ዜሮ-ቀናት እና ዜሮ ቁጥጥር፡ የሁለት የቴክኖሎጂ እውነታዎች ታሪክ
የኤስኦሲ ቡድንህን አስብ፣ አይን ያበራ፣ የሚያብረቀርቅ ቀይ ማንቂያ ላይ ትኩር። ኦክቶበር 2023 ከጠዋቱ 3 ሰዓት ነው፣ እና ዜናው ጥሩ አይደለም፡ ሁለት ወሳኝ ዜሮ ቀናት በእርስዎ ሲትሪክስ ኔትስካልለር ADC እና ጌትዌይ፣ በንቃት ጥቅም ላይ የዋለ፣ የርቀት ኮድ ማስፈጸሚያ (RCE) በዱር ውስጥ በብጁ ማልዌር ከታየ። የCISA የታወቁ የተበዘበዙ ተጋላጭነቶች (ኬቪ) ካታሎግ አሁን አክሏቸው [1፣ 2፣ 3፣ 4]። ይህ የንድፈ ስጋት አይደለም; በሰሜን አሜሪካ እና አውሮፓ ውስጥ በመንግስት፣ በፋይናንስ፣ በትምህርት እና በህጋዊ ዘርፎች ላይ ወሳኝ የሆነ የኢንተርፕራይዝ መሠረተ ልማት ላይ ተጽእኖ የሚያሳድር ትልቅ ዓለም አቀፍ ክስተት ነው። ቡድኖችዎ ደሙን ለመያዝ እየጣሩ ባሉበት ወቅት፣ በንዴት እየለጠፉ እና አስከፊ ጥሰት ሊሆን የሚችለውን የፎረንሲክ ምርመራ ሲጀምሩ፣ ሌላ ርዕስ ወድቋል፡- ፕሬዝዳንት ትራምፕ ከከፍተኛ የቴክኖሎጂ ኩባንያዎች ጋር ለአይአይ ልማት “በፍቃደኝነት ስምምነት” አግኝተዋል።
የመገጣጠሚያው አቀማመጥ በጣም ተመጣጣኝ ያልሆነ ነው። በአንድ በኩል፣ አሁን ካለንበት የዲጂታል አካባቢ ጨካኝ፣ የማይካድ እውነታ ጋር እንጋፈጣለን፡ ለዘመናዊው አለም መሠረተ ልማቶች መሰረታዊ ድክመቶችን ከሚጠቀሙ የተራቀቁ ተቃዋሚዎች ጋር የማያቋርጥ፣ ከፍተኛ ደረጃ ያለው ጦርነት። በሌላ በኩል፣ ወደፊት እጅግ በጣም የሚለወጡ፣ ግን እጅግ በጣም እርግጠኛ ያልሆኑት፣ ቴክኖሎጂን ከመሠረታዊ ደኅንነት እና ከሥነ ምግባራዊ ራስን በራስ የማስተዳደር ጋር በተከታታይ በሚታገለው ኢንዱስትሪ ደህንነቱ በተጠበቀ ሁኔታ መምራት እንደሚቻል የሚጠቁም የፖለቲካ ትርኢት።
የሲትሪክስ ጥፋት፡ የጠለቀ የመበስበስ ምልክት
ግልጽ እንሁን፡ እንደ CVE-2023-4966 (ሲትሪክስ ደም በመባል የሚታወቀው) እና CVE-2023-3519 ያሉ የሲትሪክስ ዜሮ-ቀናቶች "ሌላ ተጋላጭነት" ብቻ አይደሉም። በመረጃ ማዕከሉ ውስጥ አስቸኳይ ቀውስን ይወክላሉ፣ ቀጥተኛ፣ ቀጣይነት ያለው የጥቃት ዘመቻ አፋጣኝ፣ ሁሉም-እጅ-ላይ-የመርከቧ ምላሽ [1፣ 2፣ 3፣ 4]። የርቀት ኮድ ማስፈጸሚያ በኤዲሲ ወይም ጌትዌይ ላይ ከተጋለጠው ወሳኝ የመዳረሻ ነጥብ ዲጂታል ጋር እኩል ነው። ይህ በመተጣጠፍ ላይ ብቻ አይደለም; ስለ ድርጅታችን አርክቴክቸር ስልታዊ ደካማነት ነው።
ለዓመታት ውስብስብ፣ እርስ በርስ የተያያዙ ስርዓቶችን ገንብተናል፣ ብዙ ጊዜ ለዋና መሠረተ ልማት ወሳኝ በሆኑ ጥቂት አቅራቢዎች ላይ በመታመን። ሲትሪክስ፣ ልክ እንደሌሎች ብዙ፣ አስፈላጊ አገልግሎቶችን ይሰጣል፣ ነገር ግን በዚያ ማዕከላዊነት ትልቅ አደጋ አለው። እንደ NetScaler ያለ መሠረታዊ አካል በዜሮ-ቀን ደረጃ ሲበላሽ፣ የሞገድ ውጤቱ አስከፊ ነው። የታሰበው ምንም ያህል ጠንካራ ቢሆንም በአንድ የውድቀት ነጥብ ላይ የመተማመንን የተፈጥሮ ጉድለት ያጋልጣል። የ"patch ወዲያውኑ" መመሪያ፣ አስፈላጊ ሆኖ ሳለ፣ ለስርአታዊ ጉዳይ ላይ ላዩን መፍትሄ ይመስላል። ከስር ያሉትን ችግሮች አይፈታም፡ ተጋላጭነትን የሚፈጥር ውስብስብነት፣ የአንዳንድ አቅራቢዎች የደህንነት ዝመናዎች አዝጋሚ ፍጥነት እና ብዙ ጊዜ በቂ ያልሆነ የመከላከያ-ጥልቅ ስልቶች በጣም ወሳኝ በሆነው ፔሪሜትር ሲጣሱ ይሳናቸዋል።
ይህ የቴክኒክ ችግር ብቻ አይደለም; የቢዝነስ ቀጣይነት ቅዠት ነው። የውሂብ መጣስ, የአሠራር መቋረጥ, የቁጥጥር ቅጣቶች, መልካም ስም መጎዳት - ወጪዎቹ አስትሮኖሚ ናቸው. እና ለምን? ኔትወርክን በብቃት ለማስኬድ? ለምቾት እና ለታወቀ ቅልጥፍና፣ እንቅልፍ በሌላቸው ምሽቶች ለ CTOs እና ለደህንነት ቡድኖች የሚለካ ዋጋ እና የህዝብ አመኔታ መሸርሸር ላይ ከፍተኛ ዋጋ እየከፈልን ነው። ብጁ ማልዌር በመጠቀም እነዚህ በንቃት የተበዘበዙ ዜሮ-ቀናቶች መሆናቸው እነዚህ የስክሪፕት ልጆች እንዳልሆኑ ይነግረናል። እነዚህ በደንብ የበለፀጉ፣ ከፍተኛ ዋጋ ያላቸውን ንብረቶች ላይ ያነጣጠሩ ቀጣይነት ያለው አስጊ ተዋናዮች ናቸው። የኛን የዲጂታል አለም መሰረታዊ ንብርብሮች ደህንነት መጠበቅ ካልቻልን፣ ለወደፊት ውስብስብነቱ ምን ተስፋ አለን?
AI's Wild West፡ ደህንነትን ለመወሰን በራስ ፍላጎት መተማመን
ስለወደፊቱ ጊዜ ስንናገር፣ ወደ AI “ራስ ፖሊስ” ስምምነት እናምጣ። የፕሬዚዳንት ትራምፕ ማስታወቂያ፣ በፖለቲካዊ መልኩ ጠቃሚ ቢሆንም፣ ተጠያቂነትን ወደ ጎን የማስቀረት [5] የመማሪያ መጽሐፍ ምሳሌ ነው። "በፈቃደኝነት" እና "ራስን ማስተዳደር" ባለፉት ሁለት አስርት ዓመታት ውስጥ የቴክኖሎጂ ኢንዱስትሪውን ሲመለከት የተመለከተውን ሰው ሁሉ ስጋት ሊፈጥርባቸው የሚገቡ ቃላት ናቸው። ይህን ንድፍ ከዚህ በፊት ተመልክተናል፣ አይደል? የማህበራዊ ሚዲያ ኩባንያዎች የጥላቻ ንግግርን "በፍቃደኝነት" ፖሊስ፣ የፍለጋ ፕሮግራሞች "ራስን የሚቆጣጠሩ" የውሂብ ግላዊነት እና አፕ ማከማቻ "በገለልተኝነት" ፍትሃዊ ውድድርን ያረጋግጣል። የታሪክ ዘገባው በለዘብተኝነት ለመናገር እጅግ አስከፊ ነው።
ኃይለኛ የኤአይአይ ሲስተሞችን ለመዘርጋት እና ለማሰማራት የሚሯሯጡት ኩባንያዎች - ኢኮኖሚን የመቅረጽ አቅም ያላቸው፣ በምርጫ ላይ ተጽእኖ የሚያሳድሩ እና አዳዲስ የህብረተሰብን ስጋት የመፍጠር አቅም ያላቸው - የራሳቸውን የሥነ-ምግባር እና የደህንነት መመሪያዎችን በማዘጋጀት እና በማስፈጸም ላይ እምነት ሊጣልባቸው ይችላል የሚለው ሀሳብ ቢበዛ የዋህነት ነው፣ እና በአስጊ ሁኔታም በከፋ ሀላፊነት የጎደለው ነው። እነዚህ በትርፍ እና በገበያ የበላይነት የሚመሩ ኮርፖሬሽኖች ናቸው። ተቀዳሚ የአደራ ተግባራቸው ለባለ አክሲዮኖች እንጂ ለሕዝብ ጥቅም ወይም ለሥነ ምግባራዊ AI ረቂቅ ጽንሰ ሐሳብ አይደለም።
ይህ "ስምምነት" ለአስተዳደሩ ፖለቲካዊ ድል ነው, ይህም በ AI ላይ እርምጃ እንዲወስዱ የሚያስችላቸው ከትክክለኛው የሕግ ወይም የቁጥጥር ቁጥጥር የተዘበራረቀ ንግድ ውጭ ነው። እንዲሁም ለቢግ ቴክ ትልቅ ድል ነው፣ ጊዜን በመግዛት እና ፈጠራቸውን ሊያዘገዩ ከሚችሉ ሸክም ህጎች ነፃ መውጣት። ሌሎቻችን ግን - እነዚህን ስርዓቶች ለሚገነቡ የቴክኖሎጂ ባለሙያዎች፣ በእነሱ ላይ ለሚተማመኑ ንግዶች እና ለህብረተሰቡ አጠቃላይ - ይህ አደገኛ ቅድመ ሁኔታ ነው። ከሕዝብ ደኅንነት እና ተጠያቂነት ይልቅ የድርጅት ራስን በራስ የማስተዳደርን ቅድሚያ የሚሰጠው ለ AI አስተዳደር ተመራጭ አካሄድን ያሳያል።
ግንኙነቱ ማቋረጥ፡- ባልተረጋጉ መሠረቶች ላይ መገንባት
የማይመች እውነት ይሄ ነው፡ በአንድ ጊዜ የአሁን ጊዜያችንን ማስጠበቅ እያቃተን እና የወደፊት ህይወታችንን በአደገኛ ሁኔታ እያስተዳደርን ነው። ወሳኝ መሠረተ ልማት በተራቀቁ ተቃዋሚዎች የሚበላሽበት በዲጂታል አለመረጋጋት መሠረት ላይ ከመቼውም ጊዜ ይበልጥ የተራቀቁ AI ሲስተሞችን እየገነባን ነው። ምርቶቻቸው ዓለም አቀፋዊ የጥቃት አቅራቢዎች እንዳይሆኑ መከላከል የማይችሉ የሚመስሉት እነዚሁ የኢንዱስትሪ መሪዎች የአጠቃላይ አርቴፊሻል ኢንተለጀንስ ሥነ ምግባራዊ እና ደህንነትን አንድምታ “እራሳቸው ፖሊስ እንዲያደርጉ” እየተጠየቁ ነው።
ይህ ግንኙነት መቋረጥ ብቻ አይደለም; ጥልቅ ክፍተት ነው። CTOs እና የምህንድስና መሪ እንደመሆናችን መጠን መሃል ላይ ተይዘናል። እንደ ሲትሪክስ ዜሮ ቀናት ያሉ አፋጣኝ እና ነባራዊ ስጋቶችን የማስተካከል ኃላፊነት ተሰጥቶናል፣ በተመሳሳይ ጊዜ በአይ-ተኮር ወደፊት ለመዘጋጀት እንድንዘጋጅ እየተነገረን ህጎቹ በሂደት ላይ ሲሆኑ፣ በአብዛኛው በተጫዋቾቹ እራሳቸው ናቸው።
የፈቃደኝነት AI ስምምነት መፍትሔ አይደለም; የመዘግየት ዘዴ ነው። ተጠያቂነትን ያራዝማል፣ የማይቀረው የስነ-ምግባር ጥሰት፣ አድልዎ፣ ወይም የ AI ከባድ ውድቀቶች ሲከሰቱ፣ ህዝቡ ከጅምሩ ለምን ጠንካራ እና ገለልተኛ ቁጥጥር እንዳልነበረው እንዲያስብ ይተወዋል። እና እነዚያ ውድቀቶች ሲከሰቱ፣ ቲዎሬቲካል ሊሆኑ አይችሉም። በእርስዎ NetScaler ላይ እንደ RCE በጣም እውነተኛ እና ጎጂ ይሆናሉ፣ ይህም በጣም ሰፊ በሆነ የማህበረሰብ አንድምታ ብቻ ነው።
የበለጠ መጠየቅ አለብን። ከእውነታው በኋላ አጸፋዊ ምላሽ ሰጪ ብቻ ሳይሆን ከአቅራቢዎቻችን ጠንካራ፣ ንቁ ደህንነት እንፈልጋለን። እና በፖለቲከኞች እና በድርጅቶች መካከል የሚደረግ የመጨባበጥ ስምምነት ሳይሆን እውነተኛ፣ ገለልተኛ ደንብ ለ AI እንፈልጋለን። ምክንያቱም የመሠረተ ልማት አውታራችንን እንኳን ማስጠበቅ ካልቻልን የሚቀጥለውን የሥልጣኔ ትውልድ በኃላፊነት እንዲገነቡ እንዴት አድርገን አርክቴክቶችን ማመን እንችላለን? መልሱ፣ ለአሁን፣ አንችልም።
ምንጮች
[1] CISA Citrix NetScaler ADC እና የጌትዌይ ተጋላጭነትን (CVE-2023-4966) ወደ የታወቀ ብዝበዛ የተጋላጭነት ካታሎግ ይጨምራል - https://www.cisa.gov/news-events/alerts/2023/10/24/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [2] ሲትሪክ ሴኩሪቲ ቡለቲን ለCVE-2023-4966 እና CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve202and-349620 [3] ማንዲያንት፡ UNC4841 Citrix NetScaler ADC እና Gateway Zero-day (CVE-2023-4966) ይበዘብዛል — https://www.mandiant.com/resources/blog/citrix-bleed-zero-day-exploitation [4] CISA Citrix NetScaler ADC እና የጌትዌይ ተጋላጭነትን (CVE-2023-3519) ወደ የታወቀ የብዝበዛ ተጋላጭነት ካታሎግ ይጨምራል - https://www.cisa.gov/news-events/alerts/2023/07/21/cisa-adds-citrix-netscaler-adc-and-gateway-vulnerability-known-exploited-vulnerabilities-catalog [5] የቀጥታ ዝመናዎች፡ ትራምፕ ለቴክኖሎጂ ከ AI መሪዎች ጋር በፈቃደኝነት ስምምነት ተፈራርመዋል… — https://apnews.com/live/trump-cnn-media-midterm-elections-news-updates-09-29-2026