חוקר אבטחה מצא יותר מ-100 פגיעויות בקוד ממשלת בריטניה

חוקר אבטחה מצא יותר מ-100 פגיעויות חמורות בקוד של ממשלת בריטניה הזמין לציבור, שהעמיד נתונים רגישים בסיכון. Chris Nesbitt-Smith מ-ControlPlane אמר כי בעיות רבות יכלו להתגלות בבדיקת בריאות מערכות מחשוב שגרתית, וכי הוא השתמש בדגמי בינה מלאכותית ברמת צרכן כדי לסייע במציאתן. הארגונים המעורבים טיפלו מאז בבעיות.

מה שמצא החוקר

ממשלת בריטניה פירסמה בגלוי קוד שנוצר בכסף ציבורי במשך כעשור, כולל קוד ממשרד הבריאות והרווחה החברתית, ממשרד הפנים ומרשויות מקומיות. לחצים תקציביים הותירו מחלקות מזניחות תחזוקה ושיפור של המערך הטכנולוגי שלהן. בכשני שלישים מתוך 349 מאגרי קוד במגזר הציבורי ב-33 ארגונים ש-Nesbitt-Smith סרק, הוא אמר שמצא פגיעויות.

כמה מהן היו בקוד של מחלקת החינוך, כולל שירות רכש המשמש בתי ספר, שירות הגשת מועמדות למורים המכיל פרטים אישיים, הסמכות, היסטוריית תעסוקה ומסמכים מזהים, והרישום הראשי של אנגליה לספקי הכשרה וחניכויות ממומנים על ידי הממשלה. פגיעות בפורטל הנתונים הפתוחים של הממשלה הסקוטית הייתה מאפשרת לכל מבקר לקרוא מידע של חשבונות מנהליים ולשנות את תצורת האתר.

פרטי התחברות של Planning Inspectorate

המקרה החמור ביותר כלל את רשות המפקחים על התכנון, אשר מטפלת בענייני שימוש בקרקע ברחבי אנגליה. היא לא הסירה במלואה את פרטי הכניסה לאחר שהעלתה אותם בטעות למאגר הציבורי GitHub. פרטי ההתחברות נתנו גישה רחבה ולכאורה לא פגו, והפרסום בטעות שלהם הפך את הבעיה למסוכנת במיוחד.

ה-Microsoft Entra ID המלא היה מעניק גישת קריאה וכתיבה ברמה אלוהית לכל אתרי SharePoint ולחשבונות OneDrive הפרטיים של עובדים, לרבות רשומות משאבי אנוש. הוא גם היה מעניק גישה לספריות רגישות השומרות על ראיות תחת חסימה משפטית לחקירות וערעורים תכנוניים סטטוטוריים. לדברי נסביט-סמית, האפשרות לדרוש מהם כופר, להצפין את כל הנתונים או פשוט לגנוב את כל הנתונים הייתה קיימת בשפע.

דובר של Planning Inspectorate אמר כי כלי הניטור הקיברנטיים שלה זיהו מיד את פעילות Nesbitt-Smith באוגוסט, וכי היא כבר טיפלה במקרה זה כתקרית סייבר כאשר ControlPlane יצרה קשר. הסוכנות זיהתה ותיקנה את הפגיעות תוך 20 דקות מהדיווח ואישרה שלא התרחשה דליפת נתונים. היא אמרה כי סקרה וחיזקה את מערכותיה ותהליכיה.

ויכוח קוד פתוח ובינה מלאכותית

אמנדה ברוק, מנכ"לית OpenUK, אמרה שהבעיה ב-Planning Inspectorate לא נגעה לקוד פתוח אלא לניהול פנימי בעת שימוש בכלים ציבוריים. היא אמרה שהנתונים נחשפו משום שלא פעלו לפי תהליך תקין, ושזו לא הייתה בעיית אבטחה של קוד פתוח.

לאחרונה טענו שיש להפסיק לפרסם קוד מקור באופן פתוח במחלקות במגזר הציבורי, כעת, משהאיץ ה-AI את גילוי הפגיעויות. לפי הדיווחים, NHS הורה לצוותי טכנולוגיה לעבור מקוד פתוח במאי, על רקע חששות אבטחה לגבי השפעת מודלי AI. Nesbitt-Smith אמר כי לעשות זאת ללא תיקון מיידי של הבעיות הבסיסיות יהיה תרחיש הגרוע ביותר, כי זה מונע מחוקרים למצוא אותן, וייתכן שיריב כבר שיקף את המאגרים ולכן ישמור על הגישה אליהם. הוא אמר שסגירת קוד ללא תיקון בעיות עשויה למשוך יותר תשומת לב אליו.

מקורות: Wired