Eesti küberekspert: PHP vead ei põhjustanud kriisi

Mitme riigi ametid ja teenusepakkujad on PHP tarkvara turvaaukude tõttu veebilehed ajutiselt sulgenud, kuid Eesti Riigi Infosüsteemi Ameti (RIA) küberturbekeskuse intsidentide käsitlemise juht Taavi Kupper ütleb, et tegemist ei ole kriisiga. Tema sõnul ajendasid sulgemisi peamiselt ettevaatusabinõud ja tarkvarauuenduste paigaldamine, mitte küberrünnakud.

Kupper selgitas, et PHP on serveripoolne tarkvara, mis võimaldab veebilehtedel ja veebiteenustel oma tööd teha. Veebipoes näeb külastaja tooteid, hindu ja ostukorvi, PHP aga täidab taustal serveri ja veebirakenduse vahelisi ülesandeid, sealhulgas hindade otsimist, laoseisu kontrollimist, ostukorvi arvutamist ja tellimuse salvestamist. PHP-d on veebiarenduses kasutatud aastakümneid ja sellega töötab umbes 70 protsenti internetilehtedest.

Haavatavad on versioonid 5 kuni 8, kuid Kupperi sõnul saab turvaparanduse paigaldada ainult versiooni 8 kasutajad. Versioonide 5–7 puhul jääb tema sõnul ebaselgeks, kas uuendus üldse tuleb, mistõttu vajavad need kasutajad nüüd muid leevendus- või tehniliselt ajutisi meetmeid.

Kaks avastatud auku võimaldasid siseneda keskkonda, kus tarkvara töötas, ilma kasutajanime või parooli teadmata. Kliendid ei olnud otseselt haavatavad, küll aga kogu veebilehe süsteem, sellel töötav teenus ja selles olevad andmed.

Haavatavused teatati kolmapäeval ja tarkvarauuendus anti välja. Samal ajal võtsid teenusepakkujad üle maailma oma veebilehed ajutiselt võrgust maha. Kupperi sõnul võisid omanikud lehed ennetavalt sulgeda, sest nad ei teadnud, kuidas oma versiooni puhul reageerida, või sest PHP uuendamine nõudis taaskäivitust. Taaskäivitus võib tema sõnul kesta süsteemist ja ahelast sõltuvalt mõnest minutist mõne tunnini, mistõttu teenused olid maas. Teenused võivad olla katkendlikult kättesaamatud ning massiline mahavõtmine ja taasavamine on seotud käimasoleva uuendusprotsessiga. Tema sõnul ei põhjustanud haavatavused ise pahatahtlikku tegevust, mis oleks lehed võrgust maha võtnud.

Lehed suleti ajutiselt üle maailma kolmapäeval. Lätis oli isegi rahvusringhäälingu portaal LSM võrgust maas. Eestis esines häireid, näiteks Rahvusarhiivi töös, ja neljapäeval teatas haridusministeerium, et peatab ajutiselt õpikeskkonna Moodle. Võrreldes muu maailmaga oli Eestis häireid suhteliselt vähe.

Kupperi sõnul on Eesti väike, teave liigub kiiresti ja leevendusmeetmeid rakendati kohe. Ta lisas, et see ei tähenda, nagu oleks Eesti täiesti puutumata jäänud: paljud inimesed Eestis on PHP ja selle haavatavusega otseselt või kaudselt seotud ning katkestusi ja kättesaamatuid teenuseid on esinenud ka Eestis. Tema sõnul oli riigil õnne, et fookus ei langenud niisugustele kriitilistele teenustele.

Kupperi sõnul hakkasid haavatavustele osutavad eelhoiatused ja analüüsid saabuma augustist. Sealt kuni praeguseni toimusid arutelud ning levisid vihjed ja kahtlused. Probleemist saadi täielikult aru siis, kui turvapaik anti välja, ja see paik paljastas kohe laiaulatusliku augu. Tema sõnul oli see üks põhjus, miks augu olemasolu ei avalikustatud väga kiiresti: see on väga laialt levinud ja paiga koostamine võttis aega.

OpenAI, kelle tehnoloogia aitas ühe vea leida, nimetas avastust üheks viimase aja kõige laiema mõjuga turvaprobleemiks. Turvafirma Wiz leidis teise haavatavuse iseseisvalt.

Kupperi sõnul on erinevate tehisintellekti ja muude tööriistadega nüüd väga lihtne ära kasutada isegi raskesti leitavaid auke. Koodianalüüsi ja tehisintellekti keelemudelite tõttu suureneb tema sõnul kindlasti erineva tasemega haavatavuste leidmine vanemates seadmetes, sealhulgas pahatahtlik avastamine. Ta tõi näite häkkerirünnakust Prantsuse jaekettide vastu, kus ründajad muutsid külmikute temperatuure. See haavatavus oli aastaid teada ja avatud, kuni keegi selle leidis ja ära kasutas. Tema sõnul peaksid tarkvaraarendajad, teenuse kasutajad ja teised tehnilised inimesed regulaarselt tugevdama oma koodianalüüsi keelemudelitega ning initsiatiivi ei tohi jätta ainult vastaspoolele.

Inimesed kasutavad nüüd suures mahus pilveteenuseid, alates perepiltidest kuni tundlike tööandmete hoidmiseni. Kupperi sõnul ei ole see turvaline. Ta lükkas tagasi mõtte, et pilv ja turvalisus käivad proportsionaalselt koos, öeldes, et pilv on algusest peale olnud kellegi teise arvuti kellegi teise reeglite all ning et pilv on pigem mugavuse kui turvalisuse küsimus. Ta ei hoiaks kriitilisi ja elutähtsaid asju, ei tööalaselt ega eraviisiliselt, kellegi teise arvutis.

Kupperi sõnul ei ole paanikaks põhjust ja tegemist ei ole kriisiga. Ta kirjeldas seda uue normaalsusena: niisugused asjad juhtuvad ja need tuleb lihtsalt ära lahendada. Tema sõnul on väga hea, et teenusepakkujad on reageerinud. Tavakasutajale võib tunduda, et teenuseni ei pääse ja kõik on täielikus kaoses maas, kuigi tegelikult inimesed ja teenusepakkujad reageerivad ning uuendavad.