חוקר אבטחה מצא יותר מ-100 פרצות חמורות בקוד ציבורי של ממשלת בריטניה
חוקר האבטחה כריס נסביט-סמית' סרק 349 מאגרי קוד ציבוריים של 33 גופים במגזר הציבורי הבריטי ומצא בהם יותר מ-100 פרצות חמורות. לדבריו, הוא השתמש במודלי Claude שזמינים לכל צרכן ועבד על מחשב נייד. במקרה החמור ביותר דלפו פרטי התחברות, שלדבריו היו מאפשרים גישה נרחבת למסמכים ולקבצים של רשות התכנון באנגליה.
חוקר אבטחה מצא יותר מ-100 פרצות אבטחה חמורות בקוד שממשלת בריטניה מפרסמת לציבור. חלק מהפרצות סיכנו מידע רגיש במשרדי ממשלה ובגופים ציבוריים. החוקר הוא כריס נסביט-סמית' מחברת ControlPlane. הוא סרק 349 מאגרי קוד של 33 ארגונים במגזר הציבורי, ולדבריו מצא פרצות בכשני שלישים מהמאגרים. לפי WIRED, כל הגופים שנמצאו בהם פרצות כבר טיפלו בהן.
קוד פתוח מכספי ציבור
כבר כעשור, ממשלת בריטניה מפרסמת כברירת מחדל את הקוד שהיא מפתחת בכספי ציבור. ההיגיון כפול: זה שקוף, וזה חוסך כסף כי גופים אחרים יכולים להשתמש באותו קוד. המדיניות חלה על משרדים כמו משרד הבריאות ומשרד הפנים, וגם על רשויות מקומיות. לפי WIRED, קיצוצים בתקציבים גרמו למשרדים להזניח את התחזוקה והשיפור של מערכות המחשוב שלהם.
נסביט-סמית' איתר את הפרצות בעזרת מודלי Opus ו-Sonnet של Claude, מבית אנתרופיק. לדבריו, הוא השתמש במודלים ברמה שזמינה לכל צרכן ועבד על מחשב נייד. לטענתו, חלק גדול מהבעיות היו מתגלות גם בבדיקה שגרתית של מערכות המחשוב. "שום דבר מזה אינו ברמת התחכום שהתקשורת מודאגת ממנה בהקשר של מתקפות סייבר", אמר ל-WIRED. "הכול דברים טיפשיים".
גישה "ברמת אל"
המקרה החמור ביותר נמצא ברשות הפיקוח על התכנון (Planning Inspectorate), שמטפלת בנושאי שימושי קרקע ברחבי אנגליה. הרשות העלתה בטעות פרטי התחברות למאגר ציבורי ב-GitHub, ולא הסירה אותם עד הסוף. לדברי החוקר, פרטי ההתחברות של Microsoft Entra ID (מערכת ניהול הזהויות וההרשאות של מיקרוסופט) היו נותנים גישת קריאה וכתיבה "ברמת אל" לכל אתרי ה-SharePoint של הרשות ולחשבונות ה-OneDrive הפרטיים של העובדים, כולל רשומות משאבי אנוש. הם גם היו פותחים גישה לספריות רגישות שבהן נשמרות ראיות בהקפאה משפטית, לטובת חקירות וערעורים בנושאי תכנון. מה שהחמיר את המצב, לדבריו, הוא שההרשאות היו רחבות מאוד וככל הנראה לא פגו לעולם. "האפשרות לתקוף אותם בכופרה, להצפין את כל המידע או פשוט לגנוב את כל המידע, הייתה שם בשפע", אמר.
דובר הרשות אמר ל-WIRED שכלי ניטור הסייבר שלה זיהו את הפעילות של החוקר מיד, באוגוסט. לדבריו, הרשות כבר טיפלה באירוע כאירוע סייבר כשחברת ControlPlane פנתה אליה. הרשות תיקנה את הפרצה תוך 20 דקות מהדיווח ווידאה שלא דלף מידע.
פרצות נוספות נמצאו בקוד של משרד החינוך. אחת הייתה בשירות רכש שבתי ספר משתמשים בו. אחרת הייתה בשירות הגשת מועמדות להוראה, שמכיל פרטים אישיים, השכלה, היסטוריה תעסוקתית ומסמכי זיהוי. פרצה נוספת נמצאה במרשם המרכזי של אנגליה לספקי הכשרה והתמחויות במימון ממשלתי. גם בפורטל המידע הפתוח של ממשלת סקוטלנד נמצאה פרצה: כל מבקר באתר יכול היה לקרוא מידע על חשבונות הניהול ולשנות את הגדרות האתר.
לסגור את הקוד או לתקן אותו?
אמנדה ברוק, מנכ"לית ארגון התעשייה ללא מטרות רווח OpenUK, טוענת שהמקרה של רשות התכנון "אינו עניין של קוד פתוח, אלא של סדר פנימי בשימוש בכלים ציבוריים". לדבריה, המידע נחשף כי לא פעלו לפי נהלים תקינים, "וזו לא בעיית אבטחה של קוד פתוח".
הוויכוח הזה כבר לא תיאורטי. לאחרונה עלו קולות שקוראים לגופים ציבוריים להפסיק לפרסם קוד בפומבי, כי ה-AI מאיץ את מציאת הפרצות. לפי דיווחים, ה-NHS (שירות הבריאות הבריטי) הורה במאי לצוותי הטכנולוגיה שלו להתרחק מקוד פתוח, על רקע חשש מיכולות של מודלי AI.
נסביט-סמית' חושב שזה "התרחיש הגרוע ביותר" אם הקוד ייסגר בלי לתקן קודם את הבעיות. לדבריו, סגירת הקוד תמנע מחוקרים כמוהו למצוא את הפרצות. בנוסף, סביר שתוקפים כבר שמרו עותקים של המאגרים, כך שהם ימשיכו ליהנות מגישה אליהם. "אלא אם אתם מתכוונים לתקן את כל הבעיות, סגירה כנראה רק תמשוך יותר תשומת לב", אמר. "זה כמו לתלות שלט 'כאן יש דרקונים, אבל בבקשה אל תסתכלו'".
המשמעות, ככל הנראה, היא שהבעיה העיקרית אינה פרסום הקוד, אלא תחזוקה לקויה. כלי AI שזמינים לכל אחד כנראה מקצרים את הזמן שלוקח למצוא טעויות בסיסיות, והם עומדים לרשות מגינים ותוקפים כאחד. ההבדל הוא מי ישתמש בהם קודם.
כל בוקר במייל?סיכום חדשות ה-AI של אתמול, בעברית, בדקות קריאה ספורות. חינם, בלי ספאם.
מעדיפים טלגרם?להצטרפות לערוץ ←
ביטול בקליק אחד, בכל מייל · מדיניות פרטיות