IT之家 Am 10. November berichtete „Wired“, dass ein Sicherheitsforscher in den öffentlich veröffentlichten Code der britischen Regierung mehr als 100 schwerwiegende Sicherheitslücken entdeckt hat. Da die zuständigen Behörden eine grundlegende Netzwerksicherheit nicht erhalten haben, könnten diese Lücken die Freigabe sensibler Daten verursachen und sogar den Weg für Datentauschungen und Ransomware-Angriffe öffnen.
Laut IT Home hat die britische Regierung in den letzten etwa 10 Jahren standardmäßig die öffentliche Veröffentlichung von Codes, die mit öffentlichen Mitteln entwickelt wurden, vorgesehen. Einerseits zielt dies darauf ab, die Transparenz der Regierungsarbeit zu erhöhen; andererseits ermöglicht es anderen Institutionen, die Codes wiederzuverwenden und die Entwicklungskosten zu senken. Zu den Institutionen, die diese Praxis anwenden, gehören das Ministry of Health and Social Care, das Ministry of the Interior sowie lokale Regierungsbezirke.
In den letzten Jahren haben die finanziellen Engpässe dazu geführt, dass mehrere Regierungsbehörden die Wartung und Erweiterung der bestehenden Technologie-Systeme vernachlässigten. Chris Nesbitt-Smith von der Forschungsabteilung der Sicherheitsfirma ControlPlane hat mit Hilfe der Claude Opus- und Sonnet AI-Modelle öffentliche Regierungscode scannen lassen und eine Vielzahl von Sicherheitsproblemen entdeckt.
Er betonte, dass er nur ein Konsummodell von KI verwendet, das auf einem Laptop läuft, und dass viele Sicherheitslücken sogar durch übliche IT-Sicherheitsuntersuchungen entdeckt werden können.
„Diese Probleme sind nicht die komplexen Netzwerkangriffe, um die die Mainstream-Medien besorgt sind, sondern lediglich einfache Fehler.“ Dies sagte Nesbit-Smith in einem Interview.
Durch die Leakung des Accounts der Planungs- und Überwachungsbehörde könnte das gesamte SharePoint-System verloren gehen
Bei den von ihm entdeckten Problemen ist das Schwerste mit der Planning Inspectorate in Großbritannien verbunden. Diese Behörde ist für die Verwaltung der Landnutzungspläne in ganz England zuständig.
Aufgrund eines Fehlers bei einer Operation haben Mitarbeiter der Institution die Anmeldeinformationen versehentlich auf die öffentliche Code-Hosting-Plattform GitHub gegeben. Anschließend konnten die zuständigen Abteilungen diese Informationen nicht vollständig entfernen, sodass sie weiterhin verwendet werden können.
Noch gefährlicher ist, dass diese Gruppe von Zugangsdaten eine äußerst breite Zugriffsmöglichkeit hat und es scheint keine Gültigkeitsdauer zu geben. Nesbit-Smith glaubt, dass die unerwartete Offenlegung der Zugangsdaten in Kombination mit dem zu großen Bereich des Zugriffs und der langfristigen Gültigkeit dieses Vorfall besonders gefährlich ist.
Laut ihm verfügt diese Gruppe von Microsoft Entra ID-Kennungen über die höchste Ebene der Les- und Schreibrechte für das gesamte System. Sie kann alle SharePoint-Websites sowie die persönlichen OneDrive-Konten der Mitarbeiter erreichen, einschließlich der Personalverwaltungsdaten.
Außerdem könnte der Angreifer auch auf sensible Dateien zugreifen, die für die Aufbewahrung von Beweisen der gesetzlichen Untersuchungen und Reklamationen verwendet werden. Diese Daten sind durch gesetzliche Schutzvorschriften geschützt.
Nesbit-Smith sagte, dass es vollkommen möglich sei, dass Angreifer diese Berechtigungen nutzen, um Ransomware zu deployen, alle Daten zu verschlüsseln oder die gesamten Daten direkt zu stehlen.
Die Planungs- und Überwachungsbehörde erklärte, dass ihre Netzwerk-Sicherheitsüberwachungstools im August dieses Jahres sofort Aktivitäten bezüglich Nesbit-Smith entdeckten. Bevor ControlPlane die Behörde kontaktierte, hatte die Behörde das Problem bereits als ein Netzwerk-Sicherheitsereignis behandelt.
Die Organisation erklärte, dass die Lücken innerhalb von 20 Minuten nach Erhalt des Berichts bestätigt und behoben wurden, und dass es keine Datenleakage gegeben hat. Der Sprecher sagte, die Organisation habe die relevanten Systeme und Prozesse überprüft und verstärkt, um ähnliche Probleme nicht erneut zu verursachen, und dankte den Forschern für die Entdeckung und Berichterstattung dieses Problems.
Amanda Brock, CEO der nicht-profit Organisation OpenUK, glaubt, dass das Ereignis des Planungs- und Überwachungsbüros nichts mit dem Open-Source-Software selbst zu tun hat, sondern auf eine mangelnde verwaltungstechnische Regelung bei der Verwendung öffentlicher Tools innerhalb der Regierung zurückzuführen ist.
Sie sagte, dass die Datenentdeckung darauf zurückzuführen ist, dass die beteiligten Personen den richtigen Arbeitsablauf nicht befolgten, und es handelt sich dabei nicht um ein Sicherheitsproblem bei Open-Source-Software.
In 349 RegierungsCodebibliotheken gibt es etwa zwei Drittel mit Lücken.
Dieser Scan umfasste 349 Codebibliotheken des öffentlichen Sektors von 33 Institutionen. Nesbit-Smith sagte, etwa zwei Drittel davon weisen Sicherheitslücken auf.
Mehrere Projekte des britischen Bildungsministeriums wurden ebenfalls mit Problemen in Verbindung gebracht, einschließlich der Beschaffungsdienste für Schulen, der Dienstleistungen für Lehreranträge sowie dem Hauptregistrierungssystem für ausgelöste Ausbildungsinstitute und Lehrlinge, die von der englischen Regierung finanziert werden.
Darin umfassen die Anfragen der Lehrer bezüglich des Dienstes persönliche Informationen, Bildungsqualifikationen, berufliche Erfahrungen sowie Identitätsdokumente und andere sensible Informationen.
Außerdem entdeckte er ein Loch in einem offenen Datenportal der schottischen Regierung. Mit diesem Loch könnte jeder Besucher die Informationen des Verwaltungskontos lesen und sogar die Websitekonfiguration ändern.
Die zuständigen Institutionen haben derzeit alle diese Sicherheitsprobleme behandelt.
AI beschleunigt die Entdeckung von Sicherheitslücken – die britische Regierung prüft eine Stärkung der Politik zur Offenlegung von Code.
Da die AI-Modelle die Entdeckungsgeschwindigkeit von Lücken erhöhen, hat es in letzter Zeit auch Diskussionen gegeben, ob das britische öffentliche Sektor weiterhin die Quellcode-Quellen öffentlich veröffentlichen sollte.
Im Mai dieses Jahres hat das britische National Health Service (NHS) Berichten zufolge die technische Teamleitung gebeten, den Einsatz des Open-Source-Codees schrittweise zu beenden, da Bedenken hinsichtlich der Sicherheitsrisiken von AI-Modellen bestehen. Die britische Regierung hat außerdem Leitlinien veröffentlicht, in denen die Beziehung zwischen der Offenlegung von Code und dem Risiko von Lücken im öffentlichen Sektor diskutiert wird.
Aber Nesbit-Smith glaubt, dass es das Schlimmste sein könnte, wenn die Regierung nur den Offenlegungsakt des Codes stoppt, ohne sofort die bestehenden Schwachstellen zu beheben.
Er wies darauf hin, dass öffentliche Codebibliotheken Sicherheitsforschern die Möglichkeit geben, Probleme zu entdecken und zu melden; sobald die Codebibliothek privat wird, verlieren die Forscher die Gelegenheit, Lücken zu überprüfen. Potenzielle Angreifer könnten diese Codebibliotheken bereits kopiert und gespeichert haben und weiterhin Forschungen betreiben sowie die darin enthaltenen Lücken ausnutzen können.
„Wenn Sie nicht vorhaben, alle Probleme zu lösen, könnte die Schließung des Codebases stattdessen noch mehr Aufmerksamkeit erregen. Denn das ist so, als würde man anderen sagen: Hier gibt es Gefahren, aber bitte schauen Sie nicht hier hin“, sagte Nesbit-Smith.
Diese Debatte zeigt auch ein tieferliegendes Problem: Die KI hat tatsächlich die Hürden für die Entdeckung von Softwarelücken verringert, aber was wirklich gelöst werden muss, ist vielleicht nicht, ob der Code öffentlich ist, sondern ob die Regierungsbehörden die Lücken rechtzeitig beheben, die Berechtigungen ordnungsgemäß verwalten und die grundlegende Netzwerksicherheit gewährleisten können.