Když ve středu 22. října vyšlo najevo, že PHP má zneužitelnou zranitelnost, většina lidí o daném programovacím jazyce nikdy neslyšela. Podle zprávy AJ Vicense stojí PHP v pozadí zhruba 70 procent všech webových stránek a toto odhalení přimělo firmy i bezpečnostní týmy k okamžité reakci. Pokud vás zajímá zranitelnost PHP a jak zůstat v bezpečí, krátká odpověď zní, že nejúčinnější ochrana se odehrává na vaší straně obrazovky a je jednoduchá.

Poznámka k tomu, co víme: dostupný text zdrojového článku je stručný a zasazuje zprávu do širší diskuse o hackování poháněném umělou inteligencí. Nebudeme spekulovat o technických podrobnostech zranitelnosti nad rámec toho, co bylo uvedeno. Můžeme však vysvětlit, proč na takové chybě záleží běžným uživatelům a které návyky snižují vaše vystavení riziku.

Proč se zranitelnost PHP dotýká běžných uživatelů

PHP je serverový jazyk. Běží v zákulisí na webových serverech a generuje stránky, které vidíte, když se přihlašujete, nakupujete nebo čtete zprávy. Nikdy jej neinstalujete a nikdy jej nevidíte, ale pokud vámi používaný web běží na něm, slabina v PHP se může stát slabinou onoho webu.

Právě proto je dosah tak široký. Podle zprávy stojí PHP v pozadí zhruba 70 procent webových stránek, takže zasažený okruh zahrnuje weby malých firem, internetové obchody, blogy a služby, u nichž možná máte účet. Oprava problému je většinou úkolem provozovatelů webů a poskytovatelů hostingu, kteří musí nainstalovat záplaty. Server někoho jiného opravit nemůžete.

Co však ovlivnit můžete, je rozsah škod, které by vám kompromitovaný web mohl způsobit. Pokud dojde k narušení vámi používaného webu, otázkou je, zda vaše heslo funguje i jinde, zda samotné ukradené přihlašovací údaje stačí k proniknutí a zda se nenecháte napálit navazujícími podvody, které po takové události často přicházejí.

Jak umělá inteligence zrychluje hackování a podvody

Titulek článku poukazuje na hackování poháněné umělou inteligencí a tato obava je snadno pochopitelná. Automatizované nástroje mohou útočníkům pomoci rychleji vyhledávat zranitelné weby a ve velkém vytvářet přesvědčivější zprávy. Podvodný e-mail, který se dříve prozradil neobratnou formulací, nyní může působit bezchybně.

Zdrojový článek obsahuje část věnovanou taktikám podvodníků včetně varování před nevyžádanými odkazy. Praktické ponaučení zní, že se již nemůžete spoléhat na odhalování špatné gramatiky nebo zjevných chyb. Spoléhejte místo toho na postup: než na zprávu zareagujete, ověřte, odkud skutečně přišla.

Pět praktických kroků k ochraně

Tyto návyky představují všeobecně doporučovanou praxi, nikoli převyprávění přesného seznamu z článku, který nemáme plně k dispozici. Řeší riziko, které taková zranitelnost vytváří.

  1. Udržujte software aktualizovaný. Zapněte automatické aktualizace operačního systému, prohlížeče a aplikací. Pokud provozujete vlastní web nebo blog na WordPressu běžící na PHP, aktualizujte včas platformu, pluginy a verzi PHP, nebo požádejte svého poskytovatele hostingu, aby potvrdil, že záplaty nainstaloval.
  2. Buďte obezřetní u nevyžádaných odkazů. Neklikejte na odkazy v nečekaných e-mailech, zprávách SMS nebo jiných zprávách, i když vypadají známě. Adresu webu zadejte sami nebo použijte uloženou záložku.
  3. Používejte jedinečné heslo pro každý účet. Pokud dojde k narušení jednoho webu, jedinečné heslo zabrání šíření škod. Správce hesel to učiní reálným.
  4. Zapněte dvoufaktorové ověřování (2FA). I když heslo unikne, druhý krok útočníkovi proniknutí výrazně ztíží. Ověřovací aplikace nebo hardwarové klíče jsou obecně silnější než kódy zasílané SMS.
  5. Sledujte navazující podvody. Po široce medializované zranitelnosti očekávejte zprávy, které se vydávají za „bezpečnostní upozornění“ od společností, jež používáte. Přejděte přímo na oficiální web nebo do aplikace dané společnosti místo použití nabízeného odkazu.

Před čím VPN chrání a před čím ne

VPN šifruje váš provoz mezi vaším zařízením a serverem VPN, což je užitečné na veřejných Wi-Fi sítích, kde by jinak ostatní ve stejné síti mohli sledovat vaši aktivitu. Může také skrýt vaši IP adresu před navštěvovanými weby.

Co však nedělá, je oprava chyby v kódu webové stránky. Pokud dojde k narušení serveru provozujícího zranitelné PHP, VPN ve vašem zařízení to nezmění. Také vám nezabrání zadat heslo na phishingové stránce. Berte ji jako jednu omezenou vrstvu, nikoli jako štít proti tomuto typu problému. Pro kontext, proč šifrování a nástroje na ochranu soukromí zůstávají živou politickou debatou, viz naše zpravodajství o tom, jak Chat Control 2.0 podle kritiků stále ohrožuje šifrování v EU.

Co to znamená pro vás

Abyste snížili své riziko, nemusíte rozumět PHP. Toto odhalení je především připomínkou, že vaše účty sídlí na serverech, které nekontrolujete. Předpokládejte, že jakýkoli web může jednoho dne být napaden, a nastavte své účty tak, aby narušení bylo nepříjemností, nikoli katastrofou: jedinečná hesla, 2FA a nedůvěra k nečekaným odkazům.

Jednejte ještě dnes

Pokud po přečtení tohoto neuděláte nic jiného, udělejte nyní tyto tři věci: nainstalujte čekající aktualizace, zapněte 2FA pro své e-mailové a bankovní účty a nahraďte všechna znovu použitá hesla. Bezpečnost po zranitelnosti PHP stojí na těchto každodenních návycích. Používejte VPN, pokud se často připojujete k veřejné Wi-Fi, ale berte ji jako jednu vrstvu z několika, nikoli jako všelék.