Είναι ασφαλή τα δεδομένα μου; Τι σημαίνει για εσάς το κενό ασφαλείας στο PHP

Ένα σοβαρό κενό ασφάλειας στον κυβερνοχώρο στη γλώσσα προγραμματισμού PHP έχει θέσει σε κίνδυνο εκατομμύρια ιστότοπους. Δείτε τι σημαίνει αυτό για τα προσωπικά σας δεδομένα και τι μπορείτε να κάνετε για να το αντιμετωπίσετε.

Η σύντομη απάντηση: Είναι ασφαλή τα δεδομένα μου;

Για τις περισσότερες από τις μεγάλες υπηρεσίες που χρησιμοποιείτε καθημερινά, σχεδόν σίγουρα ναι. Οι τράπεζες, οι πάροχοι ηλεκτρονικού ταχυδρομείου και τα μεγάλα ηλεκτρονικά καταστήματα διαθέτουν ομάδες ασφαλείας, των οποίων η δουλειά είναι να αντιδρούν γρήγορα σε προειδοποιήσεις όπως αυτή, ενώ πολλές από αυτές χρησιμοποιούν υπηρεσίες όπως το Cloudflare, το οποίο έθεσε σε εφαρμογή μέτρα προστασίας κατά αυτού του ελαττώματος της PHP εννέα ώρες πριν αυτό γίνει δημόσια γνωστό.

Η ειλικρινής απάντηση για όλα τα υπόλοιπα είναι: εξαρτάται από τον ιστότοπο, και δεν μπορείτε να το καταλάβετε από έξω. Ο κίνδυνος που διατρέχετε συνοψίζεται σε ένα ερώτημα που δεν μπορείτε να ελέγξετε μόνοι σας: μήπως οι διαχειριστές κάθε ιστότοπου που έχετε χρησιμοποιήσει επιδιόρθωσαν τους διακομιστές τους εγκαίρως;

Αυτό ακούγεται ανησυχητικό, αλλά υπάρχουν πολλά που μπορείτε να κάνετε για να βεβαιωθείτε ότι, ακόμη και αν παραβιαστεί ένας ιστότοπος, η ζημιά θα περιοριστεί εκεί. Αυτό είναι το θέμα του υπόλοιπου οδηγού.

Τι είναι το κενό ασφαλείας στο PHP και πόσο γρήγορα ενήργησαν οι επιτιθέμενοι

Η γλώσσα προγραμματισμού PHP δημιουργεί αθόρυβα τις σελίδες ενός τεράστιου μεριδίου των ιστότοπων παγκοσμίως, συμπεριλαμβανομένων των περισσότερων ιστότοπων που έχουν δημιουργηθεί με το WordPress. Στις 21 Οκτωβρίου, οι δημιουργοί της ανακοίνωσαν ένα κρίσιμο κενό ασφάλειας στον κυβερνοχώρο, με το παρατσούκλι PHP2Shell, και κυκλοφόρησαν μια επιδιόρθωση. Η Cloudflare είχε ήδη αναπτύξει μέτρα προστασίας εννέα ώρες νωρίτερα, στο πλαίσιο της συντονισμένης αντίδρασης.

Το σχέδιο ήταν να κρατηθούν μυστικές οι λεπτομέρειες μέχρι να είναι έτοιμη η επιδιόρθωση. Δεν πέτυχε: η είδηση διέρρευσε μια μέρα νωρίτερα και οι εγκληματίες ενήργησαν γρήγορα.

Ο Matthew Prince, διευθυντής της εταιρείας υποδομών διαδικτύου Cloudflare, έγραψε στο X ότι η εταιρεία εντόπισε «χιλιάδες» απόπειρες εκμετάλλευσης των ευπαθειών της PHP σε όλο το δίκτυό της κατά τις 10 ώρες πριν από τη δημόσια ανακοίνωση. «Ο αριθμός αυτός εκτοξεύθηκε σε δεκάδες χιλιάδες μέσα σε 45 λεπτά μετά την ανακοίνωση.» (μέσω BBC News live)

Η Amazon αναφέρει ότι εντόπισε μια απόπειρα ακόμη νωρίτερα, στις 17 Οκτωβρίου, τέσσερις ημέρες πριν από την ανακοίνωση. Με άλλα λόγια, δεν πρόκειται για θεωρητικό κίνδυνο. Οι επιτιθέμενοι προσπαθούν ενεργά να το εκμεταλλευτούν.

Τι μπορεί πραγματικά να κάνει ένας εισβολέας

Δεν πρόκειται για ένα σφάλμα που απλώς θέτει εκτός λειτουργίας έναν ιστότοπο. Ο Άλαν Γούντγουορντ, καθηγητής στο Κέντρο Κυβερνοασφάλειας του Σάρρεϋ, δήλωσε στην εκπομπή «Today» του BBC Radio 4 ότι τα ελαττώματα αυτά σημαίνουν ότι ένας εισβολέας μπορεί να «εισάγει τον δικό του κώδικα στον διακομιστή ιστού» και «ουσιαστικά να κάνει ό,τι θέλει».

Ανέφερε ότι αυτό μπορεί να περιλαμβάνει:

• την κλοπή προσωπικών δεδομένων που διατηρεί ο ιστότοπος·
• την πρόσβαση σε άλλα τμήματα του δικτύου πίσω από τον ιστότοπο·
• την εγκατάσταση μιας «πίσω πόρτας», ενός κρυφού τρόπου πρόσβασης, για να επιστρέψει αργότερα.

Όσον αφορά την έκταση του προβλήματος, το χαρακτήρισε σοβαρό, αναφέροντας ότι θα μπορούσε να επηρεάσει «περίπου 30 εκατομμύρια ιστότοπους»

Αυτό το θέμα με την «πίσω πόρτα» είναι σημαντικό για εσάς. Ένας ιστότοπος που εγκαθιστά την επιδιόρθωση σήμερα μπορεί να έχει παραβιαστεί τις προηγούμενες ημέρες. Οι ερευνητές της Amazon συμβουλεύουν να διεξαχθούν έλεγχοι από τις 17 Οκτωβρίου και μετά, όχι από την ημερομηνία της ανακοίνωσης. Επομένως, μπορεί να περάσουν εβδομάδες μέχρι να αποκαλυφθούν ορισμένες παραβιάσεις.

Ποια από τα δεδομένα σας διατρέχουν τον μεγαλύτερο κίνδυνο

Το τι θα μπορούσε να υποκλέψει ένας εισβολέας εξαρτάται από τα στοιχεία που διατηρούσε κάθε ιστότοπος για εσάς. Συνήθως αυτό σημαίνει:

• Στοιχεία λογαριασμού: το όνομά σας, τη διεύθυνση email, τον αριθμό τηλεφώνου και, μερικές φορές, τη διεύθυνση κατοικίας και την ημερομηνία γέννησής σας.
• Τον κωδικό πρόσβασής σας για τον συγκεκριμένο ιστότοπο. Οι καλά διαχειριζόμενοι ιστότοποι τον αποθηκεύουν κρυπτογραφημένο, αλλά οι παλαιότεροι ή οι παραμελημένοι ιστότοποι ενδέχεται να μην το κάνουν.
• Ιστορικό παραγγελιών και μηνυμάτων: τι αγοράσατε, πού στάλθηκε, τι γράψατε.
• Τα στοιχεία της κάρτας που πληκτρολογείτε από εδώ και στο εξής. Τα περισσότερα καταστήματα δεν αποθηκεύουν ολόκληρους αριθμούς καρτών, αλλά κάποιος που έχει τον έλεγχο ενός διακομιστή μπορεί να παραβιάσει τη σελίδα ολοκλήρωσης της παραγγελίας για να καταγράψει ό,τι πληκτρολογείτε.

Οι ιστότοποι που διατρέχουν τον μεγαλύτερο κίνδυνο δεν είναι οι γνωστοί. Πρόκειται για μικρά καταστήματα, λέσχες, φόρουμ και ιστολόγια, που συχνά δημιουργήθηκαν πριν από χρόνια και σπάνια συντηρούνται, επειδή πολλά από αυτά χρησιμοποιούν παλιές εκδόσεις του PHP που δεν έλαβαν ποτέ επίσημη επιδιόρθωση.

Πώς θα ξέρω αν τα δεδομένα μου έχουν υποκλαπεί;

Συχνά δεν θα το καταλάβετε αμέσως. Σημάδια που πρέπει να προσέξετε τις επόμενες εβδομάδες:

• ένα email από μια εταιρεία που αναφέρει ότι υπέστη περιστατικό ασφαλείας (σε πολλές χώρες ο νόμος απαιτεί να σας ενημερώσουν)
• email για επαναρύθμιση κωδικού πρόσβασης ή ειδοποιήσεις σύνδεσης που δεν ζητήσατε·
• μηνύματα απάτης που χρησιμοποιούν το πραγματικό σας όνομα, τη διεύθυνσή σας ή έναν ιστότοπο που έχετε πράγματι χρησιμοποιήσει·
• η εμφάνιση του email σας στο «Have I Been Pwned», μια δωρεάν υπηρεσία που καταγράφει γνωστές παραβιάσεις δεδομένων μόλις αυτές γίνουν δημόσιες.

Τι να κάνετε τώρα

Δεν μπορείτε να διορθώσετε τους ιστότοπους άλλων, αλλά μπορείτε να περιορίσετε τις επιπτώσεις που μπορεί να έχει για εσάς μια παραβίαση σε οποιονδήποτε από αυτούς.

1. Αλλάξτε πρώτα τον κωδικό πρόσβασης του email σας και επιλέξτε έναν που δεν χρησιμοποιείτε πουθενά αλλού. Το email σας μπορεί να επαναφέρει όλους τους άλλους λογαριασμούς, οπότε είναι αυτό που έχει τη μεγαλύτερη σημασία.
2. Σταματήστε να επαναχρησιμοποιείτε κωδικούς πρόσβασης. Εάν ένας κωδικός πρόσβασης που χρησιμοποιείτε σε έναν μικρό ιστότοπο σας δίνει επίσης πρόσβαση στον τραπεζικό σας λογαριασμό ή στα κοινωνικά δίκτυα, αλλάξτε τον αμέσως στους σημαντικούς λογαριασμούς σας. Ένας διαχειριστής κωδικών πρόσβασης, ο οποίος είναι ενσωματωμένος στα περισσότερα τηλέφωνα και προγράμματα περιήγησης, κάνει αυτή τη διαδικασία πολύ εύκολη.
3. Ενεργοποιήστε τη σύνδεση δύο βημάτων (κωδικός μέσω SMS ή εφαρμογής) για το email, τις τραπεζικές συναλλαγές και τις αγορές. Έτσι, ένας κλεμμένος κωδικός πρόσβασης από μόνος του δεν θα επιτρέψει σε κανέναν να αποκτήσει πρόσβαση.
4. Ψωνίστε με προσοχή για μερικές εβδομάδες. Προτιμήστε γνωστά καταστήματα ή πληρώστε μέσω υπηρεσιών όπως το PayPal ή το Apple Pay, ώστε το κατάστημα να μην βλέπει ποτέ τον αριθμό της κάρτας σας. Ελέγξτε τις τραπεζικές σας καταστάσεις για τυχόν συναλλαγές που δεν αναγνωρίζετε.
5. Κλείστε τους λογαριασμούς που δεν χρησιμοποιείτε πλέον. Όσο λιγότεροι παλιοί λογαριασμοί, τόσο λιγότερες πιθανότητες να διαρρεύσουν τα στοιχεία σας.
6. Να είστε επιφυλακτικοί απέναντι σε μηνύματα «επείγουσας ασφάλειας». Τα μεγάλα νέα φέρνουν απάτες. Μην κάνετε κλικ σε συνδέσμους σε απροσδόκητα email ή μηνύματα· επισκεφθείτε τον ιστότοπο οι ίδιοι. Για έναν σύνδεσμο προς έναν ιστότοπο που δεν αναγνωρίζετε, ένα δωρεάν εργαλείο ελέγχου όπως το ScamAdviser παρέχει μια βαθμολογία αξιοπιστίας με βάση δείκτες όπως η ηλικία του ιστότοπου και αναφορές από άλλους χρήστες. Αντιμετωπίστε το ως μια δεύτερη γνώμη: δεν μπορεί να σας πει αν ένας γνήσιος ιστότοπος έχει υποστεί κρυφά παραβίαση.

Για τι δεν χρειάζεται να ανησυχείτε

• Το τηλέφωνό σας και ο υπολογιστής σας. Πρόκειται για πρόβλημα στους διακομιστές των ιστότοπων. Δεν χρειάζεται να εγκαταστήσετε τίποτα.
• Ιστότοποι που έπαψαν να λειτουργούν. Οι δήμοι και οι κυβερνητικοί φορείς έκλεισαν σκόπιμα τους ιστότοπούς τους ενώ εφάρμοζαν ενημερώσεις ασφαλείας (Yahoo/PA). Αυτό αποτελεί ένδειξη προσοχής, όχι παραβίασης.
• Όποιος προσφέρεται να «διορθώσει το PHP2Shell» για εσάς. Δεν υπάρχει τίποτα στη δική σας συσκευή που να χρειάζεται διόρθωση, οπότε όποιος ζητά απομακρυσμένη πρόσβαση, πληρωμή ή τους κωδικούς πρόσβασής σας για να σας «προστατεύσει» από αυτό, προσπαθεί να σας εξαπατήσει.

Συμπέρασμα

Το κενό ασφαλείας στο PHP είναι σοβαρό και οι επιτιθέμενοι το εκμεταλλεύτηκαν μέσα σε λίγες ώρες. Ωστόσο, δεν είστε ανίσχυροι. Οι περισσότεροι από τους σημαντικούς λογαριασμούς σας διαχειρίζονται εταιρείες που αντιδρούν γρήγορα, και τα παραπάνω μέτρα σημαίνουν ότι ακόμα και αν παραβιαστεί ένας μικρότερος ιστότοπος που χρησιμοποιήσατε κάποτε, το email σας, η τράπεζά σας και τα χρήματά σας παραμένουν ασφαλή.

Μην ανησυχείτε τόσο για το αν κάθε ιστότοπος που έχετε χρησιμοποιήσει ποτέ είναι ασφαλής. Εστιάστε στο να βεβαιωθείτε ότι κανένας από αυτούς δεν κατέχει το κλειδί για τους υπόλοιπους.

Ο Adam Collins είναι ερευνητής στον τομέα της κυβερνοασφάλειας στο ScamAdviser και δραστηριοποιείται υπό ψευδώνυμο για λόγους προστασίας της ιδιωτικής ζωής και ασφάλειας. Με πάνω από τέσσερα χρόνια εμπειρίας στην πρώτη γραμμή του ψηφιακού κόσμου, ειδικεύεται στο να μετατρέπει πολύπλοκες απειλές σε πρακτικές συμβουλές. Η αποστολή του: να αποκαλύπτει προειδοποιητικά σημάδια, ώστε να μπορείτε να περιηγείστε στο διαδίκτυο με σιγουριά.

Δείτε το πλήρες βιογραφικό