Kada je u srijedu, 22. listopada, objavljena vijest da PHP ima ranjivost koja se može iskoristiti za hakiranje, većina ljudi nikada nije čula za taj programski jezik. Prema izvješću AJ-a Vicensa, PHP stoji u osnovi otprilike 70 posto svih web stranica, a to je otkriće pokrenulo užurbane reakcije tvrtki i sigurnosnih timova. Ako se pitate što je PHP ranjivost i kako ostati siguran, kratki odgovor je da se najučinkovitija zaštita događa na vašoj strani ekrana i da je jednostavna.

Napomena o onome što znamo: dostupni tekst izvornog članka je kratak i smješta vijest u širu raspravu o hakiranju potpomognutom umjetnom inteligencijom. Nećemo nagađati o tehničkim pojedinostima nedostatka izvan onoga što je objavljeno. Ono što možemo jest objasniti zašto je ovakva greška važna za obične korisnike i koje navike smanjuju vašu izloženost.

Zašto PHP nedostatak doseže svakodnevne korisnike

PHP je poslužiteljski jezik. Radi u pozadini na web poslužiteljima, generirajući stranice koje vidite kada se prijavljujete, kupujete ili čitate vijesti. Nikada ga ne instalirate i nikada ga ne vidite, ali ako stranica koju koristite radi na njemu, slabost u PHP-u može postati slabost te stranice.

Zato je doseg tako širok. Budući da PHP, prema izvješću, stoji u osnovi otprilike 70 posto web stranica, zahvaćeni skup uključuje stranice malih tvrtki, internetske trgovine, blogove i usluge na kojima možda imate račun. Rješavanje problema uglavnom je posao vlasnika stranica i pružatelja hostinga, koji moraju primijeniti zakrpe. Ne možete zakrpiti tuđi poslužitelj.

Ono što možete kontrolirati jest koliku štetu kompromitirana stranica može nanijeti vama. Ako stranica koju koristite bude probijena, pitanja su radi li vaša lozinka negdje drugdje, je li ukradena prijava sama po sebi dovoljna za ulazak i hoćete li nasjesti na naknadne prijevare koje često slijede.

Kako AI ubrzava hakiranje i prijevare

Naslov članka upućuje na hakiranje potpomognuto umjetnom inteligencijom, a zabrinutost je lako razumjeti. Automatizirani alati mogu pomoći napadačima da brže pronađu ranjive stranice i sastave uvjerljivije poruke u velikom broju. Prijevarna e-poruka koja se nekada odavala nespretnim formulacijama sada može izgledati besprijekorno.

Izvorni članak uključuje odjeljak posvećen taktikama prevaranata, uključujući upozorenje na neželjene poveznice. Praktična pouka je da se više ne možete pouzdati u prepoznavanje loše gramatike ili očitih pogrešaka. Umjesto toga, pouzdajte se u proces: provjerite odakle poruka dolazi prije nego što postupite prema njoj.

Pet praktičnih koraka za vlastitu zaštitu

Ove su navike opća najbolja praksa, a ne sažetak točnog popisa iz članka koji nam nije u potpunosti dostupan. One se bave izloženošću koju ovakva ranjivost stvara.

  1. Održavajte softver ažurnim. Uključite automatska ažuriranja za operativni sustav, preglednik i aplikacije. Ako vodite vlastitu web stranicu ili blog u stilu WordPressa na PHP-u, pravovremeno ažurirajte platformu, dodatke i verziju PHP-a ili zamolite svog pružatelja hostinga da potvrdi da su primijenili zakrpe.
  2. Budite oprezni s neželjenim poveznicama. Ne klikajte poveznice u neočekivanim e-porukama, tekstualnim porukama ili porukama, čak i ako izgledaju poznato. Sami upišite adresu stranice ili upotrijebite spremljenu oznaku.
  3. Koristite jedinstvenu lozinku za svaki račun. Ako jedna stranica bude kompromitirana, jedinstvena lozinka sprječava širenje štete. Upravitelj lozinkama to čini izvedivim.
  4. Uključite dvofaktorsku autentifikaciju (2FA). Čak i ako lozinka procuri, drugi korak napadaču znatno otežava ulazak. Aplikacije za autentifikaciju ili hardverski ključevi općenito su jači od kodova poslanih tekstualnom porukom.
  5. Pazite na naknadne prijevare. Nakon široko objavljenog nedostatka očekujte poruke koje se predstavljaju kao "sigurnosna upozorenja" tvrtki koje koristite. Idite izravno na službenu stranicu ili aplikaciju tvrtke umjesto da koristite priloženu poveznicu.

Što VPN štiti, a što ne

VPN šifrira vaš promet između vašeg uređaja i VPN poslužitelja, što je korisno na javnom Wi-Fi-ju gdje bi drugi na istoj mreži inače mogli promatrati vašu aktivnost. Također može sakriti vašu IP adresu od stranica koje posjećujete.

Ono što ne čini jest popravljanje nedostatka u kodu web stranice. Ako je poslužitelj koji radi na ranjivom PHP-u kompromitiran, VPN na vašem uređaju to ne mijenja. Također vas neće spriječiti da unesete svoju lozinku na phishing stranici. Gledajte na njega kao na jedan ograničen sloj, a ne kao štit protiv ove vrste problema. Za kontekst o tome zašto enkripcija i alati za privatnost ostaju aktualna politička rasprava, pogledajte našu reportažu o tome kako Chat Control 2.0 još uvijek ugrožava EU enkripciju, tvrde kritičari.

Što to znači za vas

Ne morate razumjeti PHP da biste smanjili svoj rizik. Otkriće je uglavnom podsjetnik da vaši računi žive na poslužiteljima koje ne kontrolirate. Pretpostavite da bi svaka stranica jednog dana mogla biti probijena i postavite svoje račune tako da proboj bude neugodnost, a ne katastrofa: jedinstvene lozinke, 2FA i skepticizam prema neočekivanim poveznicama.

Poduzmite korake danas

Ako nakon čitanja ovoga ne učinite ništa drugo, učinite sada ove tri stvari: instalirajte ažuriranja koja čekaju, uključite 2FA za svoj e-mail i bankovne račune te zamijenite sve ponovno korištene lozinke. Sigurnost nakon PHP ranjivosti svodi se na ove svakodnevne navike. Koristite VPN ako se često povezujete na javnom Wi-Fi-ju, ali tretirajte ga kao jedan sloj među nekoliko, a ne kao univerzalni lijek.