PHP turvaaugud ja miks küberturvalisus ei saa kunagi valmis

Allkirot ehitades mõtlen päris palju sellele, mida tähendab kliendi dokumentide hoidmine ja usalduse loomine. Kui klient usaldab sulle oma lepingud ja ettevõtte dokumendid, ei usalda ta sulle lihtsalt faile. Ta usaldab oma klientide ja lepingupartnerite andmeid, kokkuleppeid ja osa ettevõtte igapäevasest toimimisest.

See on vastutus, mis ulatub palju kaugemale sellest, kas rakendus töötab kiiresti ja mugavalt.

Seepärast jäid mulle silma hiljutised PHP turvanõrkused.

Mis juhtus?

21. oktoobril avaldati parandused kahele kriitilisele PHP turvanõrkusele, mis teatud tingimustel võimaldavad ründajal serveris käivitada oma koodi. PHP ametlik turvateade

Ohu tõttu võeti mitmes Euroopa riigis riigiasutuste veebilehti ettevaatusabinõuna ajutiselt võrgust maha. Näiteks piirasid oma veebiteenuste tööd Soome ja Hollandi asutused ning Lätis oli ajutiselt häiritud ligipääs riiklikele digiteenustele, sealhulgas rahvusringhäälingu LSM portaalile. Ka Eestis esines tõrkeid: probleeme oli näiteks Rahvusarhiivi töös ning Haridus- ja Teadusministeerium peatas ajutiselt Moodle’i õppekeskkonna töö. CNBC

Ühe turvanõrkuse leidmisel kasutati OpenAI tehnoloogiat ning turvaettevõte Wiz avastas ja teavitas sõltumatult mõlemast turvanõrkusest. See näitab tehisintellekti kahte külge: AI aitab turvanõrkusi kiiremini leida, kuid samad võimekused võivad aidata neid ka ära kasutada. Seetõttu muutub üha olulisemaks, kui kiiresti suudame nõrkusi tuvastada ja parandada.

Üks huvitav veebileht, mis annab aimu küberturvalisuse hetkeseisust ja sellest, kuidas ohud muutuvad, on Zero Day Clock. Soovitan põgusalt sirvida - põnev ja kõhedusttekitav info kohe kindlasti.

Mida see tähendab Allkiro jaoks?

Allkiro on kirjutatud Pythonis, mitte PHP-s, mistõttu need konkreetsed turvanõrkused meie rakenduse koodi ei puuduta. Kuid programmeerimiskeele valik üksi ei ütle kuigi palju selle kohta, kui turvaline üks teenus tegelikult on.

Turvalisus sõltub tervikust: kuidas on süsteem üles ehitatud, kuidas kaitstakse andmeid ja piiratakse ligipääse, kui kiiresti jõuavad turvaparandused kasutusse ning kui hästi suudame uusi riske märgata.

Allkirot ehitades jälgime küberturvalisuse ja tehisintellekti arengut ning testime oma süsteemi regulaarselt. Tahame võimalikke nõrkusi avastada võimalikult vara ja uutele ohtudele kiiresti reageerida.

Ma ei usu, et ükski teenus saab kunagi turvalisuse mõttes lõplikult valmis. Tehnoloogia areneb, ohud muutuvad ja ka kaitsemeetmed peavad arenema.

Dokumendiplatvormi puhul on mugav kasutajakogemus oluline. Aga see ei tohi tulla turvalisuse arvelt.

Asko Elken
Allkiro kaasasutaja