Zašto su developeri otvorenog koda sve češća meta sajber napada

Mehanizam napada kroz socijalni inženjering

Digitalna bezbednost u svetu savremenog razvoja softvera sve se više oslanja na ljudski faktor kao najranjiviju kariku celokupnog sistema. Stručnjaci za bezbednost, među kojima je i Adam Harvi iz tima za sigurnost paketa u Rust ekosistemu, skreću pažnju na učestale ciljane akcije usmerene ka istaknutim autorima programskih biblioteka. Napadači danas retko pokušavaju da direktno razbiju složene šifrovane sisteme i infrastrukturu, već direktno stupaju u kontakt sa ljudima koji imaju pristup izdavanju koda. Na taj način nastoje da preuzmu potpunu kontrolu nad nalozima i uređajima ključnih stručnjaka kako bi kroz njih delovali.

Metodologija koja se koristi u ovim bezbednosnim incidentima oslanja se na lažno predstavljanje i pažljivo stvaranje privida poslovne prilike. Komunikacija sa programerima obično počinje pozivom na video sastanak radi navodne saradnje na novom projektu, ponude za posao ili privlačnog ugovornog angažmana. Tokom samog razgovora, žrtva se navodi na grešku pod izgovorom tehničkih problema sa zvukom ili samom aplikacijom za komunikaciju. Od developera se tada traži da instalira navodno nedostajući audio kodek ili da kopira i izvrši određenu naredbu preko privremene memorije računara.

Ranjivost mreže zavisnosti u softveru

Pritisak na autorske komponente otvorenog koda predstavlja takozvani napad na lanac snabdevanja softverom, koji ugrožava širi ekosistem. Gotovo svaki savremeni računarski program zavisi od stotina ili hiljada spoljnih paketa koje su napisali nezavisni autori širom sveta. Kada napadač uspe da kompromituje nalog samo jednog developera koji ima prava objavljivanja, štetni kod automatski postaje dostupan svima koji preuzimaju novu verziju te biblioteke. Na taj način se problem sa jednog zaraženog računara izuzetno brzo prelijeva na hiljade aplikacija i poslovnih sistema.

Nedavni primer u kojem je kompromitovan popularni paket array ref jasno pokazuje koliko brzi i neprimetni mogu biti ovi upadi u sistem. Do štete najčešće dolazi pre nego što korisnici i šira zajednica uopšte postanu svesni da novoizdata verzija u sebi sadrži opasne funkcije. Budući da se moderni procesi izgradnje softvera oslanjaju na automatizaciju, preuzimanje izmena se odvija bez dodatne provere ukoliko bezbednosne procedure nisu strogo postavljene. To omogućava zlonamernom softveru da se neometano širi kroz celokupnu mrežu tehničkih zavisnosti.

Strategije odbrane i odloženo ažuriranje

Zaštita složenih softverskih sistema zahteva korenitu promenu u načinu na koji programeri i kompanije upravljaju svojim spoljnim bibliotekama. Jedan od najdelotvornijih praktičnih koraka u borbi protiv ove vrste ugrožavanja jeste primena takozvanog perioda hlađenja zavisnosti. Ova strategija podrazumeva namerno odlaganje preuzimanja najnovijih verzija paketa za nekoliko dana nakon njihovog zvaničnog objavljivanja na mreži. Kroz to odlaganje ostavlja se dovoljno dragocenog vremena bezbednosnim istraživačima i zajednici da uoče eventualne sumnjive izmene.

Pored odloženog ažuriranja, ključnu ulogu u odbrani ima i podizanje svesti o tehnikama socijalnog inženjeringa među autorima softvera. Svaki pojedinac koji nosi pravo objavljivanja paketa ujedno ima i veliku odgovornost prema celokupnoj mreži korisnika koji zavise od njegovog rada. Izbegavanje pokretanja neproverenih komandi i povišen oprez prilikom neformalnih poslovnih kontakata predstavljaju osnovnu higijenu u savremenom digitalnom okruženju. Pravovremena razmena informacija o uočenim pretnjama i dalje ostaje najjače oružje u očuvanju integriteta otvorenog koda.

Izvor: Simon Willison · Fotografija: Pexels / Freepik (ilustracija)