Softueri me burim të hapur është kudo—përdoret pothuajse në çdo aplikacion modern—por sfidat e sigurisë me të cilat përballet vazhdojnë të bëhen më serioze. Duke u mbështetur në shtyllën kurrizore të vullnetarëve, dobësitë tani e bëjnë atë një objektiv kryesor për sulmet kibernetike si nga hakerat keqdashës ashtu edhe nga aktorët shtetërorë. Thirrja e ngushtë me sulmin e pasme të xz Utils thekson se sa e brishtë mund të jetë siguria me burim të hapur. Meqenëse mjetet me burim të hapur janë vendimtare si për kompanitë private ashtu edhe për qeveritë, do të kërkohen investime më të mëdha nga sektori privat dhe sektori publik.  Pjesa më e madhe e kodit të internetit me burime të shumta është e ndjeshme ndaj infiltrimit nga aktorë të këqij dhe shtet-kombe. Softueri me burim të hapur është në "zemrën e internetit", ai mirëmbahet kryesisht nga një grusht   dhe kjo e bën atë një rrezik të madh sigurie për korporatat dhe qeveritë njësoj, raportoi   . Softueri me burim të hapur zakonisht vendoset në të gjithë   dixhitale për shkak të kostos së tij të ulët. Kjo infrastrukturë, e cila është e ngulitur në të gjithë botën dixhitale, është nën sulmin e shteteve-kombe të ndryshme armike. vullnetarësh The Economist infrastrukturën  Martin Woodward, VP i marrëdhënieve me zhvilluesit në GitHub   më parë, "Softueri me burim të hapur është themeli i 99% të softuerit në botë." Rreth 97% e aplikacioneve përdorin kod me burim të hapur, me 90% të kompanive që e inkorporojnë ose e përdorin atë në një farë kapaciteti. tha   Çfarë ka treguar viti i kaluar në sigurinë me kod të hapur  Incidenti xz Utils ishte një shembull drithërues i asaj që është në rrezik. Më 29 mars 2024, Andres Freund, një inxhinier softuerësh në Microsoft, "gjeti pa dashje një derë të pasme të fshehur në një pjesë të softuerit që është pjesë e sistemit operativ Linux". Kjo backdoor erdhi nga tarballet e lëshimit për xz Utils, të cilat u ngatërruan dhe lejuan akses të paautorizuar në sistemet që përdorin versionet e prekura. Kodi burimor që u komprometua ishte i   në sistemet Linux.   shkroi se inxhinieri parandaloi një "sulm kibernetik potencialisht historik". mjetit të kompresimit të të dhënave me burim të hapur xz Utils New York Times  Meqenëse xz Utils është softuer me burim të hapur, kodi i tij është i aksesueshëm publikisht, duke i lejuar këdo që të shikojë ndryshimet e bëra. Sidoqoftë, kjo hapje u shfrytëzua në një mënyrë veçanërisht të poshtër: sulmi synonte vetëm kodin në tarballs e lëshimit (skedari i ngjeshur i arkivit për versionin e një versioni të softuerit), duke e lënë të paprekur degën kryesore të depove. Kjo taktikë e zgjuar e bëri kompromisin më të vështirë për t'u zbuluar. Pa vigjilencën e një zhvilluesi dhe një goditje fati, sulmi mund të kishte shkaktuar dëme masive, duke shkelur sisteme të panumërta në mbarë botën.  Një zhvillues i quajtur Jia Tan filloi të jepte kontribute të dobishme të kodit në projekt dhe ngadalë të fitonte besim. Pastaj me kalimin e kohës, aktori i keq kontrabandoi malware. Një nga elementët më befasues të sulmit me dyer të pasme të xz Utils ishte mënyra se si u prezantua   me qëllim të keq përmes kryerjes së git në dukje të padëmshme. Në vend që të ndryshonte drejtpërdrejt kodin burimor xz Utils, malware u fsheh si kod objekti x86_64 brenda skedarëve të testimit binare, i maskuar si teste njësi për rastet e skajeve në dekompresimin XZ. Shërbimi i inteligjencës së jashtme të Rusisë, SVR, i dyshuar se qëndron pas   , është i njëjti shërbim inteligjent pas sulmit SolarWinds. kodi sulmeve  Ky incident nuk është i izoluar. Projektet me kod të hapur janë objektiva tërheqëse për aktorët shtetërorë sepse kodi është publik. Ndërsa kjo hapje është e shkëlqyeshme për bashkëpunim, ajo gjithashtu u jep sulmuesve qasje të lehtë për të studiuar kodin dhe përditësimet e tij. Burimi i hapur luan një rol jetik në infrastrukturën globale; Një   nga Lineaje në 2023 zbuloi se 70% e të gjithë softuerit sot është me burim të hapur dhe se 82% e komponentëve të softuerit me burim të hapur janë "në thelb të rrezikshëm". Fatkeqësisht, përdorimi i tij i kudondodhur i bën dobësitë e tij edhe më të rrezikshme. raport  Raportet nga Lineaje dhe të tjerët theksojnë rreziqet: 82% e komponentëve me burim të hapur konsiderohen të rrezikshëm për shkak të mirëmbajtjes së dobët, kodit të vjetëruar ose të metave të sigurisë. Shumë nga këto projekte drejtohen nga ekipe të vogla ose vullnetarë individualë me burime të kufizuara, duke i lënë ata të pambrojtur ndaj sulmeve.   Se si AI do të luajë një rol më të madh  Këtyre rreziqeve i shtohet rritja e modeleve të mëdha gjuhësore (LLM)   Ndërsa LLM-të ndihmojnë zhvilluesit me detyra si korrigjimi ose automatizimi i rrjedhave të punës, ato gjithashtu mund të keqpërdoren. Sulmuesit mund të përdorin LLM për të analizuar shpejt kodin me burim të hapur për dobësitë, duke e bërë më të lehtë gjetjen e të metave të shfrytëzueshme. Këto mjete të AI mund të krijojnë gjithashtu mesazhe bindëse phishing ose kontribute të rreme në projekte me burim të hapur, duke e bërë më të vështirë zbulimin e aktorëve të këqij. Aftësia e LLM-ve për të imituar ndërveprimin njerëzor rrit shanset që kodi keqdashës të kalojë pa u vënë re përmes phishing dhe vektorëve të tjerë të sulmit që mund të automatizohen. .  Pavarësisht nga rreziqet, LLM-të ofrojnë gjithashtu mundësi për të përmirësuar sigurinë me burim të hapur. Por ka një ekuilibër që duhet pasur pasi mund të jetë me kosto të kufizuar, pasi kompanitë nuk kanë gjasa të investojnë në ekzekutimin e analizuesve të bazuar në LLM në kodin me burim të hapur pa buxhet. Për shembull, sistemet e AI mund të tregojnë ndryshime të dyshimta në një bazë kodesh ose të zbulojnë modele të pazakonta në sjelljen e kontribuesve.   gjithashtu "përfitojnë nga baza me rritje të shpejtë të komuniteteve të zhvilluesve që shtyjnë kufijtë e tyre dhe shkallëzohen çdo ditë për të zgjidhur sfidat komplekse të sigurisë kibernetike". LLM-të me burim të hapur  Megjithatë, e njëjta teknologji që forcon mbrojtjen mund të përdoret gjithashtu   . Vendosja e një LLM me burim të hapur në një server ose në një mjedis cloud paraqet rrezikun e aksesit të paautorizuar në model ose në të dhënat e ndjeshme që ai trajton, nëse nuk ka kontrolle të duhura të sigurisë. Aktorët keqdashës mund të ngacmojnë të dhënat e trajnimit ose vetë modelin, duke injektuar kode të dëmshme ose paragjykime që rezultojnë në përmbajtje mashtruese ose keqdashëse. Për më tepër, LLM-   mund të rrjedhin informacione të ndjeshme, qoftë përmes tekstit të krijuar ose sulmeve që synojnë arkitekturën e modelit. me armë të e siguruara në mënyrë jo të duhur  Ajo që dikur u realizua me një depo të vetme duke përdorur mjete si xz Utils së shpejti mund të shkallëzohej në qindra nga një individ i vetëm duke përdorur teknologjitë e përparuara GenAI gjatë viteve të ardhshme – dhe ky ndryshim ka të ngjarë të ketë filluar tashmë. Barriera e hyrjes ka rënë në mënyrë dramatike, duke kaluar nga nevoja për burime të nivelit të shtetit kombëtar ose përkushtim ekstrem në diçka që tani mund të prodhohet në masë. Është plotësisht e besueshme që në vitet e ardhshme, shumica e përditësimeve të vogla ose të vogla në depo do të gjenerohen nga GenAI.  Ndërsa kontributet domethënëse dhe me cilësi të lartë të zhvillimit mbeten një sfidë tjetër, roli i mirëmbajtësit gjithashtu mund të ndryshojë. Në vend që të jenë zhvillues të aftë që kontribuojnë aktivisht me kodin, mirëmbajtësit mund të jenë gjithnjë e më shumë ata që shkëlqejnë në menaxhimin e punës së zhurmshme dhe paraqitjen e një imazhi ndihmues, duke ia lënë detyrat më komplekse ose inovative një grupi më të vogël zhvilluesish të përkushtuar.   AI gërryen besimin  Sulmet tradicionale të phishing përqendrohen në marrjen e drejtorisë së brendshme të një kompanie dhe në shënjestrimin e individëve kryesorë – ose atyre që u besojnë. Me ekosistemin e gjerë të varësisë së NPM, i cili është i aksesueshëm nga publiku, sulmuesit kanë një kënd tjetër. Ata mund të identifikojnë numrin e vogël të mirëmbajtësve për një paketë të caktuar, të vlerësojnë numrin e problemeve dhe ta përdorin atë informacion për të vendosur robotë që duken të dobishëm duke kontribuar në rregullime ose duke ofruar ndihmë. Kjo krijon një rrugë për të fituar besim dhe për t'u përfshirë në procesin e zhvillimit.  Identitetet më të mira të rreme krijohen me të dhëna të botës reale, të pasuruara me kalimin e kohës përmes postimeve në mediat sociale, të dhënave akademike dhe më shumë. Një ID e rreme bindëse përfshin një histori të detajuar, të kompletuar me foto, lidhje dhe një prani në internet. GenAI thjeshton krijimin e këtyre identiteteve, ndërkohë që i përmirëson ato duke simuluar aktivitetin e kodimit në platforma si GitHub.  Shumë kontribute të hershme për projektet me burim të hapur janë të vogla dhe të lehta për t'u verifikuar - si rregullimi i gabimeve shkrimore në komente ose përditësimi i varësive. Këto aktivitete janë ideale për sulmuesit që përdorin LLM, pasi ato mund të automatizohen në shkallë. Kjo mundëson krijimin e qindra identiteteve të rreme, secila me profile të LinkedIn, llogari të mediave sociale dhe histori të GitHub që përmbajnë mijëra kontribute të vogla por legjitime.  Këto identitete mund të marrin pjesë në projekte të shumta, potencialisht të mbivendosura, dhe të krijojnë një histori të dobishme. Me kalimin e kohës, një aktor keqdashës mund të përdorë një nga këto identitete për të paraqitur kontribute më kritike. Edhe këto kontribute fillimisht mund të duken të vlefshme dhe të dobishme. Në përpjekjet e koordinuara, të tilla si ato të shteteve-kombe ose kolektiveve të hakerëve, një identitet mund të forcojë besueshmërinë e një tjetri, duke përforcuar një narrativë ose duke fituar ndikim.  Ne kemi parë tashmë shembuj si incidenti xz utils, ku identitete të shumta janë përdorur për të manipuluar besimin. Kur sulmi u ekspozua, ato identitete u hodhën poshtë. Në operacionet manuale, humbja e aseteve të tilla do të ishte e kushtueshme. Sidoqoftë, me GenAI, gjenerimi i identiteteve të reja vjen me shpenzime minimale, duke ulur ndjeshëm aksionet për sulmuesit.   Sulmet e zinxhirit të furnizimit do të rriten  Një sulm i fundit i zinxhirit të furnizimit të softuerit   bibliotekën e njohur @solana/web3.js npm, e cila përdoret gjerësisht për ndërtimin e aplikacioneve të bazuara në Solana, duke kompromentuar versionet 1.95.6 dhe 1.95.7 me kod keqdashës për të vjedhur çelësat privatë të përdoruesve dhe për të kulluar kriptovalutat kuletat. Sulmi shfrytëzoi një fushatë phishing që lejoi aktorët e kërcënimit të fitonin akses publikimi dhe të injektonin një funksion të prapambetur, duke nxjerrë çelësat privatë përmes titujve të Cloudflare me pamje legjitime. Versionet e prekura janë hequr dhe përdoruesve u kërkohet të përditësojnë në versionin 1.95.8 dhe të marrin në konsideratë rrotullimin e çelësave të tyre për të zbutur rreziqet. shënjestroi  Sulmet e zinxhirit të furnizimit të softuerit pritet të rriten në vitin 2025 për shkak të rritjes së mbështetjes në bibliotekat me burim të hapur dhe rritjes së metodave të sofistikuara të sulmit si phishing dhe inxhinieri sociale. Sipas një studimi nga   , dobësitë në softuerin me burim të hapur janë në rritje të vazhdueshme. Për më tepër, rritja e integrimit të mjeteve me burim të hapur në sistemet e ndërmarrjeve u siguron sulmuesve një kthim më të lartë nga investimi, duke i bërë shkelje të tilla edhe më tërheqëse si për kriminelët kibernetikë, ashtu edhe për aktorët e sponsorizuar nga shteti. Synopsys   Ndikimi i aktorëve shtetërorë dhe targetimi i vullnetarëve  Incidenti i xz Utils, ashtu si sulmi i SolarWinds, shërben si një thirrje zgjimi, duke theksuar nevojën për investime dhe bashkëpunim më të madh midis sektorit publik dhe privat për të siguruar softuerin me burim të hapur dhe për të ruajtur vlerën e tij si një e mirë publike dixhitale. Kompanitë që përfitojnë nga mjetet me burim të hapur duhet të rriten dhe të mbështesin këto projekte. Kjo mbështetje mund të përfshijë financimin, ofrimin e kohës së zhvilluesit ose ofrimin e ekspertizës së sigurisë. Projektet me burim të hapur gjithashtu kanë nevojë për qeverisje më të mirë, të tilla si procese më të rrepta të rishikimit të kodit dhe përgjegjësi të përbashkët për përditësimet. Rregullimi më i shpejtë i dobësive është një tjetër prioritet, pasi vonesat i lënë sistemet të ekspozuara ndaj sulmeve për periudha më të gjata.  Aktorët shtetërorë mbeten një nga kërcënimet më të mëdha. Softueri me burim të hapur u ofron atyre një objektiv me kosto të ulët dhe me shpërblim të lartë për spiunazh, sabotim dhe përçarje. Sulmi SolarWinds, megjithëse përfshin softuer të pronarit, është një shembull kryesor se sa të dëmshme mund të jenë këto shkelje të zinxhirit të furnizimit.  Sulmuesit ka të ngjarë të vazhdojnë të synojnë mirëmbajtës individualë më shpesh, duke përdorur taktika të avancuara të inxhinierisë sociale për të kompromentuar projektet. Mjetet e AI do të vazhdojnë të përmirësojnë aftësitë e sulmuesve dhe mbrojtësve, duke krijuar një garë për të qëndruar përpara kërcënimeve të reja. Qeveritë gjithashtu ka të ngjarë të   më shumë, duke ndihmuar në promovimin e partneriteteve publike-private për të përmirësuar sigurinë në të gjithë ekosistemin më të gjerë. Në të njëjtën kohë, mund të futen rregulla më të rrepta, duke i shtyrë kompanitë të marrin më shumë përgjegjësi për komponentët me burim të hapur që përdorin. përfshihen  Kur bëhet fjalë për incidentin e SolarWinds, nëse ai është zbehur nga kujtesa varet nga perspektiva. Ndërsa vëmendja e publikut mund të jetë zhvendosur, zyrtarët qeveritarë dhe ekspertët e sigurisë kibernetike mbeten të fokusuar në adresimin e mësimeve të nxjerra. Pjesa më e madhe e punës së vazhdueshme në sigurinë e zinxhirit të furnizimit të softuerit, të tilla si iniciativat nga OpenSSF (si SLSA dhe GUAC), është një përgjigje e drejtpërdrejtë ndaj nevojës për mbrojtje më të forta, të nxitura nga agjenci si   , por progresi ka qenë i ngadalshëm dhe jo i gjithë organizatat i kanë miratuar këto mbrojtje. Vetë qeveria federale është një nga   më të mëdhenj të softuerit me kod të hapur dhe do të vazhdojë të rrisë përfshirjen e saj në hapësirë. CISA konsumatorët  Ndërsa këto përpjekje vazhdojnë prapa skenave, ndikimi i incidentit mund të mos ketë rezonuar plotësisht me publikun e gjerë, veçanërisht në mesin e zhvilluesve të softuerit të pavarur ose hobistë, të cilët mund të mos i kuptojnë plotësisht implikimet më të gjera.  Në fund të fundit, siç   eksperti Michal Zalewski, "Përfundimi është se ne kemi triliona dollarë të patreguar mbi kodin e zhvilluar nga hobiistët." Kjo nënvizon mundësinë që dyer të tjera të pasme mund të jenë ende të fshehura, të pazbuluara, brenda softuerit kritik që formon shtyllën kurrizore të internetit. vuri në dukje  Ndërsa identifikimi i dobësive është një shqetësim, çështja më e madhe qëndron në erozionin e besimit brenda ekosistemeve me burim të hapur. Burimi i hapur lulëzon me kontributet e zhvilluesve pa fytyrë që punojnë me mirëbesim, shpesh pa ndërveprim të drejtpërdrejtë ose verifikim të identitetit. GenAI e minon këtë themel duke e bërë të realizueshme që shumë prej atyre kontribuesve pa fytyrë të jenë tërësisht të fabrikuar.  Sulmet e phishing janë tashmë të rrezikshme, sepse ato shfrytëzojnë besimin në vend që të thyejnë mbrojtjen teknike - ato mashtrojnë individët për të ekzekutuar kodin keqdashës në një mjedis të besuar. GenAI e përforcon këtë rrezik duke u mundësuar sulmuesve të ngulitin kodin me qëllim të keq në paketa të besueshme me burim të hapur nën maskën e kontributeve legjitime.  Kjo ka të ngjarë të ndezë një garë midis aktorëve keqdashës që përdorin GenAI për të depërtuar në projekte dhe mjete mbrojtëse duke shfrytëzuar GenAI për të zbuluar dhe luftuar dobësitë përpara se ato të mund të shfrytëzohen. Më pas shtrohet pyetja nëse besimi në burim të hapur mund të mbijetojë në një botë ku kontribuuesit mund të jenë gjithnjë e më të padallueshëm nga mashtruesit e drejtuar nga AI.  Ndërsa hyjmë në vitin 2025, softueri me burim të hapur është në një pikë kritike. Kërcënimet po bëhen më të sofistikuara, të nxitura nga aktorët shtetërorë, keqpërdorimi i mjeteve të inteligjencës artificiale si LLM-të dhe fokusimi në ndërhyrjen e zinxhirit të furnizimit për të shkaktuar dëme maksimale. Megjithatë, me masa proaktive, investime më të mëdha dhe përgjegjësi të përbashkëta, është e mundur të krijohet një e ardhme ku burimi i hapur vazhdon të lulëzojë si një forcë për inovacion dhe progres, në vend të një cenueshmërie që pret për t'u shfrytëzuar.

Read My Stories

Kjo audio është prodhuar në gjuhën origjinale të tregimit!

Një shfrytëzim me burim të hapur vitin e kaluar Ndryshoi mënyrën se si profesionistët mendojnë për sigurinë

About Author

KOMENTE

VARUR TAGS

KY ARTIKU U PARAQIT NË

Related Stories

Rrjeti SQD sapo vrau emetimet e tokenëve.Ja çfarë paguan 16 miliardë dollarë në DeFi TVL

Rrjeti SQD sapo vrau emetimet e tokenëve.Ja çfarë paguan 16 miliardë dollarë në DeFi TVL

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps