مردی که دیروز اینترنت را نجات داد

روز سه‌شنبه، جهان متوجه دو آسیب‌پذیری امنیتی بزرگ در PHP شد، زبان برنامه‌نویسی که تقریبا ۷۰ درصد از وب‌سایت‌ها از آن استفاده می‌کنند. این نقص توسط محققان امنیت سایبری با استفاده از مدل مرزی OpenAI کشف شد. اگر آنها از آن سوء استفاده کنند، مهاجمان می توانند کنترل کامل سرورها را به دست آورند، هر چیزی را در داخل آن سرقت یا کپی کنند یا به سادگی سایت ها را آفلاین کنند.

بنیاد پی‌اچ‌پی، سازمانی که زبان برنامه‌نویسی را حفظ می‌کند، اخیرا از نقص‌های امنیتی مطلع شده بود، اما قبل از انتشار یک وصله، این افشا در یک فروم به بیرون درز کرد. چیزی که بعدا اتفاق افتاد یک مسابقه دیوانه‌وار با شرکت‌کنندگان متعدد بود: بنیاد، که نیاز به ایجاد و انتشار یک پچ داشت. توسعه دهندگان در سراسر جهان که نیاز به استقرار آن دارند. و مهاجمانی که به دنبال سوء استفاده از این آسیب پذیری ها هستند.

متیو پرینس، مدیر عامل شرکت میزبانی Cloudflare، نوشت که در 10 ساعت قبل از اعلام عمومی این نقص ها، "ما شاهد هزاران تلاش برای سوء استفاده از آن بودیم. این تعداد در 45 دقیقه پس از اعلام به ده ها هزار، در عرض 2 ساعت به صدها هزار و در حال حاضر میلیون ها مورد افزایش یافت."

هنگامی که این وصله دیروز منتشر شد، وب‌سایت‌ها در همه جا آفلاین شدند تا این اصلاح را پیاده‌سازی کنند. اینها شامل وب سایت های دولتی در آلمان و فنلاند، برخی وب سایت های بیمارستان ها و مدارس در اروپا و سایت های بین المللی مانند 4chan بود. در طول این مسابقه برای تامین امنیت بیشتر اینترنت، متوجه شدم که یک نام در پست‌های Reddit و X ظاهر می‌شود: Ondřej Surý.

یک توسعه‌دهنده نرم‌افزار به نام یان لندزمن در X می‌نویسد: "برای توضیح به همسرم که چگونه این پسر وجود دارد. و او به تنهایی مسئول بیشتر توزیع PHP در جهان است." منظورش سوری بود.

Surý، که در چک زندگی می کند، برای بنیاد PHP کار نمی کند. اما در کنار شغل روزانه‌اش به‌عنوان مدیر مهندسی سیستم نام دامنه در کنسرسیوم غیرانتفاعی سیستم‌های اینترنتی، به‌عنوان داوطلبانه، وصله‌های زبان برنامه‌نویسی را خودکار نگه می‌دارد و به آن کمک می‌کند. کار او، با تعداد انگشت شماری دیگر، به وب سایت ها و سازمان های بی شماری اجازه داده است تا این آسیب پذیری ها را به سرعت برطرف کنند. در طول 48 ساعت گذشته او مسلما به قهرمان گمنام کل اینترنت تبدیل شده است - علیرغم این واقعیت که تنها غرامتی که دریافت می کند از کمک های مالی متوسط ​​​​است.

یکی از کاربران PHP Subreddit نوشت: "Ondřej اینترنت را امروز ذخیره خواهد کرد."

من امروز با سوری از خانه اش در مورد بحران در حال آشکار شدن امنیت سایبری هوش مصنوعی صحبت کردم، اینکه چگونه زیرساخت اینترنت توسط خدمه داوطلبانی مانند خودش حفظ می شود، و چه احساسی دارد که بعد از ذخیره وب آنطور که ما می شناسیم به رختخواب بروید.

گفتگوی ما برای طولانی و وضوح ویرایش شده است.

چارلی وارزل: برای من توضیح دهید که در 72 ساعت گذشته چه اتفاقی افتاده است.

Ondřej Surý: اوایل این هفته، پروژه PHP به من اطلاع داد که یک آسیب پذیری امنیتی جدی در کدنویسی وجود دارد. روز سه‌شنبه، مشخص شد که شخصی اطلاعاتی در مورد آسیب‌پذیری‌های آینده به بیرون درز کرده است، و در داخل پروژه PHP تصمیم گرفته شد که باید روند انتشار را از پنجشنبه تا چهارشنبه تسریع بخشد. این زمانی بود که کمی دیوانه شد، چون حالا ناگهان یک روز کوتاه آمدیم.

وارزل: من می خواهم سعی کنم این را در چشم انداز قرار دهم: بنابراین اساسا، زبان برنامه نویسی PHP که به نوعی وب را تحت پوشش قرار می دهد تا 70 درصد از وب سایت ها استفاده می شود؟

سوری: من هم همین را شنیدم.

Warzel: بنابراین مردم به دنبال آسیب‌پذیری‌های امنیت سایبری هستند، نه لزوما برای فرصت‌های حمله تهاجمی، بلکه شاید فقط فرصت‌های دفاعی. و شخصی آسیب پذیری پیدا کرد - که فوق العاده غیرعادی نیست. اما مسئله اصلی در اینجا این بود که چقدر به طور گسترده افشا شد و مدت زمانی بود که مردم مجبور بودند این را وصله کنند، درست است؟

سوری: بگذارید توضیح دهم که: این شدت است. شدت غیر معمول است. اجرای کد از راه دور شدیدترین نوع آسیب‌پذیری است زیرا مهاجم می‌تواند کد خود را روی سروری که PHP اجرا می‌کند، اجرا کند. به همین دلیل است که این باعث وحشت در سراسر اینترنت شد. همانطور که گفتید، اگر حدود 70 درصد وب سایت ها از PHP استفاده می کنند، اگر مهاجمان واقعا قادر به اجرای کد روی این سرورها باشند، تأثیر بسیار زیادی خواهد داشت.

وارزل: شما گفتید که با وجود وحشت آنلاین، 48 ساعت دیوانه کننده ای نبوده است. از بیرون، این تعجب آور است. من مدام می بینم که مردم می گویند، یک نفر مسئول رفع این مشکل است - و او از طریق Patreon از خودش حمایت می کند. آنها ممکن است اغراق کرده باشند، اما حقیقتی در آن وجود دارد: کار شما به تنهایی به میلیون ها نفر کمک کرد. چگونه ممکن است این زمان دیوانه کننده ای برای شما نباشد؟

سوری: چند دلیل وجود دارد. یکی این است که من برای مدت طولانی، بیش از 20 سال این کار را انجام می دهم. بسیاری از کارهایی که من انجام می دهم خودکار هستند. اما دلیل اینکه برای من احمقانه نبود این بود که در واقع هیچ سیستمی برای اجرای PHP ندارم. بنابراین برای من، مطمئنا احساس مسئولیتی در قبال کاربران اینترنت دارم. اگر در وسط دریای آدریاتیک سوار قایق می شدم برای من روز دیوانه کننده ای بود. ممکن است این اتفاق بیفتد. اما وقت داشتم تا بسته ها را آماده کنم.

وارزل: این یک جور وحشی است.

سوری: و حتی بدون من، مردم همچنان می‌توانند PHP را از منابع دیگر دریافت کنند و خودشان آن را کامپایل کنند. اما برای همه پیچیده تر خواهد بود. و برخی از افراد فورا مهارت ارتقاء PHP را ندارند. کاری که پروژه PHP انجام داد، انتشار کد منبع برای زبان بود. کاری که من انجام می دهم این است که آن را در مواردی به نام بسته هایی که مردم می توانند روی سرورهای خود نصب کنند آماده می کنم. این بسیار راحت است، و سریعتر است، و می توانید آن را خودکار کنید و می توانید همان بسته را روی صدها و هزاران سرور نصب کنید، و نیازی به کامپایل آن ندارید.

اگر در دسترس نبودم، زمان بیشتری می برد. برخی از آنها مهارت را ندارند. واقعا، از پروژه PHP تشکر می کنم که من را به این گروه مخفی دعوت کرد که از آسیب پذیری ها می دانست و قبل از انتشار عمومی به آن دسترسی داشت.

وارزل: وقتی از شما دعوت شد، آیا این یک لحظه تلخ واقعی برای شما بود؟

سوری: من در مرحله ای از زندگی ام هستم که در آن بودم، این بد است. باید اصلاح شود. اما حداقل برای من باعث وحشت نمی شود. باعث وحشت بسیاری از مردم شد. اما می دانید، بیشتر شبیه این بود که ما شرایطی داریم، باید حل شود و اینطوری انجامش می دهیم. و من برای آماده سازی مناسب وقت دارم. اگر وقت کافی برای آماده شدن نداشتم، استرس زیادی ایجاد می کردم. از جایی که ایستاده ام، استرس نداشتم، زیرا من به عنوان یک داوطلب این کار را انجام می دهم و اگر اتوبوس به من برخورد کند، مشکل شخص دیگری خواهد بود.

وارزل: هر بار که در مورد دنیای امنیت سایبری و نرم‌افزار متن‌باز می‌نویسم، این گروه از نگهبانان را کشف می‌کنم: افرادی مانند شما که این کار را انجام می‌دهند زیرا برایشان اهمیت دارد. اغلب، هیچ کس نام آنها را نمی داند. اما آیا صفی از مردم وجود دارد که اگر مثلا اتوبوس به شما برخورد کند، جای شما را بگیرند؟

سوری: من در واقع به برنامه های احتمالی فکر می کنم. و ما با رافائل هرتزوگ از شرکت نرم افزاری Freexian صحبت می کنیم. مزیت من این است که تخصص زیادی دارم و می‌دانم آن چیز را کجا لمس کنم تا کار کند. اما Freexian تخصص زیادی دارد و اگر هر اتفاقی بیفتد می‌توانند مسئولیت را بر عهده بگیرند.

مردم از دیروز مبالغ کم و مبالغ بزرگتر را مانند دیوانه ها اهدا می کنند. من می خواهم از همه آنها تشکر کنم.

وارزل: آیا کمک های مالی بسیار زیاد بوده است؟

سوری: سطح پول سیلیکون ولی نیست، اما مقدار زیادی از کمک‌ها را دریافت کردم که قبلا هرگز ندیده بودم. این مانند یک سال از مشارکت های جمع آوری شده در 24 ساعت گذشته است.

[متئو وونگ: تا زمانی که می توانید این وب سایت را بخوانید]

وارزل: اگر این به همان سرعتی که بود وصله نمی شد، چه اتفاقی می افتاد؟

سوری: خیلی چیزها ممکن بود اتفاق بیفتد. نکته بسیار اساسی این است که خرابکاری صورت می گیرد و سایت ها از بین می روند. و اکنون هر روز شاهد این موضوع در اینترنت هستیم. چیز دیگری که اتفاق می افتد این است که شخصی دسترسی پیدا می کند و یک بات نت را از این دستگاه ها اجرا می کند. من می‌توانم بگویم که در حال حاضر بیشتر جنایت‌های سازمان‌یافته این کار را انجام می‌دهند - مثل یک پسر کوچک در زیرزمین نیست که این کار را برای سرگرمی انجام دهد. انگیزه‌های مالی برای این افراد وجود دارد تا خدمات بات‌نت را بفروشند یا برای کسب سود، استخراج رمزنگاری روی این سرورها را انجام دهند.

و این هنوز هم ممکن است اتفاق بیفتد زیرا اینطور نیست که همه PHP خود را اصلاح کرده و به روز کرده باشند.

Warzel: من یک پست در X دیدم که می‌گفت همه نسخه‌های PHP وصله نشده‌اند، و یک سوم اینترنت به‌طور دائمی یا خراب یا آسیب‌پذیر است. آیا این درست است؟

سوری: اطلاعات اولیه درست نیست. راه هایی برای پچ کردن حتی نسخه های قدیمی وجود دارد.

وارزل: بنابراین یک سوم اینترنت برای همیشه خراب نیست. باشه

سوری: نه، این درست نیست. اگر مردم به اندازه کافی اهمیت دهند، می توانند حتی این نسخه های قدیمی PHP را به روز کنند.

وارزل: این یک لحظه ترسناک برای امنیت سایبری است. من افرادی را به صورت آنلاین دیده‌ام که به این آسیب‌پذیری و سایر هک‌های عامل هوش مصنوعی با عنوان «اکتبر سیاه» اشاره می‌کنند، و این نگرانی وجود دارد که عوامل تدافعی یا مهاجم بتوانند این آسیب‌پذیری‌ها را پیدا کنند. این احساس وجود دارد که من از جامعه امنیت سایبری متوجه می‌شوم که ترس آنها از آینده‌ای که در آن چیزها سریع‌تر از توانایی مردم مورد بهره‌برداری یا کشف قرار می‌گیرند در حال تحقق است - اینکه ما در آن لحظه زندگی می‌کنیم.

و سپس به طور جداگانه، گروهی از مردم وجود دارند که می‌گویند در اینجا تعادل وجود دارد: اگر عوامل بسیار مداومی دارید که در شناسایی و بهره‌برداری از آسیب‌پذیری‌ها بسیار خوب هستند، همچنین عوامل بسیار پایداری دارید که در دفاع از آنها بسیار خوب هستند.

سوری: آنچه ما دیدیم این است که همه چیز سرعت گرفته است - کاملا درست است. مدافعان همچنین می توانند از مدل های زبان بزرگ برای یافتن آسیب پذیری ها برای خود استفاده کنند. من معتقدم که این به این واقعیت ساده خلاصه می شود که زیرساخت های فناوری اطلاعات اغلب بدیهی تلقی می شود.

اولویت و پول کافی برای نگهداری درست زیرساخت فناوری اطلاعات در مکان‌های مختلف وجود ندارد. این فقط شرکت ها نیستند؛ همچنین بسیاری از لوازم الکترونیکی مصرفی قدیمی مورد حمله قرار می گیرند. من به نوعی موافقم که همه چیز در حال حاضر به سرعت پیش می‌رود و به افرادی که از چیزها دفاع می‌کنند آسیب می‌زند. در عین حال، شاید این نقطه عطفی باشد که ما در واقع شروع به توجه به این موضوع می کنیم.

[ایان بوگوست: تهاجم به بات نت بدافزار هوش مصنوعی که خود تکرار می شود]

وارزل: آیا فکر می‌کنید واقعا چنین خواهد شد؟

سوری: من ممکن است اشتباه کنم، اما من خوشبین هستم که مردم در نهایت متوجه شوند که ما نمی توانیم برای همیشه اینطور پیش برویم. این یک فاجعه است که در انتظار وقوع برای مدت بسیار طولانی است. و این تنها یکی از زنگ های بیداری بسیاری است که آمد و خواهد آمد.

وارزل: من از اینکه چقدر زیرساخت ها در مناطق خاصی از اینترنت می تواند به یک یا دو نفر وابسته باشد شگفت زده شده ام. در همه اینها شکنندگی وجود دارد که نگران کننده است. پس چی میخوای ببینی؟

سوری: وقتی شروع به کار با منبع باز کردم، جالب بود. و به نوعی هنوز هم هست. اما محیط تغییر کرده است. منبع باز گاهی اوقات شبیه بهره برداری است. چیزی که می‌خواهم ببینم این است که مدل جدیدی پیدا کنم که در آن افرادی که روی منبع باز کار می‌کنند برای کارشان و ساعت‌ها و ساعت‌هایی که برای آن صرف می‌کنند از افرادی که بیشترین بهره را از کارشان می‌برند جایزه دریافت کنند. من دوست دارم شرکت ها متوجه شوند که این استثمار است. هر گونه بهره برداری پایدار نیست.

و اگر این روند ادامه پیدا کند، نتیجه بدی خواهد داشت، زیرا افرادی که متن باز را انجام می دهند، در نهایت انگیزه برای انجام هر کاری را از دست خواهند داد.

وارزل: به نظر می رسد که شما نسبت به همه اینها احساس نفس ندارید. اما شما کارهایی انجام دادید و دیروز به تعداد زیادی از مردم در هر گوشه از جهان کمک کردید. با دانستن نقشی که بازی کردید، بعد از همه اینها خوابیدن دیشب چه حسی داشت؟

سوری: خب، همسرم می‌گوید که من از نظر عاطفی مرده‌ام، اما اینطور نیست. و حس خوبی داشت مانند دیدن شبکه اجتماعی من که پر از یادداشت های تشکر می شود، و ایمیل هایی با تشکر از شما دریافت می کنم، واقعا احساس خوبی دارد. کاری که من انجام می دهم تا حدودی معنا می دهد. احساس کردم کاری که انجام می دهم هدفی دارد.

وارزل: کل اینترنت از زحمات شما قدردانی می کند. آیا کاری وجود دارد که به افراد عادی توصیه کنید در این لحظه برای بهبود بهداشت اینترنت خود انجام دهند؟

سوری: من توصیه می کنم آنها به متخصصان اعتماد کنند. این کاری است که همه ما در یک بحران انجام می دهیم: با متخصصان صحبت می کنیم و به آنها اعتماد می کنیم. به مردم تکیه کنید، که افرادی که از این چیزها مراقبت می کنند بدانند چه کار می کنند. و این تنها کاری است که می توانیم انجام دهیم.