Κενό ασφαλείας στην PHP: ιστότοποι ξανανοίγουν, ο έλεγχος συνεχίζεται

Η PHP είναι η γλώσσα προγραμματισμού που τρέχει πίσω από πάρα πολλούς ιστοτόπους, και μέσα σε λίγες ώρες από τις επείγουσες διορθώσεις της κρατικές πύλες στην Ολλανδία και την Ελλάδα επέστρεψαν στο διαδίκτυο. Οι επιτιθέμενοι όμως είχαν ήδη ξεκινήσει, και η ενημέρωση κλειδώνει την πόρτα για το μέλλον χωρίς να δείχνει αν μπήκε κανείς πριν. Μέχρι στιγμής δεν έχει ανακοινωθεί επιβεβαιωμένη παραβίαση συγκεκριμένου ιστοτόπου, και ο αναδρομικός έλεγχος μόλις ξεκινά (SecurityWeek).

Η PHP δουλεύει αθέατη, από ιστοσελίδες επιχειρήσεων έως κυβερνητικές πύλες. Δύο σοβαρές ευπάθειές της, που εντοπίστηκαν με τη βοήθεια τεχνητής νοημοσύνης, έκαναν κυβερνήσεις και επιχειρήσεις να κατεβάσουν σελίδες προληπτικά (To Brief). Οι διορθωμένες εκδόσεις κυκλοφόρησαν στις 21 Οκτωβρίου (PHP), και από εκείνη τη στιγμή ξεκίνησε αγώνας ταχύτητας.

Στην Ολλανδία είχαν κλείσει, μεταξύ άλλων, το MijnOverheid και ο ιστότοπος της υπηρεσίας ψηφιακής σύνδεσης DigiD. Το πρώτο επανήλθε λίγο μετά τις 18:00 και ο δεύτερος γύρω στις 20:30 της ίδιας ημέρας. Στο μεταξύ η σύνδεση μέσω DigiD σε άλλους ιστοτόπους συνέχιζε να λειτουργεί (NOS).

Στην Ελλάδα, η Εθνική Αρχή Κυβερνοασφάλειας έθεσε προσωρινά εκτός λειτουργίας το δικό της cyber.gov.gr, που επανήλθε στις 12:52 της 22ας Οκτωβρίου (ΕΑΚ). Για άλλες ελληνικές υπηρεσίες που ενδεχομένως έκλεισαν δεν έχει δοθεί απολογισμός. Στη Βρετανία η εικόνα ήταν βαρύτερη: υπουργική δήλωση στη Βουλή των Λόρδων μέτρησε στις 22 Οκτωβρίου 32 μη διαθέσιμες και τέσσερις μερικώς διαθέσιμες κεντρικές κυβερνητικές υπηρεσίες, κυρίως λόγω προληπτικών μέτρων (Hansard).

Οι επιτιθέμενοι δεν περίμεναν. Ο επικεφαλής της Cloudflare, Matthew Prince, έγραψε ότι το δίκτυό της είδε χιλιάδες απόπειρες ήδη τις δέκα ώρες πριν από τη δημόσια ανακοίνωση, δεκάδες χιλιάδες στα πρώτα 45 λεπτά μετά και «εκατομμύρια» έως τα ξημερώματα της επομένης (Matthew Prince). Η Imperva, μόνο μέσα στο δικό της δίκτυο, κατέγραψε στο πρώτο 24ωρο ύποπτη κίνηση προς περίπου 22.000 ιστοτόπους σε 103 χώρες (Imperva). Η ίδια διευκρινίζει ότι η στόχευση δεν σημαίνει επιτυχία: αυτοί οι αριθμοί μετρούν χτυπήματα στην πόρτα, όχι εισόδους.

Γιατί η νέα κλειδαριά δεν λέει τι έγινε χθες

Η διόρθωση μοιάζει με αλλαγή ελαττωματικής κλειδαριάς. Σε προστατεύει από τον επόμενο που θα δοκιμάσει. Δεν σου λέει όμως αν κάποιος πέρασε όσο η παλιά ήταν στη θέση της, ούτε βγάζει από το σπίτι ό,τι μπορεί να άφησε πίσω του, για παράδειγμα ένα κρυφό κλειδί για να ξαναμπεί. Και η καινούργια κλειδαριά πρέπει πρώτα να μπει στην πόρτα: η νέα PHP προστατεύει μόνο όταν το πρόγραμμα που σερβίρει τη σελίδα ξαναξεκινήσει με τον νέο κώδικα, αλλιώς η παλιά εκδοχή συνεχίζει να απαντά στους επισκέπτες.

Γι' αυτό το ολλανδικό Εθνικό Κέντρο Κυβερνοασφάλειας (NCSC) έχει συγκεντρώσει οδηγίες για αναδρομικό έλεγχο (NCSC-NL). Οι διαχειριστές ψάχνουν στα αρχεία καταγραφής για παράξενα αιτήματα, απρόσμενες καταρρεύσεις, νέα αρχεία, συνδέσεις προς τα έξω που κανείς δεν ζήτησε και αλλαγές σε λογαριασμούς. Ένα ύποπτο ίχνος είναι στοιχείο προς διερεύνηση, όχι απόδειξη. Αν βρεθεί πρόσβαση, ακολουθούν διατήρηση τεκμηρίων, απομάκρυνση του εισβολέα και εκτίμηση των δεδομένων που θίχτηκαν.

Το ίδιο NCSC ανέφερε στις 22 Οκτωβρίου ότι εξετάζει τα πρώτα σήματα επιτυχούς εκμετάλλευσης, που του έφτασαν από επαφές εντός και εκτός Ολλανδίας, χωρίς να κατονομάσει θύμα (Tweakers). Η Sophos, από την άλλη, απέσυρε αρχική εκτίμηση για επιτυχημένο περιστατικό, όταν ο περαιτέρω έλεγχος έδειξε μόνο σάρωση και αποτυχημένες προσπάθειες (SecurityWeek). Στην Ελλάδα, το EL-CSIRT διαβίβασε σε αρμόδιες ομάδες δείκτες παραβίασης, δηλαδή τα αποτυπώματα που αφήνει μια επίθεση, για να ελεγχθούν. Πρόκειται για κίνηση έρευνας και όχι για ανακοίνωση περιστατικού (ΕΑΚ).

Η ίδια η ενημέρωση προχωρά άνισα. Στην Ολλανδία, μέτρηση του NOS βρήκε περίπου 145.000 ιστοτόπους που ίσως παραμένουν ευάλωτοι, απέναντι σε 113.000 ενημερωμένους (Tweakers), ενώ στη Δανία εκτίμηση της 23ης Οκτωβρίου μετρά ακόμη περίπου 21.300 ιστοτόπους .dk χωρίς τη διόρθωση (Copenhagen Post). Το «ίσως» έχει βάρος, αφού διανομές όπως το Debian ενσωματώνουν διορθώσεις χωρίς να αλλάζουν τη σειρά έκδοσης (Debian). Ο απλός επισκέπτης δεν έχει τίποτα να διορθώσει στη δική του συσκευή· η ευθύνη ανήκει σε όποιον τρέχει τον ιστότοπο.

Οι πύλες που άνοιξαν ξανά δείχνουν ότι η πόρτα κλείδωσε. Αν πέρασε κανείς τις ώρες πριν, θα το πουν μόνο τα αρχεία καταγραφής, και οι διαχειριστές τα διαβάζουν ακόμη.