za udhaifu katika huduma na miundombinu muhimu inayovitegemea.
Utengaji madhubuti zaidi. Mifumo inahitaji ulinzi dhidi ya udhaifu ambao bado haujagunduliwa au kurekebishwa. Kuendesha programu zinazochakata faili, picha au midia isiyoaminika katika mazingira yaliyotengwa yenye vizuizi vikali kunaweza kupunguza madhara programu hizo zikivamiwa. AI inaweza kusaidia wahandisi kujaribu na kuimarisha teknolojia za utengaji zinazotumika sana, na hivyo kuboresha ulinzi katika programu nyingi.
Tunashiriki mbinu yetu ili watunzaji, watafiti, timu za kukabiliana na matukio, watoa huduma na waendeshaji wasaidie kuifanya iweze kutekelezeka. Tunataka kuelewa itasaidia wapi, inaweza kuongeza ucheleweshaji au mzigo wapi, na tumepuuza nini. Mifano ya matukio ya awali ya kuweka udhaifu hadharani itakuwa na manufaa hasa.
Tunavutiwa hasa na:
Muda wa kuweka taarifa hadharani. Watunzaji, waendeshaji na watetezi wanahitaji muda gani kuandaa na kutekeleza marekebisho yanayoaminika? Ni ushahidi gani unapaswa kusababisha taarifa kuwekwa hadharani mapema zaidi, hasa ikiwa baadhi ya watumiaji wanaweza kulindwa kabla ya wengine?
Kusakinisha viraka kwa dharura. Ni lini, kama kuna wakati unaofaa, serikali au waendeshaji wengine wanapaswa kutumia udhaifu kusakinisha viraka katika mifumo wanayomiliki au waliyoidhinishwa kusimamia, baada ya kupoteza ufikiaji wa kiutawala? Ni hatua zipi za usalama zinapaswa kutumika? Tunaweza kuwazia hali ya baadaye ambapo udhaifu unaojulikana unakaguliwa bila kukoma kote mtandaoni, na unapogunduliwa, wamiliki wa tovuti wanaarifiwa au mfumo unawekewa kiraka.
Taarifa ya mapema. Ni nani anayehitaji onyo la mapema ili kuchukua hatua yenye manufaa ya ulinzi, wakiwemo watetezi ambao huenda tukawasahau? Ni lini arifa za awamu zinafaa zaidi kuliko kuarifu kundi pana kwa wakati mmoja, na tunapaswa kupima vipi upana wa ulinzi dhidi ya hatari ya uvujaji?
Vifurushi vya programu vilivyo salama kwa chaguomsingi. Tunawezaje kusaidia kutambua na kurekebisha udhaifu katika vifurushi vinavyotegemea programu asili wakati marekebisho ya programu hizo bado yanasubiriwa, au kuhamishia marekebisho kwenye matoleo ya zamani yasiyopokea tena masasisho ya usalama? Ni majaribio na utunzaji gani unaoweza kufanya vifurushi hivi viwe chaguo la kuaminika wakati kusasisha kwa wakati hakuwezekani?
Pia tunakaribisha mapendekezo ya wataalamu huru wa usalama wanaoweza kukagua mbinu hii, kuhoji dhana zake na kutambua mapengo. Maoni yako yatatusaidia kuboresha hatua zetu na kuweka vipaumbele vya usaidizi. Shiriki maoni yako hapa(fungua katika dirisha jipya).
