Հետազոտողը UK-ի կառավարական կոդում գտել է 100-ից ավելի խոցելիություն

Անվտանգության հետազոտողը UK-ի կառավարական կոդում գտել է 100-ից ավելի լուրջ խոցելիություն՝ վտանգելով զգայուն տվյալները։ ControlPlane-ի Chris Nesbitt-Smith-ը ասաց, որ շատ խնդիրներ կարող էին բացահայտվել սովորական IT ստուգմամբ, և նա օգտագործել է սպառողական AI մոդելներ։ Ներգրավված կազմակերպությունները հետագայում լուծել են այդ խնդիրները։

Գտածները

UK-ի կառավարությունը մոտ տասը տարի բացահայտ հրապարակում է հանրային միջոցներով ստեղծված կոդը, այդ թվում՝ Առողջապահության և սոցիալական խնամքի դեպարտամենտի, Ներքին գործերի նախարարության և տեղական իշխանությունների կոդը։ Ֆինանսավորման սեղմումների պատճառով գերատեսչությունները անտեսում են իրենց տեխնոլոգիական ենթակառուցվածքի խնամքն ու զարգացումը։ Nesbitt-Smith-ի խոսքով՝ 33 կազմակերպությունների 349 հանրային սեկտորի կոդաբազաներից մոտ երկու երրորդում խոցելիություններ է գտել։

Դրանց մի մասը Կրթության դեպարտամենտի կոդում էր՝ դպրոցների գնումների ծառայություն, ուսուցիչների դիմումների ծառայություն՝ անձնական տվյալներով, որակավորումներով, զբաղվածության պատմությամբ և ինքնության փաստաթղթերով, ինչպես նաև Անգլիայի կառավարության կողմից ֆինանսավորվող ուսուցման մատակարարների և աշկերտության գրանցամատյան։ Շոտլանդիայի կառավարության բաց տվյալների պորտալի խոցելիությունը ցանկացած այցելուին թույլ կտար կարդալ վարչական հաշվի տվյալները և փոխել կայքի կարգավորումը։

Planning Inspectorate-ի հավատարմագրեր

Ամենալուրջ դեպքը Planning Inspectorate-ում էր, որը զբաղվում է Անգլիայի հողօգտագործմամբ։ Այն ամբողջությամբ չհեռացրեց մուտքի տվյալները՝ դրանք պատահաբար GitHub-ի հանրային պահոցում հրապարակելուց հետո։ Հավատարմագրերը լայն հասանելիություն էին տալիս, կարծես չէին լրանում, և պատահական հրապարակումը խնդիրը վտանգավոր դարձրեց։

Ամբողջական Microsoft Entra ID-ը կտար ամենաբարձր մակարդակի կարդալու և գրելու հասանելիություն բոլոր SharePoint կայքերին և մասնավոր OneDrive հաշիվներին, այդ թվում՝ HR գրառումներին։ Այն նաև կտար հասանելիություն զգայուն գրադարաններին, որոնք պահպանում են ապացույցները օրինական պահման տակ՝ պլանավորման հարցումների և բողոքարկումների համար։ Nesbitt-Smith-ը ասաց, որ տվյալները շանտաժային ծրագրով պատանդ վերցնելու, բոլոր տվյալները գաղտնագրելու կամ ուղղակի գողանալու հնարավորությունը լիովին առկա էր։

Planning Inspectorate-ի ներկայացուցիչն ասաց, որ կիբերհսկողության գործիքները անմիջապես հայտնաբերել են գործունեությունը օգոստոսին, և գործակալությունն արդեն այն վարում էր որպես կիբերմիջադեպ, երբ ControlPlane-ը կապ հաստատեց։ Գործակալությունը խոցելիությունը շտկեց զեկույցից 20 րոպեի ընթացքում և հաստատեց, որ տվյալների արտահոսք չի եղել։ Այն վերանայել և ամրապնդել է համակարգերն ու գործընթացները։

Բաց կոդի և AI-ի վեճ

OpenUK-ի գլխավոր տնօրեն Amanda Brock-ը ասաց, որ խնդիրը բաց կոդի մասին չէ, այլ հանրությանը հասանելի գործիքների օգտագործման ժամանակ ներքին կարգավորման մասին։ Տվյալները բացահայտվել են լավ գործընթացի չհետևելու պատճառով, և դա բաց կոդի անվտանգության խնդիր չէր։

Վերջերս փաստարկներ են եղել, որ հանրային սեկտորի դեպարտամենտները պետք է դադարեցնեն աղբյուրային կոդի բաց հրապարակումը, քանի որ AI-ը արագացրել է խոցելիությունների հայտնաբերումը։ Ըստ հաղորդումների՝ NHS-ը մայիսին հանձնարարել է տեխնոլոգիական թիմերին հեռանալ բաց կոդից՝ արհեստական բանականության մոդելների ազդեցության վերաբերյալ անվտանգության մտահոգությունների ֆոնին։ Nesbitt-Smith-ը ասաց, որ դա անելը՝ առանց հիմնական խնդիրները շտկելու, վատագույն սցենար կլինի, քանի որ դա խանգարում է հետազոտողներին դրանք գտնել, և հավանական է, որ հակառակորդն արդեն պատճենել է այդ պահոցները և կպահպանի դրանց հասանելիությունը։ Խնդիրները չշտկելով կոդը փակելը կարող է ավելի շատ ուշադրություն գրավել դրա վրա։

Աղբյուրներ՝ Wired