Коли в середу, 22 жовтня, з’явилася новина про те, що PHP має вразливість, яку можна зламати, більшість людей ніколи не чули про цю мову програмування. Згідно зі звітом AJ Vicens, PHP лежить в основі приблизно 70 відсотків усіх вебсайтів, і це розкриття змусило компанії та команди з безпеки кинутися виправляти ситуацію. Якщо ви цікавитеся вразливістю PHP і тим, як залишатися в безпеці, коротка відповідь така: найефективніший захист відбувається на вашому боці екрана, і він простий.
Примітка про те, що ми знаємо: доступний текст вихідної статті короткий, і він подає новину в межах ширшого обговорення хакерства, підсиленого ШІ. Ми не будемо розмірковувати про технічні деталі цієї вади понад те, що було повідомлено. Що ми можемо зробити, так це пояснити, чому така помилка важлива для звичайних користувачів і які звички зменшують вашу схильність до ризику.
Чому вада PHP торкається пересічних користувачів
PHP — це серверна мова. Вона працює за лаштунками на вебсерверах, генеруючи сторінки, які ви бачите, коли входите в систему, робите покупки або читаєте новини. Ви ніколи її не встановлюєте і ніколи не бачите, але якщо сайт, яким ви користуєтеся, працює на ній, слабкість у PHP може стати слабкістю цього сайту.
Ось чому охоплення таке широке. Оскільки PHP лежить в основі приблизно 70 відсотків вебсайтів, згідно зі звітом, постраждалий пул включає сайти малого бізнесу, інтернет-магазини, блоги та сервіси, де у вас може бути обліковий запис. Виправлення проблеми здебільшого є завданням власників сайтів і хостинг-провайдерів, які повинні застосувати патчі. Ви не можете пропатчити чужий сервер.
Що ви можете контролювати, так це те, якої шкоди зламаний сайт може завдати вам. Якщо сайт, яким ви користуєтеся, зламано, питання в тому, чи ваш пароль працює деінде, чи достатньо лише викраденого логіна, щоб увійти, і чи вас обдурять подальші шахрайства, які часто надходять після цього.
Як ШІ прискорює хакерство та шахрайство
Заголовок статті вказує на хакерство, підсилене ШІ, і занепокоєння легко зрозуміти. Автоматизовані інструменти можуть допомагати зловмисникам швидше сканувати вразливі сайти та масштабно створювати переконливіші повідомлення. Шахрайський електронний лист, який колись викривав себе незграбним формулюванням, тепер може читатися бездоганно.
Вихідна стаття містить розділ, присвячений тактикам шахраїв, зокрема попередження про небажані посилання. Практичний урок полягає в тому, що ви більше не можете покладатися на виявлення поганої граматики чи очевидних помилок. Натомість покладайтеся на процес: перевірте, звідки надійшло повідомлення, перш ніж діяти на його основі.
П’ять практичних кроків для захисту себе
Ці звички є загальною найкращою практикою, а не переказом точного списку зі статті, який нам недоступний повністю. Вони стосуються ризику, який створює така вразливість.
- Тримайте своє програмне забезпечення оновленим. Увімкніть автоматичні оновлення для вашої операційної системи, браузера та застосунків. Якщо ви керуєте власним вебсайтом або блогом у стилі WordPress на PHP, своєчасно оновлюйте платформу, плагіни та версію PHP або попросіть свого хостинг-провайдера підтвердити, що вони застосували патч.
- Остерігайтеся небажаних посилань. Не переходьте за посиланнями в несподіваних електронних листах, текстах чи повідомленнях, навіть якщо вони виглядають знайомими. Введіть адресу сайту самостійно або скористайтеся збереженою закладкою.
- Використовуйте унікальний пароль для кожного облікового запису. Якщо один сайт зламано, унікальний пароль не дає шкоді поширитися. Менеджер паролів робить це реалістичним.
- Увімкніть двофакторну автентифікацію (2FA). Навіть якщо пароль витік, другий крок значно ускладнює зловмиснику вхід. Застосунки-автентифікатори або апаратні ключі зазвичай надійніші за коди в текстових повідомленнях.
- Стежте за подальшими шахрайствами. Після широко розголошеної вади очікуйте повідомлень, які нібито є "попередженнями про безпеку" від компаній, якими ви користуєтеся. Переходьте безпосередньо на офіційний сайт або в застосунок компанії замість використання наданого посилання.
Від чого VPN захищає, а від чого ні
VPN шифрує ваш трафік між вашим пристроєм і VPN-сервером, що корисно в публічних Wi-Fi мережах, де інші в тій самій мережі інакше могли б спостерігати за вашою активністю. Він також може приховувати вашу IP-адресу від сайтів, які ви відвідуєте.
Чого він не робить, так це не виправляє ваду в коді вебсайту. Якщо сервер, на якому працює вразливий PHP, зламано, VPN на вашому пристрої цього не змінює. Він також не завадить вам ввести пароль на фішинговій сторінці. Сприймайте його як один обмежений рівень, а не щит проти такого роду проблеми. Для контексту про те, чому шифрування та інструменти приватності залишаються предметом живих політичних дебатів, дивіться наш матеріал про те, як Chat Control 2.0 досі загрожує шифруванню в ЄС, кажуть критики.
Що це означає для вас
Вам не потрібно розуміти PHP, щоб зменшити свій ризик. Це розкриття переважно є нагадуванням про те, що ваші облікові записи живуть на серверах, які ви не контролюєте. Припускайте, що будь-який сайт колись може бути зламаний, і налаштуйте свої облікові записи так, щоб злам був незручністю, а не катастрофою: унікальні паролі, 2FA і скептицизм щодо несподіваних посилань.
Дійте вже сьогодні
Якщо після прочитання цього ви не зробите нічого іншого, зробіть зараз три речі: встановіть очікувані оновлення, увімкніть 2FA для своїх облікових записів електронної пошти та банківських рахунків і замініть будь-які повторно використані паролі. Безпека після вразливості PHP зводиться до цих повсякденних звичок. Використовуйте VPN, якщо ви часто підключаєтеся в публічних Wi-Fi мережах, але ставтеся до нього як до одного з кількох рівнів, а не як до панацеї.
