Zibersegurtasunean gizarte-ingeniaritzako erasoen gorakada
Zibersegurtasunean, mehatxu berri bat sortu da. Zehazki, gizarte-erakundeen erasoek jokalari esperientziadunenak ere harrituta harrapatzen dituzte orain. Mehatxu tradizionalen aldean, eraso hauek ez dute teknologia berririk edo malware konplexurik behar. Horren ordez, konfiantza eta lankidetza ustiatzen dituzte.
2024ko apirilean, kode irekiko komunitateak erronka garrantzitsu bati aurre egin behar izan zion. Adibidez, Jia Tan izeneko GitHub-eko erabiltzaile batek sarbidea lortu zuen... XZ Utils konpresio tresna, Linux sistemetan oso erabilia dena. Ondoren, Jia Tanek sarbide hori erabili zuen softwarean atzeko ate bat txertatzeko. Ondorioz, Linux oinarritutako gailu ugarik arrisku potentzialak izan zituzten.
Izan ere, gertakari honek esnatzeko dei bat izan zen. Kode irekiko ekosistemaren ahultasunak agerian utzi zituen. Gardentasuna eta lankidetza normalean indarguneak diren arren, eragile gaiztoen tresna bihurtu ziren. Gainera, egoera honek mantentze-langileen funtsezko eginkizuna azpimarratu zuen, taktika maltzur horien aurkako lehen defentsa-lerroa baitira.
Gizarte-erasoak diseinatutako benetako gertakariak
Hainbat gertakari errealek erakutsi dute gizarte-ingeniaritzako erasoek kode irekiko proiektuetan duten eragin larria. Adibide hauek ahultasunak erakusten dituzte eta segurtasun neurriak areagotzeko beharra azpimarratzen dute.
1. kasu-azterketa: npm paketearen gertaera-jarioa
2018ko azaroan, gizarte-erabaki sofistikatu batek arriskuan jarri zuen npm paketearen gertaera-jarioa. Eragile gaizto batek proiektua mantentzen laguntzeko eskaini zuen. Jatorrizko mantentzaileak, laguntza eske, gainezka eginda, kontrola eman zuen. Ondoren, erasotzaileak bitcoinak lapurtzeko diseinatutako kode gaiztoa sartu zuen, milioika aldiz deskargatu zena aurkitu aurretik. Ondorioz, garatzaileek alternatibak aurkitu edo kode gaiztoaren kode-baseak egiaztatu behar izan zituzten. Gertakari honek gertaera-jario paketearekiko konfiantza galtzea ekarri zuen berehala, eta npm ekosistemaren barruan eztabaida zabalagoa piztu zuen mantentzaileen egiaztapen eta mendekotasunen azterketa sendoago baten beharraz.
2. kasuaren azterketa: RubyGems bahiketa
2020an, erasotzaileek pasahitz ahulak edo berrerabiliak erabili zituzten erasotzeko. rubygems pakete kudeatzailea. Hainbat konturen kontrola lortu eta kode gaiztoa txertatu zuten gemetan, eta horrek urruneko kodea exekutatzea ahalbidetu zuen kaltetutako makinetan. Mantentzaileek azkar erantzun zuten kaltetutako gemak kenduz eta ordezkatuz. Gainera, urraketa azkar jakinarazi zieten erabiltzaileei. Gertakari honek pasahitz sendo eta bakarrak izatearen eta bi faktoreko autentifikazioaren ezarpenaren garrantzia azpimarratu zuen. Ondorioz, RubyGems komunitateak segurtasun neurriak hobetu eta kontzientziazioa areagotu zuen Eraso Sozialki Diseinatuen aurka hobeto defendatzeko.
3. kasuaren azterketa: PHP Git zerbitzariaren konpromisoa
2021eko martxoan, erasotzaileek funtzionarioaren datuak arriskuan jarri zituzten. PHP Git zerbitzariaGaiztoak bultzatzea lortu zuten commitPHP iturburu-kodean atzeko ate bat dutenak. Gaiztoak diren arren commitAkatsak azkar detektatu eta leheneratu zirenez, gertakariak kezka handiak sortu zituen programazio-lengoaia erabilienetako baten segurtasunari buruz. Horren harira, PHP garapen-taldeak bere biltegia GitHubera eraman zuen, eta honek segurtasun-ezaugarri eta monitorizazio-tresna hobeak eskaintzen ditu. Kodearen berrikuspen-prozesu zorrotzagoak ere ezarri zituzten. Urraketa honek beste kode irekiko proiektu batzuetarako dei-ematea izan zen, azpiegitura seguruaren eta monitorizazio ernearen beharra azpimarratuz.
Tresnak eta jardunbide egokiak gizarte-erasoak borrokatzeko
Gizarte-erasoak saihesteko, taldeek tresna eta praktika egokiak erabili behar dituzte. Adibidez, Xygeni Malware Detekzio Goiztiarra denbora errealeko jarraipena eskaintzen du. Tresna honek pakete kaltegarriak blokeatzen ditu eta mendekotasun seguruak bermatzen ditu. Horrez gain, malware infekzioak berehala detektatzen ditu, pakete berrietan edo fidagarriak direnen eguneratzeetan izan.
Gainera, Xygeni SSC Security-k faktore anitzeko autentifikazioaren (MFA) egiaztapena onartzen du. Kodearen berrikuspen automatizatuak eta bestelako segurtasun-egiaztapenak ere ezartzen ditu. Neurri hauek ahultasunak identifikatzen eta ekintza gaiztoak geldiarazten laguntzen dute, askotan eraso sozialki diseinatuetan ustiatzen direnak.
Laburbilduz, gertaeren jarioaren konpromisoa, RubyGems bahiketa eta PHP Git zerbitzariaren haustura bezalako benetako gertakariek erakusten dute premiazkoa dela Gizarte Erasoen aurka defendatzea. Azterketa zorrotza, etengabeko monitorizazioa, autentifikazio sendoa eta azpiegitura segurua ezarriz, kode irekiko komunitateak proiektuak babestu ditzake. Horrela, Xygeni bezalako tresnak erabiltzeak ekosistemaren arrakastarako ezinbestekoa den konfiantza mantentzen laguntzen du.
