უსაფრთხოების მკვლევარმა გაერთიანებული სამეფოს მთავრობის კოდში 100-ზე მეტი დაუცველობა იპოვა

უსაფრთხოების მკვლევარმა გაერთიანებული სამეფოს მთავრობის საჯაროდ ხელმისაწვდომ კოდში 100-ზე მეტი სერიოზული დაუცველობა აღმოაჩინა, რითაც მგრძნობიარე მონაცემები რისკის ქვეშ დააყენა. ControlPlane-ის Chris Nesbitt-Smith-მა თქვა, რომ ბევრი პრობლემა IT-ის ჩვეულებრივი შემოწმებითაც გამოვლინდებოდა და მათ მოსაძებნად სამომხმარებლო AI მოდელები გამოიყენა. ჩართულმა ორგანიზაციებმა ეს პრობლემები უკვე მოაგვარეს.

რა იპოვა მკვლევარმა

გაერთიანებული სამეფოს მთავრობა დაახლოებით ათი წელია საჯაროდ აქვეყნებს სახელმწიფო ფულით შექმნილ კოდს, მათ შორის ჯანდაცვისა და სოციალური ზრუნვის დეპარტამენტის, შინაგან საქმეთა სამინისტროსა და ადგილობრივი ხელისუფლებების კოდს. დაფინანსების შეზღუდვების გამო დეპარტამენტები ტექნოლოგიური ინფრასტრუქტურის მოვლასა და გაუმჯობესებას უგულებელყოფენ. Nesbitt-Smith-ის თქმით, სკანირებული 33 ორგანიზაციის 349 საჯარო სექტორის კოდის ბაზიდან დაუცველობები დაახლოებით ორ მესამედში აღმოჩნდა.

Planning Inspectorate-ის შესვლის მონაცემები

ყველაზე სერიოზული შემთხვევა Planning Inspectorate-ს უკავშირდება, რომელიც ინგლისში მიწათსარგებლობის საკითხებს განიხილავს. მან ვერ სრულად წაშალა სისტემაში შესვლის მონაცემები მას შემდეგ, რაც ისინი შემთხვევით GitHub-ის საჯარო რეპოზიტორიაში ატვირთა. ეს მონაცემები ფართო წვდომას იძლეოდა და, როგორც ჩანს, ვადა არ გასდიოდა; შემთხვევითმა გამოქვეყნებამ ის განსაკუთრებით საშიში გახადა.

სრული Microsoft Entra ID ყოვლისშემძლე წაკითხვისა და ჩაწერის წვდომას მისცემდა ყველა SharePoint-ის საიტსა და თანამშრომელთა პირად OneDrive ანგარიშებზე, მათ შორის HR ჩანაწერებზე. ის ასევე წვდომას მისცემდა მგრძნობიარე ბიბლიოთეკებზე, რომლებიც იცავენ სამართლებრივი შეჩერების ქვეშ მყოფ მტკიცებულებებს კანონით გათვალისწინებული ტერიტორიული დაგეგმვის გამოკვლევებისა და აპელაციებისთვის. Nesbitt-Smith-მა თქვა, რომ მონაცემების გამოსასყიდი პროგრამით ხელში ჩაგდების, ყველა მონაცემის დაშიფვრის ან უბრალოდ მოპარვის შესაძლებლობა სავსებით არსებობდა.

Planning Inspectorate-ის წარმომადგენლის თქმით, მათი კიბერმონიტორინგის ინსტრუმენტებმა Nesbitt-Smith-ის აქტივობა აგვისტოში დაუყოვნებლივ გამოავლინა და ControlPlane-ის დაკავშირებისას ეს უკვე კიბერინციდენტად მუშავდებოდა. სააგენტომ დაუცველობა შეტყობინებიდან 20 წუთში იდენტიფიცირა და გამოასწორა, ასევე დაადასტურა, რომ მონაცემების გაჟონვა არ მომხდარა. მან აღნიშნა, რომ სისტემები და პროცესები გადახედა და გააძლიერა.

ღია კოდისა და AI-ის გარშემო დებატები

OpenUK-ის აღმასრულებელმა დირექტორმა Amanda Brock-მა თქვა, რომ Planning Inspectorate-ის შემთხვევა ღია წყაროს კოდს არ ეხებოდა, არამედ საჯარო ხელსაწყოების გამოყენებისას შიდა წესრიგს. მან აღნიშნა, რომ მონაცემები სათანადო პროცედურის დარღვევის გამო გამჟღავნდა და ეს ღია წყაროს კოდის უსაფრთხოების პრობლემა არ იყო.

ბოლო დროს გაისმა მოსაზრებები, რომ საჯარო სექტორის დეპარტამენტებმა შეწყვიტონ კოდის ღიად გამოქვეყნება, რადგან AI-მ დაუცველობების აღმოჩენა დააჩქარა. ამბობენ, რომ NHS-მა მაისში ტექნოლოგიურ გუნდებს ღია წყაროს კოდიდან გადასვლა დაავალა, AI მოდელების გავლენის შესახებ უსაფრთხოების შიშების ფონზე. Nesbitt-Smith-მა თქვა, რომ ამის გაკეთება ძირეული პრობლემების დაუყოვნებლივ გამოსწორების გარეშე ყველაზე ცუდი სცენარი იქნებოდა, რადგან ეს მკვლევრებს აღმოჩენაში ხელს უშლის და მოწინააღმდეგემ შესაძლოა რეპოზიტორების სარკისებური ასლები უკვე გააკეთოს. მან აღნიშნა, რომ კოდის დახურვამ პრობლემების გამოსწორების გარეშე შესაძლოა მის მიმართ ყურადღება კიდევ უფრო გაზარდოს.

წყაროები: Wired