כל כך הרבה פריטים יומיומיים בעולם המפותח מחוברים כעת לאינטרנט, לעתים קרובות באופן בלתי מוסבר. זה מוסיף עוד שכבה של כשל טכנולוגי פוטנציאלי שעבור מכשירי חשמל אישיים יכול להיות מטרד משעשע: תריסים לא ייפתח, מיקרוגלים כי אל תסתגל לשינויי זמן, מקררים כי צריך עדכוני קושחה.
אבל בארגון, כשמכשירי האינטרנט של הדברים נכשלים, זו לא בדיחה של חוט טוויטר. פסי הייצור של המפעל נעצרים. מדי דופק בבתי חולים עוברים במצב לא מקוון. לוחות חכמים לבית ספר יסודי מחשיכים.
כשלים במכשירים חכמים הם סיכון הולך וגובר בעולם הארגוני, ולא רק בגלל ה דאגות אבטחה שנדונו לעתים קרובות. הסיבה לכך היא שחלק מתעודות הבסיס של המכשירים האלה - הנחוצים כדי להתחבר לאינטרנט בצורה מאובטחת - יפוג.
"המכשירים צריכים לדעת במה לסמוך, אז תעודת השורש מובנית במכשיר ככלי אימות", מסביר סקוט הלם, חוקר אבטחה שיש לו נכתב בהרחבה על בעיית תפוגת אישור השורש. "ברגע שהמכשיר נמצא בטבע הוא מנסה לקרוא 'בית' - API או שרת של היצרן - והוא בודק מול אישור השורש הזה כדי לומר, 'כן, אני מתחבר לדבר המאובטח הנכון הזה'. בעיקרו של דבר [תעודת שורש היא] עוגן אמון, מסגרת התייחסות למכשיר כדי לדעת למה הוא מדבר."
בפועל האימות הזה הוא כמו רשת או שרשרת. רשויות האישורים (CA) מנפיקות כל מיני אישורים דיגיטליים, והגופים "מדברים" זה עם זה, לפעמים במספר רמות. אבל החוליה הראשונה והמרכזית ביותר של השרשרת הזו היא תמיד תעודת השורש. בלעדיו, אף אחת מהרמות שלמעלה לא תוכל לאפשר את החיבורים. אז אם תעודת שורש מפסיקה לעבוד, המכשיר לא יכול לאמת את החיבור ולא יקשר לאינטרנט.
הנה הבעיה: הרעיון של האינטרנט המוצפן התפתח בסביבות שנת 2000 - ותעודות שורש נוטות להיות תקפות למשך כ-20 עד 25 שנה. בשנת 2022, אם כן, אנו נמצאים באמצע תקופת התפוגה ההיא.
ה-CA הנפיקו שפע של תעודות שורש חדשות בשני העשורים האחרונים פלוס, כמובן, הרבה לפני התפוגה. זה עובד היטב בעולם המכשירים האישיים, שבו רוב האנשים משדרגים לעתים קרובות לטלפונים חדשים ולוחצים כדי לעדכן את המחשבים הניידים שלהם, כדי שיהיו להם את האישורים החדשים יותר. אבל בארגון, זה יכול להיות הרבה יותר מאתגר או אפילו בלתי אפשרי לעדכן מכשיר - ובמגזרים כמו ייצור, מכונות אכן עשויות להיות עדיין על רצפת המפעל 20 עד 25 שנים מאוחר יותר.
ללא חיבור לאינטרנט, "המכשירים האלה לא שווים כלום", אומר קווין בוצ'ק, סגן נשיא לאסטרטגיית אבטחה ומודיעין איומים ב-Venafi, ספקית שירותי ניהול זהויות מכונות. "הם בעצם הופכים לבונים [כאשר תוקף אישורי השורש שלהם פג]: הם לא יכולים לסמוך יותר על הענן, לא יכולים לקבל פקודות, לא יכולים לשלוח נתונים, לא יכולים לקבל עדכוני תוכנה. זה סיכון אמיתי, במיוחד אם אתה יצרן או מפעיל כלשהו".
יריית אזהרה
הסיכון אינו תיאורטי. ב-30 בספטמבר, תעודת שורש שהונפקה על ידי CA המאסיבי בואו להצפין פג - ו מספר שירותים ברחבי האינטרנט נשברו. התפוגה לא הייתה הפתעה, שכן Let's Encrypt מזהירה את לקוחותיה מזה זמן רב לעדכן לאישור חדש.
ובכל זאת, הלם כתב ב-a בלוג 10 ימים לפני התפוגה, "אני מהמר שכמה דברים כנראה ישברו ביום הזה." הוא צדק. חלק מהשירותים של Cisco, Google, Palo Alto, QuickBooks, Fortinet, Auth0 וחברות רבות נוספות נכשלו.
"והדבר המוזר בזה", אומר הלם ל-Dark Reading, "הוא שהמקומות שבהם משתמשים ב-Let's Encrypt הם בהגדרה מאוד מודרניים - אתה לא יכול פשוט להיכנס לאתר שלהם ולשלם 10$ שלך ולהוריד את התעודה שלך ביד. זה צריך להיעשות על ידי מכונה או דרך ה-API שלהם. משתמשים אלה היו מתקדמים, וזו עדיין הייתה בעיה גדולה מאוד. אז מה קורה כאשר אנו רואים [תפוגים] מ-CAs מדור קודם שיש להם לקוחות ארגוניים גדולים אלה? אין ספק שאפקט הדפיקה יהיה גדול יותר".
הדרך קדימה
אבל עם כמה שינויים, אפקט ההשפעה הזה לא חייב לקרות, אומר בוצ'ק של ונפי, שרואה באתגר אתגר של ידע ושרשרת פיקוד - ולכן הוא רואה פתרונות גם במודעות וגם בשיתוף פעולה מוקדם.
"אני ממש מתרגש כשאני רואה את קציני האבטחה הראשיים והצוותים שלהם מעורבים ברמת היצרן והמפתחים", אומר בוצ'ק. "השאלה היא לא רק 'האם אנחנו יכולים לפתח משהו בטוח?' אבל 'האם נוכל להמשיך להפעיל אותו?' לעתים קרובות יש אחריות משותפת לתפעול במכשירים מחוברים בעלי ערך גבוה, אז אנחנו צריכים להיות ברורים איך אנחנו הולכים להתמודד עם זה כעסק."
שיחות דומות מתרחשות בתחום התשתיות, אומר מרטי אדוארדס, סגן CTO לטכנולוגיה תפעולית ו-IoT בחברת Tenable. הוא מהנדס תעשייה במקצועו שעבד עם חברות שירות ועם המחלקה לביטחון המולדת של ארה"ב.
"למען האמת, במרחב התעשייתי עם שירותים ומפעלים, כל אירוע שמוביל להפסקת ייצור או הפסד מדאיג", אומר אדוארדס. "אז במעגלי ההתמחות האלה המהנדסים והמפתחים בהחלט בוחנים את ההשפעות [של תעודות שורש שפג תוקפן] וכיצד אנחנו יכולים לתקן אותן."
למרות שאדוארדס מדגיש שהוא "אופטימי" לגבי השיחות הללו והדחיפה לשיקולי אבטחת סייבר במהלך תהליך הרכש, הוא מאמין שיש צורך גם בפיקוח רגולטורי נוסף.
"משהו כמו סטנדרט טיפול בסיסי שאולי כולל שפה כיצד לשמור על שלמות מערכת תעודות", אומר אדוארדס. "היו דיונים בין קבוצות תקנים שונות וממשלות לגבי מעקב אחר מכשירים קריטיים למשימה, למשל."
לגבי Helme, הוא ישמח לראות מכונות ארגוניות מוגדרות לעדכונים בצורה מציאותית ולא מפרכת עבור המשתמש או היצרן - תעודה חדשה שהונפקה ועדכון מוריד כל חמש שנים, אולי. אבל יצרנים לא יתמרצו לעשות זאת אלא אם לקוחות ארגוניים ילחצו לכך, הוא מציין.
"באופן כללי, אני כן חושב שזה משהו שהתעשייה צריכה לתקן", מסכים אדוארדס. "החדשות הטובות הן שרוב האתגרים הללו אינם בהכרח טכנולוגיים. זה יותר לדעת איך הכל עובד, ולהגדיר את האנשים והנהלים הנכונים".
