Úrad vlády a ministerstvo vnútra minulý týždeň odstavili svoje weby vrátane Centrálneho registra zmlúv. Dôvodom bola vážna chyba v programovacom jazyku PHP, ktorú pomohla odhaliť umelá inteligencia. Adam Hamšík zo spoločnosti Labyrinth Labs upozorňuje, že tentokrát mal štát šťastie, no ďalšiu podobnú chybu môžu ako prví nájsť útočníci.
Úrad vlády minulý týždeň v stredu vypol Centrálny register zmlúv a niekoľko ďalších stránok. Svoj web odstavilo aj ministerstvo vnútra. Za výpadkom stála vážna chyba v PHP, teda v programovacom jazyku, na ktorom beží veľká časť webov na svete, vrátane štátnych. Útočník cez ňu mohol prevziať server bez toho, aby poznal akékoľvek heslo. Slovensko pritom nebolo jediné. Weby kvôli rovnakej chybe vypínali aj úrady v Nemecku, Francúzsku či Fínsku. Adam Hamšík, generálny riaditeľ a spoluzakladateľ spoločnosti Labyrinth Labs, ktorá sa venuje cloudovej infraštruktúre, v komentári upozorňuje, že celá situácia mohla dopadnúť oveľa horšie.
Mohlo by vás zaujímať
Tentokrát zvíťazila správna strana
Chyba sa podľa Hamšíka skrývala v kóde viac ako desať rokov. Našli ju bezpečnostní výskumníci, ktorým pri hľadaní pomáhala umelá inteligencia. Chybu nahlásili a vývojári mali dva mesiace na to, aby ju opravili, skôr než sa o nej dozvedela verejnosť. Práve tento náskok bol rozhodujúci. Útočníci sa podľa správ pokúšali chybu zneužiť hneď v deň, keď ju zverejnili, no oprava už vtedy bola k dispozícii.
Hamšík však varuje, že nabudúce to tak nemusí byť. Nástroje umelej inteligencie, ktoré pomohli chybu nájsť, môže použiť ktokoľvek. Teda aj človek, ktorý chybu nenahlási, ale ju rovno zneužije. Hľadať slabé miesta v softvéri je podľa neho dnes rýchlejšie a lacnejšie ako kedykoľvek predtým. Problém sa navyše netýka iba jedného programovacieho jazyka. Chyba môže byť v ktorejkoľvek aplikácii, ktorú si úrad dal vyvinúť, a nikto o nej nevie, kým ju niekto nenájde. Udalosti minulého týždňa preto Hamšík považuje za posledné varovanie, pri ktorom mali obrancovia náskok.
Nejde len o weby
V hre je toho pritom viac než len výpadok niekoľkých stránok. Na informačných technológiách dnes stojí chod štátu. Ako príklad možno použiť práve Centrálny register zmlúv. Zmluva, ktorú musí štát zverejniť, nadobudne účinnosť až deň po zverejnení v registri, takže keď register nefunguje, môže sa zdržať aj samotná zmluva. A podobne je to aj s ďalšími zariadeniami, ktoré sú pripojené na internet. Kamery, ktoré nikto neaktualizuje, sú pre útočníka de facto pozvánkou dovnútra. Bezpečnosť IT preto už nie je len otázkou peňazí, ale toho, či štát vôbec dokáže fungovať.
Tri kroky
Hamšík navrhuje tri preventívne kroky. Štát by mal v prvom rade vedieť, aké systémy prevádzkuje a na čom bežia. Bez takého prehľadu ani nezistí, ktoré z nich sú pri novej chybe ohrozené. Druhým krokom je rýchlosť. Opravu by mal štát vedieť nasadiť do niekoľkých hodín, nie dní, a to na weboch, serveroch aj kamerách. Tretím krokom je vlastný tím odborníkov, ktorí systémy štátu poznajú zvnútra a na hrozby reagujú hneď, ako sa objavia.
Pri rýchlom nasadzovaní opráv môže pomôcť aj cloud. Sám od seba štát neochráni, avšak pomáha vtedy, keď sa používa systematicky. Ak sú systémy postavené podľa jedného spoločného plánu, opravu stačí urobiť raz v tomto pláne a prenesie sa na všetky servery naraz. Často sa pritom služba ani nemusí vypnúť. Časť aktualizácií navyše zabezpečuje priamo poskytovateľ cloudu.
Opačný prípad nastáva, keď niekto spravuje servery ručne, jeden po druhom. Oprava vtedy trvá dni a web medzitým nefunguje.
Bezpečnosť si štát nemá len objednať
Riešením však podľa Hamšíka nie je, aby štát zaplatil niekoľkým známym IT firmám a bezpečnosť si od nich jednoducho objednal. Zdôrazňuje, že to hovorí ako človek, ktorý sám vedie IT firmu. Bez vlastných ľudí by štát pri každej ďalšej chybe iba čakal, kým mu niekto povie, čo má robiť. Tentokrát na to mal štát čas, keďže oprava existovala skôr, než sa o chybe dozvedeli útočníci. Pri ďalšej chybe ho však už mať nemusí.
