රෂිකා හෙන්නායක ඔක්තෝබර් 22, කොළඹ LNW :
ලොව පුරා වෙබ් අඩවි, ජිම් ඇප්ස් සහ රාජ්‍ය සේවාවන් හදිසියේම අක්‍රිය විය. එහෙත් පුදුමයකට මෙන් කිසිදු සාර්ථක සයිබර් ප්‍රහාරයක් හෝ දත්ත සොරකමක් සිදුවී තිබුණේ නැත. මුළු අන්තර්ජාලයේ වෙබ් අඩවිවලින් 70%කට ආසන්න ප්‍රමාණයකට පදනම වන PHP ක්‍රමලේඛන භාෂාවේ (programming language) හමු වූ තාක්ෂණික දෝෂයක් (vulnerability) මෙයට හේතු විය. PHP යනු වෙබ් අඩවියක පසුපස පද්ධතිවල (backend) දත්ත රැස්කර පරිශීලකයාට කියවිය හැකි පරිදි තිරය මත පෙන්වන ප්‍රධාන කේත යාන්ත්‍රණයයි. මෙම දෝෂය සොයාගැනීමට මෙන්ම ඊට පසුව ඇති වූ කලබලකාරී තත්ත්වයටද කෘත්‍රිම බුද්ධිය (AI) සෘජුවම බලපෑවේය.
පිපිරී නොගිය සයිබර් බෝම්බය - ප්‍රහාරයකින් තොරව සිදු වූ දැවැන්තම බිඳවැටීම
Wiz සයිබර් ආරක්ෂණ ආයතනයට අනුව අන්තර්ජාලයෙන් 70%කට ආසන්න ප්‍රමාණයකට, එනම් වෙබ් අඩවි මිලියන 30කට පමණ මෙහි බලපෑම එල්ල වී ඇත. Cloudflare ආයතනය සඳහන් කළේ සිය ජාලය වෙත පැමිණි “මිලියන ගණනක” ප්‍රහාරාත්මක ස්කෑන් කිරීම් නිරීක්ෂණය වූ නමුත් කිසිවක් සාර්ථක වී නැති බවයි. එක්සත් රාජධානියේ රාජ්‍ය සේවාවන් 32ක් සම්පූර්ණයෙන්මද, 4ක් අර්ධ වශයෙන්ද පූර්වාරක්ෂක පියවරක් ලෙස තාවකාලිකව අක්‍රිය කිරීමට සිදු විය.
මෙම සිදුවීමේ විශේෂත්වය වන්නේ මෙය දත්ත පැහැරගැනීමකින් හෝ විනාශයකින් පසු සිදු කළ අලුත්වැඩියාවක් නොව, සිදුවීමට ගිය දැවැන්ත අනතුරක් වැළැක්වීමට ලොව පුරා සිදු කළ පූර්ව ආරක්ෂණ අක්‍රිය කිරීමක් වීමයි.
"PHP පුවත සයිබර් ලෝකයේ පිපිරී නොගිය බෝම්බයකට සමානයි - මෙතෙක් සිදු නොවූ සයිබර් සිදුවීමක් වෙනුවෙන් මෙතරම් නාට්‍යමය, ප්‍රසිද්ධ සහ ගෝලීය ප්‍රතිචාරයක් දැක්වූ අවස්ථාවක් මම මීට පෙර දැක නැත." — සෝයි ක්ලයින්මන් (Zoe Kleinman), තාක්ෂණ හා AI කර්තෘ.
AI තාක්ෂණයේ දෙපැත්ත කැපෙන කඩුව - සොයාගැනීම මෙන්ම සූරාකෑමත් වේගවත් කිරීම
මෙම අර්බුදයේදී AI තාක්ෂණය දෙපැත්ත කැපෙන කඩුවක් ලෙස ක්‍රියා කළේය. වසර ගණනාවක් තිස්සේ PHP පද්ධතිය තුළ නිහඬව සැඟවී තිබූ දෝෂ සොයා ගැනීමට පර්යේෂකයන්ට AI උපකාරී විය. මෙයට පෙර, එක්සත් රාජධානියේ කෘත්‍රිම බුද්ධිය පිළිබඳ අමාත්‍ය (AI Minister) කනිෂ්කා නාරායන් හෙළි කර තිබුණේ, රාජ්‍ය අංශයේ පද්ධතිවල තිබූ අලුත් දෝෂ 500ක් සොයාගැනීමට AI මාදිලියක් වෙනුවෙන් ඔවුන් පවුම් 13,000ක් වැය කළ බවයි. එයින් පැහැදිලි වන්නේ රජයන් පවා ආරක්ෂක පියවරක් ලෙස AI ස්කෑනර් භාවිත කරන බවයි.
නමුත් මෙහි අනෙක් පස වන්නේ ප්‍රහාරකයන්ද AI භාවිත කිරීමයි. සයිබර් වාර්තාකරු ජෝ ටයිඩි පෙන්වා දෙන්නේ, පද්ධතිවල ඇති අඩුපාඩු සොයා ප්‍රහාරාත්මක කේත නිර්මාණය කිරීමට අපරාධකරුවන්ට ගතවන කාලය AI නිසා සීඝ්‍රයෙන් අඩු වී ඇති බවයි.
“දැන් අප සතුව AI ඇති නිසා, ප්‍රහාරයක් සඳහා භාවිත කළ හැකි ක්‍රමයක් නිර්මාණය කිරීමට අපරාධකරුවන්ට ගත වී ඇත්තේ දින භාගයක් පමණි [2021 දී මෙයට දින 15ක් ගත විය].” — ජෝ ටයිඩි (Joe Tidy), සයිබර් වාර්තාකරු.
රහස් තොරතුරු කාන්දුවීම නිසා සැලසුම් වෙනස් කිරීමට සිදුවීම
මෙම තාක්ෂණික දෝෂය පිළිබඳව OpenAI ආයතනය විසින් එක්සත් රාජධානියේ ජාතික සයිබර් ආරක්ෂණ මධ්‍යස්ථානය (NCSC) කලින්ම දැනුවත් කර තිබුණි. PHP Foundation හි මුල් සැලසුම වූයේ ආරක්ෂිතව කටයුතු සූදානම් කර ඔක්තෝබර් අග භාගයේදී නිල පැච් එක (patch) නිකුත් කිරීමටයි. එහෙත්, දෝෂය පිළිබඳ තොරතුරු අන්තර්ජාලයට කලින් කාන්දු වීම (leak) නිසා සැලසුම් කළ දිනට පෙර හදිසියේම නිවේදනය නිකුත් කිරීමට සිදුවිය.
මෙසේ හදිසියේ තොරතුරු එළිදරව් වීමත් සමඟ, පද්ධති යාවත්කාලීන කිරීමට උත්සාහ කරන ආරක්ෂක කණ්ඩායම් සහ යාවත්කාලීන නොකළ PHP පද්ධති සොයා ස්කෑන් කරන ස්වයංක්‍රීය AI ප්‍රහාරකයන් අතර දැවැන්ත කාල තරගයක් නිර්මාණය විය.
තාක්ෂණික දෝෂයක් එදිනෙදා ජීවිතයට බලපාන අයුරු
වෙබ් අඩවිවල පසුපස පද්ධතිවල (backend) පවතින කේත සංකේත එදිනෙදා සාමාන්‍ය ජීවිතයට සෘජුවම බලපාන ආකාරය මෙහිදී පැහැදිලි විය:
- David Lloyd Clubs ජිම් ඇප් එක අක්‍රිය වීම
- ගෝලීය අක්‍රියතාව නිසා ඔවුන්ගේ ඇප් එක තාවකාලිකව වසා දැමීමට සිදු වූ අතර, පන්ති සඳහා වේලාවන් වෙන්කර ගැනීමට සාමාජිකයන්ට පෞද්ගලිකව පැමිණීමට සිදු විය.
- මෝටර් රථ පරීක්ෂණ (MOT) කඩදාසිවලින් සිදු කිරීමට සිදුවීම
- චෙප්ස්ටෝ හි ගරාජයක් පවත්වාගෙන යන ඩීන් ප්‍රෙස්ලි (Dean Presley) සඳහන් කළේ DVSA අන්තර්ජාල MOT සහතික පද්ධතිය අක්‍රිය වීම නිසා සියලු ලේඛන කඩදාසිවල අතින් ලිවීමට සිදු වූ බවයි.
එදිනෙදා යටිතල පහසුකම් පිටුපස PHP වැනි පැරණි කේත කොතෙක් දුරට බද්ධ වී ඇත්දැයි පැහැදිලි වන්නේ මෙවැනි අක්‍රිය වීමකදීය.
කුඩා ව්‍යාපාර සයිබර් ප්‍රහාරවලින් ආරක්ෂා වීමට ගත යුතු ක්ෂණික පියවර
විශාල සමාගම්වලට IT දෙපාර්තමේන්තු තිබුණද, කුඩා ව්‍යාපාර වඩාත් අවදානමට ලක්විය හැක. සයිබර් ආරක්ෂණ විශේෂඥයන් වන චාලට් විල්සන් (Charlotte Wilson) සහ කෙන් මුන්රෝ (Ken Munro) ලබා දෙන උපදෙස් මෙසේය:
- සංවර්ධකයා (Developer) හෝ Hosting සමාගම අමතන්න
- ඔබගේ වෙබ් අඩවිය සංවර්ධනය කළ (Developer) හෝ Hosting සපයන ආයතනය අමතා PHP ආරක්ෂණ පැච් (patches) යොදා ඇත්දැයි තහවුරු කරගන්න. වෙනත් අයෙකු එය කර ඇතැයි පූර්ව නිගමනය නොකරන්න.
WordPress පමණක් Update කිරීම ප්‍රමාණවත් නොවේ- WordPress හෝ එහි Plugins පමණක් update කිරීමෙන් මෙම දෝෂය නොවිසඳේ. PHP core එකම සෘජුවම update කළ යුතුය.
- දත්ත Backup ලබාගන්න
- යම් ගැටලුවක් වුවහොත් ඉක්මනින් යථා තත්ත්වයට පත් කරගත හැකි පරිදි සජීවී වෙබ් අඩවියෙන් වෙනම Backup copy එකක් තබාගන්න.
පද්ධතිය නිරීක්ෂණය (Monitor) කරන්න- ආරක්ෂණ පැච් යෙදීමෙන් පසුව පවා වෙබ් අඩවියේ සැකකටයුතු හැසිරීම් තිබේදැයි නිරන්තරයෙන් නිරීක්ෂණය කරන්න.
- අවශ්‍ය නම් අන්තර්ජාලයෙන් ඉවත් කරන්න (Isolate/Offline): ඉක්මනින් Update හෝ පිළියම් යෙදිය නොහැකි නම්, වෙබ් අඩවිය තාවකාලිකව අන්තර්ජාලයෙන් ඉවත් (offline) කරන්න.
