Təhlükəsizlik tədqiqatçısı Böyük Britaniyanın hökumət kodunda 100-dən çox zəiflik tapdı

Təhlükəsizlik tədqiqatçısı Böyük Britaniya hökumətinin açıq şəkildə əlçatan olan kodunda 100-dən çox ciddi zəiflik tapdı və həssas məlumatları riskə qoydu. ControlPlane-dən Chris Nesbitt-Smith bildirdi ki, bir çox problem rutin İT sağlamlıq yoxlaması ilə aşkar oluna bilərdi və o, onları tapmaq üçün istehlakçı səviyyəli süni intellekt modellərindən istifadə edib. Məsələyə cəlb olunan qurumlar həmin problemləri sonradan həll ediblər.

Tədqiqatçının tapdıqları

Böyük Britaniya hökuməti təxminən on ildir ki, ictimai vəsait hesabına hazırlanmış kodu açıq şəkildə dərc edir; bura Səhiyyə və Sosial Qayğı Departamenti, Daxili İşlər Nazirliyi və yerli hakimiyyət orqanlarının kodu da daxildir. Maliyyə sıxıntıları departamentləri texnologiya infrastrukturunun baxımını və inkişafını laqeyd qoymağa vadar edib. Nesbitt-Smith-in skan etdiyi 33 qurum üzrə 349 ictimai sektor kod bazasının təxminən üçdə ikisində o, zəifliklər tapıb.

Bir neçəsi Təhsil Departamentinin kodunda idi; bura məktəblərin istifadə etdiyi təchizat xidməti, şəxsi məlumatlar, ixtisaslar, iş təcrübəsi və şəxsiyyət sənədlərini əhatə edən müəllim müraciət xidməti, həmçinin İngiltərənin dövlət maliyyəli təlim provayderləri və şagirdlik proqramlarının əsas reyestri daxildir. Şotlandiya Hökumətinin açıq verilənlər portalındakı zəiflik istənilən ziyarətçiyə inzibati hesab məlumatlarını oxumağa və sayt konfiqurasiyasını dəyişməyə imkan verərdi.

Planlaşdırma Müfəttişliyinin etimadnamələri

Ən ciddi hal İngiltərə üzrə torpaq istifadəsi məsələlərini idarə edən Planlaşdırma Müfəttişliyini əhatə edirdi. Qurum giriş məlumatlarını GitHub ictimai repozitoriyasına təsadüfən yerləşdirdikdən sonra onları tam şəkildə silməmişdi. Bu etimadnamələr geniş səlahiyyət verirdi və görünür, müddəti bitmirdi; onların təsadüfi dərc edilməsi məsələni xüsusilə təhlükəli edirdi.

Tam Microsoft Entra ID bütün SharePoint saytlarına və işçilərin şəxsi OneDrive hesablarına, o cümlədən İnsan Resursları qeydlərinə, çox yüksək səviyyəli oxuma və yazma səlahiyyəti verərdi. Həmçinin o, qanunvericiliklə müəyyən edilmiş planlaşdırma araşdırmaları və apellyasiyalar üzrə hüquqi saxlanma rejimində olan sübutları qoruyan həssas kitabxanalara giriş imkanı verərdi. Nesbitt-Smith bildirdi ki, məlumatları fidyə proqramı ilə kilidləmək, bütün məlumatları şifrələmək və ya sadəcə bütün məlumatları oğurlamaq imkanı açıq şəkildə mövcud idi.

Planlaşdırma Müfəttişliyinin sözçüsü bildirdi ki, kibermonitorinq vasitələri Nesbitt-Smith-in fəaliyyətini avqust ayında dərhal aşkar edib və ControlPlane əlaqə saxlayanda qurum artıq bunu kiberhadisə kimi araşdırırmış. Agentlik hesabatdan 20 dəqiqə ərzində zəifliyi müəyyənləşdirib və aradan qaldırıb, həmçinin məlumat sızmasının baş vermədiyini təsdiqləyib. O bildirdi ki, sistemləri və prosesləri nəzərdən keçirib və gücləndirib.

Açıq mənbə və süni intellekt mübahisəsi

OpenUK-un baş icraçı direktoru Amanda Brock bildirdi ki, Planlaşdırma Müfəttişliyindəki problem açıq mənbə ilə bağlı deyil, ictimai alətlərdən istifadə zamanı daxili nizam-intizam ilə bağlıdır. O dedi ki, məlumatlar yaxşı prosesə əməl etməmək səbəbindən açıq qalıb və bu, açıq mənbə təhlükəsizliyi məsələsi deyil.

Son zamanlar süni intellektin zəifliklərin aşkarlanmasını sürətləndirdiyi üçün ictimai sektor departamentlərinin mənbə kodunu açıq şəkildə dərc etməyi dayandırması barədə arqumentlər səslənir. Bildirilir ki, NHS may ayında süni intellekt modellərinin təsiri ilə bağlı təhlükəsizlik narahatlıqları fonunda texnologiya komandalarına açıq mənbə kodundan uzaqlaşmağı əmr edib. Nesbitt-Smith bildirdi ki, bunu əsas problemləri dərhal həll etmədən etmək ən pis ssenari olardı, çünki bu, tədqiqatçıların onları tapmasının qarşısını alır və çox güman ki, düşmən tərəf artıq repozitoriyaların surətini çıxarıb və onlara girişini saxlayacaq. O dedi ki, problemləri həll etmədən kodu bağlamaq ona daha çox diqqət çəkə bilər.

Mənbələr: Wired