Güvenlik Araştırmacısı İngiltere Hükümeti Kodunda 100'den Fazla Zafiyet Buldu

Bir güvenlik araştırmacısı, herkese açık İngiltere hükümeti kodunda 100'den fazla ciddi zafiyet buldu ve hassas verileri riske attı. ControlPlane'den Chris Nesbitt-Smith, birçok sorunun rutin bir BT sağlık kontrolüyle yakalanabileceğini ve bunları bulmak için tüketici düzeyi yapay zeka modelleri kullandığını söyledi. İlgili kurumlar sorunları daha sonra çözdü.

Araştırmacının buldukları

İngiltere hükümeti yaklaşık on yıldır kamu parasıyla üretilen kodu açıkça yayımlıyor; Sağlık ve Sosyal Bakım Bakanlığı, İçişleri Bakanlığı ve yerel yönetimlerin kodları buna dahil. Bütçe baskısı, departmanların teknoloji varlıklarının bakımını ve iyileştirilmesini ihmal etmesine yol açtı. Nesbitt-Smith, taradığı 33 kuruma ait 349 kamu sektörü kod deposunun yaklaşık üçte ikisinde zafiyetler bulduğunu söyledi.

Birkaç zafiyet Eğitim Bakanlığı kodundaydı; bunlar okulların kullandığı bir satın alma hizmetini, kişisel bilgiler, nitelikler, iş geçmişi ve kimlik belgeleri içeren bir öğretmen başvuru hizmetini ve İngiltere'nin hükümet destekli eğitim sağlayıcıları ve çıraklık programlarının ana sicilini içeriyordu. Bir İskoç Hükümeti açık veri portalındaki zafiyet, herhangi bir ziyaretçinin yönetici hesap bilgilerini okumasına ve site yapılandırmasını değiştirmesine izin verirdi.

Planning Inspectorate kimlik bilgileri

En ciddi vaka, İngiltere'deki arazi kullanım konularını ele alan Planning Inspectorate ile ilgiliydi. Kurum, giriş bilgilerini yanlışlıkla herkese açık GitHub deposuna işledikten sonra bunları tam olarak kaldırmamıştı. Kimlik bilgileri geniş erişim sağlıyordu ve görünüşe göre süresi dolmuyordu; kazara yayımlanmaları sorunu özellikle tehlikeli kılıyordu.

Tam Microsoft Entra ID kimlik bilgisi, tüm SharePoint sitelerine ve özel çalışan OneDrive hesaplarına, İK kayıtları dahil, en üst düzey okuma ve yazma erişimi sağlayacaktı. Ayrıca yasal planlama soruşturmaları ve itirazlar için kanıtları koruyan hassas kütüphanelere erişim sağlayacaktı. Nesbitt-Smith, verileri fidye yazılımıyla kilitleme, tüm verileri şifreleme ya da tüm verileri çalma seçeneğinin fazlasıyla mevcut olduğunu söyledi.

Planning Inspectorate sözcüsü, siber izleme araçlarının Ağustos ayında Nesbitt-Smith'in etkinliğini hemen tespit ettiğini ve ControlPlane iletişime geçtiğinde bunu zaten bir siber olay olarak ele aldıklarını söyledi. Kurum, rapordan itibaren 20 dakika içinde zafiyeti tespit etti ve düzeltti, veri ihlali olmadığını doğruladı. Sistemlerini ve süreçlerini gözden geçirdiğini ve güçlendirdiğini söyledi.

Açık kaynak ve yapay zeka tartışması

OpenUK'nın icra kurulu başkanı Amanda Brock, Planning Inspectorate sorununun açık kaynakla ilgili olmadığını, kamuya açık araçlar kullanılırken iç işleyiş sorunu olduğunu söyledi. Verilerin iyi bir süreci izlememe hatası nedeniyle açığa çıktığını ve bunun açık kaynak güvenliği sorunu olmadığını söyledi.

Yapay zekanın zafiyet keşfini hızlandırdığı bir dönemde kamu sektörü departmanlarının kaynak kodunu açıkça yayımlamayı bırakması yönünde son zamanlarda argümanlar ortaya atıldı. NHS'in, yapay zeka modellerinin etkisi konusundaki güvenlik endişeleri nedeniyle Mayıs ayında teknoloji ekiplerine açık kaynak koddan uzaklaşmaları yönünde talimat verdiği bildirildi. Nesbitt-Smith, altta yatan sorunlar hemen düzeltilmeden bunun yapılmasının en kötü senaryo olacağını söyledi, çünkü bu, araştırmacıların sorunları bulmasını engeller; ayrıca bir saldırganın depoları çoktan kopyalamış olması ve bunlara erişimini sürdürmesi de olasıdır. Kodu sorunlar düzeltilmeden kapatmanın ona daha fazla dikkat çekebileceğini söyledi.

Kaynaklar: Wired