Όταν έγινε γνωστό την Τετάρτη 22 Οκτωβρίου ότι η PHP είχε ένα hackάρικο τρωτό σημείο, οι περισσότεροι άνθρωποι δεν είχαν ακούσει ποτέ για τη γλώσσα προγραμματισμού που εμπλέκεται. Σύμφωνα με το ρεπορτάζ του AJ Vicens, η PHP αποτελεί τη βάση για περίπου 70 τοις εκατό όλων των ιστοτόπων, και η αποκάλυψη έστειλε επιχειρήσεις και ομάδες ασφαλείας σε αναβρασμό. Αν αναρωτιέστε για την ευπάθεια της PHP και πώς να μείνετε ασφαλείς, η σύντομη απάντηση είναι ότι οι πιο αποτελεσματικές προστασίες συμβαίνουν στη δική σας πλευρά της οθόνης, και είναι απλές.

Μια σημείωση για το τι γνωρίζουμε: το διαθέσιμο κείμενο του άρθρου-πηγής είναι σύντομο και πλαισιώνει την είδηση μέσα σε μια ευρύτερη συζήτηση για το hacking που ενισχύεται από την τεχνητή νοημοσύνη. Δεν θα κάνουμε εικασίες για τεχνικές λεπτομέρειες του σφάλματος πέρα από όσα έχουν αναφερθεί. Αυτό που μπορούμε να κάνουμε είναι να εξηγήσουμε γιατί ένα σφάλμα σαν αυτό έχει σημασία για τους απλούς χρήστες και ποιες συνήθειες μειώνουν την έκθεσή σας.

Γιατί ένα σφάλμα στην PHP φτάνει στους καθημερινούς χρήστες

Η PHP είναι μια γλώσσα διακομιστή (server-side). Εκτελείται στο παρασκήνιο σε διακομιστές ιστού, παράγοντας τις σελίδες που βλέπετε όταν συνδέεστε, κάνετε αγορές ή διαβάζετε ειδήσεις. Δεν την εγκαθιστάτε ποτέ και δεν τη βλέπετε ποτέ, αλλά αν ο ιστότοπος που χρησιμοποιείτε βασίζεται σε αυτήν, μια αδυναμία στην PHP μπορεί να γίνει αδυναμία σε εκείνον τον ιστότοπο.

Γι' αυτό η εμβέλεια είναι τόσο ευρεία. Με την PHP να αποτελεί τη βάση για περίπου 70 τοις εκατό των ιστοτόπων, σύμφωνα με το ρεπορτάζ, το επηρεαζόμενο σύνολο περιλαμβάνει ιστότοπους μικρών επιχειρήσεων, ηλεκτρονικά καταστήματα, ιστολόγια και υπηρεσίες όπου μπορεί να έχετε λογαριασμό. Η διόρθωση του προβλήματος είναι κυρίως δουλειά των ιδιοκτητών ιστοτόπων και των παρόχων φιλοξενίας, οι οποίοι πρέπει να εφαρμόσουν ενημερώσεις ασφαλείας. Δεν μπορείτε να ενημερώσετε τον διακομιστή κάποιου άλλου.

Αυτό που μπορείτε να ελέγξετε είναι πόση ζημιά θα μπορούσε να σας προκαλέσει ένας παραβιασμένος ιστότοπος. Αν ένας ιστότοπος που χρησιμοποιείτε παραβιαστεί, τα ερωτήματα είναι αν ο κωδικός σας λειτουργεί και αλλού, αν μια κλεμμένη σύνδεση από μόνη της αρκεί για να μπει κάποιος, και αν θα ξεγελαστείτε από τις απάτες που συχνά ακολουθούν.

Πώς η ΤΝ επιταχύνει το hacking και τις απάτες

Ο τίτλος του άρθρου παραπέμπει σε hacking που ενισχύεται από την ΤΝ, και η ανησυχία είναι εύκολο να κατανοηθεί. Αυτοματοποιημένα εργαλεία μπορούν να βοηθήσουν τους επιτιθέμενους να σαρώνουν για ευάλωτους ιστότοπους ταχύτερα και να κατασκευάζουν πιο πειστικά μηνύματα σε κλίμακα. Ένα ηλεκτρονικό μήνυμα απάτης που κάποτε πρόδιδε τον εαυτό του με αδέξια διατύπωση μπορεί τώρα να διαβάζεται άψογα.

Το άρθρο-πηγή περιλαμβάνει μια ενότητα αφιερωμένη στις τακτικές των απατεώνων, συμπεριλαμβανομένης μιας προειδοποίησης για ανεπιθύμητους συνδέσμους. Το πρακτικό δίδαγμα είναι ότι δεν μπορείτε πλέον να βασίζεστε στον εντοπισμό κακής γραμματικής ή προφανών λαθών. Αντ' αυτού, βασιστείτε στη διαδικασία: επαληθεύστε από πού προήλθε ένα μήνυμα πριν ενεργήσετε βάσει αυτού.

Πέντε πρακτικά βήματα για να προστατευτείτε

Αυτές οι συνήθειες αποτελούν γενική βέλτιστη πρακτική παρά ανακεφαλαίωση της ακριβούς λίστας του άρθρου, η οποία δεν είναι πλήρως διαθέσιμη σε εμάς. Αντιμετωπίζουν την έκθεση που δημιουργεί μια ευπάθεια σαν αυτή.

  1. Διατηρείτε το λογισμικό σας ενημερωμένο. Ενεργοποιήστε τις αυτόματες ενημερώσεις για το λειτουργικό σας σύστημα, το πρόγραμμα περιήγησης και τις εφαρμογές σας. Αν διαχειρίζεστε δικό σας ιστότοπο ή ένα ιστολόγιο τύπου WordPress σε PHP, ενημερώστε άμεσα την πλατφόρμα, τα πρόσθετα και την έκδοση PHP, ή ζητήστε από τον πάροχο φιλοξενίας σας να επιβεβαιώσει ότι έχει εφαρμόσει την ενημέρωση.
  2. Να είστε επιφυλακτικοί με ανεπιθύμητους συνδέσμους. Μην κάνετε κλικ σε συνδέσμους σε απρόσμενα email, μηνύματα κειμένου ή μηνύματα, ακόμη κι αν φαίνονται γνωστά. Πληκτρολογήστε μόνοι σας τη διεύθυνση του ιστότοπου ή χρησιμοποιήστε έναν αποθηκευμένο σελιδοδείκτη.
  3. Χρησιμοποιείτε μοναδικό κωδικό πρόσβασης για κάθε λογαριασμό. Αν ένας ιστότοπος παραβιαστεί, ένας μοναδικός κωδικός πρόσβασης εμποδίζει τη διάδοση της ζημιάς. Ένας διαχειριστής κωδικών πρόσβασης το κάνει αυτό ρεαλιστικό.
  4. Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (2FA). Ακόμη κι αν διαρρεύσει ένας κωδικός πρόσβασης, ένα δεύτερο βήμα κάνει πολύ δυσκολότερο για έναν επιτιθέμενο να μπει. Οι εφαρμογές ελέγχου ταυτότητας ή τα υλικά κλειδιά είναι γενικά ισχυρότερα από τους κωδικούς μέσω γραπτού μηνύματος.
  5. Προσέχετε τις επακόλουθες απάτες. Μετά από ένα ευρέως αναφερόμενο σφάλμα, περιμένετε μηνύματα που ισχυρίζονται ότι είναι «ειδοποιήσεις ασφαλείας» από εταιρείες που χρησιμοποιείτε. Μεταβείτε απευθείας στον επίσημο ιστότοπο ή την εφαρμογή της εταιρείας αντί να χρησιμοποιήσετε τον σύνδεσμο που παρέχεται.

Τι προστατεύει και τι δεν προστατεύει ένα VPN

Ένα VPN κρυπτογραφεί την κίνησή σας μεταξύ της συσκευής σας και του διακομιστή VPN, κάτι χρήσιμο σε δημόσιο Wi-Fi, όπου άλλοι στο ίδιο δίκτυο θα μπορούσαν διαφορετικά να παρατηρήσουν τη δραστηριότητά σας. Μπορεί επίσης να κρύψει τη διεύθυνση IP σας από τους ιστότοπους που επισκέπτεστε.

Αυτό που δεν κάνει είναι να διορθώσει ένα σφάλμα στον κώδικα ενός ιστότοπου. Αν ένας διακομιστής που εκτελεί ευάλωτη PHP παραβιαστεί, ένα VPN στη συσκευή σας δεν το αλλάζει αυτό. Δεν θα σας εμποδίσει επίσης να εισαγάγετε τον κωδικό πρόσβασής σας σε μια σελίδα ηλεκτρονικού «ψαρέματος». Σκεφτείτε το ως ένα περιορισμένο επίπεδο, όχι ως ασπίδα απέναντι σε αυτού του είδους το πρόβλημα. Για το πλαίσιο σχετικά με το γιατί η κρυπτογράφηση και τα εργαλεία ιδιωτικότητας παραμένουν ένα ζωντανό ζήτημα πολιτικής, δείτε την κάλυψή μας για το πώς το Chat Control 2.0 εξακολουθεί να απειλεί την κρυπτογράφηση της ΕΕ, λένε οι επικριτές.

Τι σημαίνει αυτό για εσάς

Δεν χρειάζεται να κατανοείτε την PHP για να μειώσετε τον κίνδυνό σας. Η αποκάλυψη είναι κυρίως μια υπενθύμιση ότι οι λογαριασμοί σας βρίσκονται σε διακομιστές που δεν ελέγχετε. Υποθέστε ότι οποιοσδήποτε ιστότοπος θα μπορούσε να παραβιαστεί κάποια μέρα, και ρυθμίστε τους λογαριασμούς σας ώστε μια παραβίαση να είναι μια ταλαιπωρία και όχι μια καταστροφή: μοναδικοί κωδικοί πρόσβασης, 2FA και σκεπτικισμός απέναντι σε απρόσμενους συνδέσμους.

Αναλάβετε δράση σήμερα

Αν δεν κάνετε τίποτα άλλο αφού διαβάσετε αυτό, κάντε αυτά τα τρία πράγματα τώρα: εγκαταστήστε τις εκκρεμείς ενημερώσεις, ενεργοποιήστε το 2FA για τους λογαριασμούς email και τραπεζικής σας, και αντικαταστήστε τυχόν κωδικούς πρόσβασης που επαναχρησιμοποιείτε. Το να μένετε ασφαλείς μετά από μια ευπάθεια της PHP συνοψίζεται σε αυτές τις καθημερινές συνήθειες. Χρησιμοποιήστε VPN αν συνδέεστε συχνά σε δημόσιο Wi-Fi, αλλά αντιμετωπίστε το ως ένα επίπεδο μεταξύ πολλών, όχι ως πανάκεια.