დიდი ბრიტანეთის სამთავრობო სისტემებში ასზე მეტი სერიოზული ხარვეზი აღმოაჩინეს
უსაფრთხოების კრიტიკული ხარვეზები ბრიტანულ უწყებებში
დიდი ბრიტანეთის სახელმწიფო უწყებების მიერ საჯაროდ გამოქვეყნებულ პროგრამულ კოდებში უსაფრთხოების ასზე მეტი სერიოზული ხარვეზი აღმოაჩინეს. პრობლემა, რომელიც ძირითადად სისტემების არასათანადო მოვლასა და კიბერჰიგიენის ნორმების დარღვევას უკავშირდება, საფრთხეს უქმნის მოქალაქეთა მგრძნობიარე მონაცემებს. კვლევა, რომელიც უსაფრთხოების სპეციალისტმა კრის ნესბიტ-სმიტმა ჩაატარა, ეფუძნებოდა ხელოვნური ინტელექტის მოდელების — Claude Opus-ისა და Sonnet-ის გამოყენებას. მკვლევრის თქმით, ეს პროცესი არ მოითხოვდა კომპლექსურ ტექნოლოგიებს; საკმარისი იყო ჩვეულებრივი ლეპტოპი და სტანდარტული IT-შემოწმება, რომელიც უწყებებმა დროულად ვერ განახორციელეს.
„ღმერთის დონის“ წვდომა და პოტენციური საფრთხეები
ყველაზე საგანგაშო შემთხვევა დაფიქსირდა დაგეგმარების ინსპექციაში (Planning Inspectorate). უწყებამ შეცდომით GitHub-ის საჯარო რეპოზიტორზე განათავსა წვდომის მონაცემები, რაც თავდამსხმელებს სისტემაზე სრულ კონტროლს აძლევდა. ნესბიტ-სმიტის განმარტებით, აღნიშნული მონაცემებით შესაძლებელი იყო ე.წ. „ღმერთის დონის“ (god-tier) წვდომის მოპოვება Microsoft Entra ID-ზე. ეს ნიშნავს, რომ ჰაკერებს შეეძლოთ SharePoint-ის ყველა ფაილის, თანამშრომელთა პირადი OneDrive-ის, მათ შორის ადამიანური რესურსების (HR) ჩანაწერებისა და სასამართლო დავებთან დაკავშირებული მგრძნობიარე ინფორმაციის სრული წვდომა, ცვლილება ან დაშიფვრა გამოსასყიდის მიზნით.
მიუხედავად ამისა, Planning Inspectorate-ის წარმომადგენლებმა განაცხადეს, რომ მათმა მონიტორინგის სისტემებმა მკვლევრის ქმედებები აგვისტოშივე დააფიქსირა. მათივე მტკიცებით, ხარვეზი 20 წუთში აღმოიფხვრა და მონაცემთა გაჟონვა არ მომხდარა. თუმცა, მსგავსი პრობლემები გამოვლინდა სხვა უწყებებშიც, მათ შორის განათლების დეპარტამენტში, სადაც მასწავლებელთა აპლიკაციებისა და პროფესიული მომზადების რეესტრის კოდებში მნიშვნელოვანი ხარვეზები იპოვეს.
ღია კოდი თუ შიდა მოუწესრიგებლობა?
დიდი ბრიტანეთის მთავრობა უკვე ათწლეულია იყენებს „ღია კოდის“ პოლიტიკას, რაც გამჭვირვალობისა და ხარჯების ოპტიმიზაციის მიზანს ემსახურება. თუმცა, ხელოვნური ინტელექტის ეპოქაში, როდესაც დაუცველობების პოვნა ბევრად მარტივი გახდა, კრიტიკა მძაფრდება. ზოგიერთი უწყება, მათ შორის NHS (ჯანდაცვის ეროვნული სამსახური), უკვე განიხილავს კოდის დახურვის შესაძლებლობას, რათა თავიდან აიცილოს უსაფრთხოების რისკები.
ექსპერტები კი აფრთხილებენ ხელისუფლებას, რომ კოდის უბრალოდ „დამალვა“ პრობლემას არ მოაგვარებს. თუკი სისტემებში არსებული ფუნდამენტური ხარვეზები არ გამოსწორდება, კოდის დახურვა მხოლოდ ყურადღებას მიიპყრობს და თავდამსხმელებს, რომლებმაც შესაძლოა უკვე დააკოპირეს აღნიშნული რეპოზიტორები, არ შეაჩერებს. სპეციალისტების შეფასებით, მთავარი პრობლემა არა თავად ღია კოდის პრინციპია, არამედ უწყებების შიდა პროცესების არაეფექტურობა, რაც ფინანსური შეზღუდვების ფონზე ტექნოლოგიური ინფრასტრუქტურის მოვლას ართულებს.