Svet panikári, weby sa hromadne vypínajú. Čo je to PHP a prečo kvôli nemu čelíme obrovskej kybernetickej hrozbe?
Možno ste o PHP ešte nikdy nepočuli, no pravdepodobne ste sa s ním stretli aj dnes. Programovací jazyk totiž stojí v pozadí veľkej časti internetu. Teraz sa v ňom však objavili vážne bezpečnostné chyby. Vývojári vydali opravu a úrady po celom svete vyzývajú prevádzkovateľov webov, aby si ju čo najskôr nainštalovali.
Ak si otvoríte Wikipédiu, internetový obchod alebo množstvo bežných webových stránok, je veľká šanca, že ich fungovanie sa aspoň sčasti opiera o PHP. Ide o programovací jazyk, ktorý sa používa na tvorbu webov už od začiatku 21. storočia a dodnes patrí medzi najrozšírenejšie technológie na internete.
Práve preto vyvolalo odhalenie jeho bezpečnostných nedostatkov takú pozornosť. Ako informoval britský portál BBC, na problémy upozornili výskumníci bezpečnostných spoločností Calif a Wiz s pomocou pokročilých nástrojov umelej inteligencie. Podľa spoločnosti Wiz ide o jedny z najzávažnejších zraniteľností, aké sa podarilo umelej inteligencii odhaliť.
PHP je skryté v pozadí webov
PHP si možno predstaviť ako jednu z technológií, ktorá pracuje na pozadí webovej stránky. Keď si napríklad otvoríte Wikipédiu, PHP môže zabezpečovať spracovanie údajov potrebných na to, aby sa vám zobrazila požadovaná stránka.
Používateľ pritom väčšinou vôbec netuší, že sa s PHP stretáva. Jazyk je súčasťou technického zázemia množstva služieb vrátane Wikipédie či systému WordPress, na ktorom fungujú milióny webových stránok.
Problémom je, že objavené chyby môžu útočníkovi za určitých podmienok umožniť dostať sa k webovému serveru bez toho, aby sa musel najskôr prihlásiť. Následne by mohol získať prístup k citlivým údajom alebo k databázam, ktoré sa za stránkou nachádzajú.
Bezpečnostný výskumník Paul Spain pre BBC upozornil, že potenciálny rozsah problému môže byť obrovský. Zraniteľnosť podľa neho môže zasiahnuť „milióny a milióny“ webových stránok.
Neznamená to však, že všetky tieto stránky boli napadnuté. Riziko sa týka predovšetkým systémov, ktoré používajú zraniteľné verzie PHP a ich prevádzkovatelia ich nestihnú aktualizovať.
Niektoré organizácie weby radšej vypli
Po zverejnení informácií o zraniteľnostiach začali reagovať organizácie v rôznych krajinách. Niektoré z nich svoje webové stránky dočasne odstavili, aby znížili riziko prípadného útoku.
Preventívne svoje systémy obmedzila napríklad Wikimedia, organizácia stojaca za Wikipédiou. Dočasne boli nedostupné aj niektoré stránky fínskej vlády, samosprávy v Edinburghu či švajčiarskej Ženevskej univerzity. Opatrenia prijali aj ďalšie verejné organizácie v Spojenom kráľovstve.
K preventívnym opatreniam sa pripojilo aj Slovensko, ktoré dočasne v stredu (21. 10.) večer odstavilo weby Ministerstva vnútra (MV) SR, Centrálneho registra zmlúv (CRZ), Centrálneho registra projektov (CRP), mirri.gov.sk a eurofondy.gov.sk. Svoj web preventívne odstavila aj Železničná spoločnosť Slovensko (ZSSK).
Dôvodom je obava, že po zverejnení technických podrobností sa môžu o zraniteľnosť začať vo väčšom zaujímať aj hackeri. Odborník na kybernetickú bezpečnosť Salil Kanhere zo Sydney podľa BBC upozornil, že v najbližších týždňoch možno očakávať ďalšie pokusy o zneužitie chyby.
„Moderný softvér je neuveriteľne komplexný a niektoré zraniteľnosti môžu zostať neodhalené celé roky,“ uviedol Kanhere. Samotné chyby pritom podľa neho nie sú nové. Nová je schopnosť nástrojov umelej inteligencie takéto nedostatky rýchlejšie nájsť.
Oprava už existuje, úrady však varujú pred odkladom
Vývojári PHP už vydali aktualizácie, ktoré majú zraniteľnosti odstrániť. Prevádzkovateľov systémov zároveň vyzvali, aby ich nainštalovali bez zbytočného odkladu.
Výrazne reagovali aj štátne bezpečnostné úrady. Americká Národná bezpečnostná agentúra organizáciám odkázala, že ak nedokážu svoje systémy okamžite opraviť, mali by ich radšej dočasne odstaviť. Britské Národné centrum kybernetickej bezpečnosti zase upozornilo na potrebu preveriť, či sa útočníkom nepodarilo do napadnutých systémov dostať cez takzvané zadné dvierka.
Podobné varovania vydali aj bezpečnostné úrady v Európskej únii, Austrálii či Singapure. Japonská premiérka Sanae Takaičiová vyzvala prevádzkovateľov verejne dostupných webov, aby si overili, či používajú PHP, a v prípade problémov zvážili dočasné vypnutie stránky.
Nejde pritom iba o teoretické riziko. Americká technologická spoločnosť Amazon uviedla, že zaznamenala viacero pokusov o útok ešte pred verejným zverejnením informácií o zraniteľnosti. Zatiaľ nie je jasné, ako útočníci o probléme vedeli.
Umelá inteligencia pomáha nájsť chyby aj útočníkom
Prípad zároveň ukazuje novú stránku využívania umelej inteligencie v kybernetickej bezpečnosti. Technológia dokáže analyzovať obrovské množstvo programového kódu a hľadať v ňom nedostatky podstatne rýchlejšie než človek.
To však znamená aj druhú stranu problému. Rovnaké nástroje môžu v budúcnosti pomáhať útočníkom vytvárať spôsoby, ako objavené chyby zneužiť. „Podkladové chyby neboli nové. Zmenila sa naša schopnosť ich nájsť,“ vysvetlil Kanhere.
Spoločnosť OpenAI, ktorej technológia bola pri odhalení zraniteľností použitá, označila prípad za jednu z najvýznamnejších bezpečnostných udalostí posledného obdobia. Zároveň upozornila, že umelá inteligencia môže nielen odhaľovať slabé miesta v softvéri, ale zároveň urýchliť vývoj nástrojov určených na útoky.
Pre bežného používateľa z toho vyplýva najmä jedno: samotné používanie internetu ani webov postavených na PHP automaticky neznamená, že bol používateľ napadnutý. Hlavnú zodpovednosť teraz majú prevádzkovatelia stránok, ktorí musia svoje systémy aktualizovať.
Ľudia by však mali byť obozretní aj voči podvodným e-mailom či správam, ktoré môžu aktuálnu situáciu zneužiť. Odborníci upozorňujú najmä na phishingové kampane, ktoré sa môžu vydávať za bezpečnostné upozornenia a snažiť sa od používateľov vylákať heslá alebo iné citlivé údaje.
Čo to znamená pre Slovensko? Odpovedal odborník Milan Pikula:
Sledujte ta3 na Google news
po kliknuti zvoľte "Sledovať"