इस हफ्ते के शुरू में, एक चौंकाने वाली घोषणा की गई: PHP ओपन सोर्स प्रोग्रामिंग भाषा में एक नया वल्नरेबिलिटी पाया गया है, इसलिए वेबसाइट मालिकों को अपनी वेबसाइट को तुरंत पैच करना चाहिए; यदि तुरंत अपडेट करना संभव नहीं है, तो सुरक्षा के लिए वेबसाइट को अस्थायी रूप से ऑफलाइन कर देना चाहिए।
इस सप्ताह के TechCrunch के Equity पॉडकास्ट में, किर्स्टेन कोरोसेक, शॉन ओ'केन और मैंने इस "PHPocalypse" के महत्व और भविष्य में ऐसी और घटनाओं के आने की संभावना पर चर्चा की।
सीन ने इसे वास्तविक “क्लीयरेंस मोमेंट” कहा, जिसने यह उजागर किया कि “जब आप इंटरनेट के हड्डियों तक जाते हैं,” तो सब कुछ “गोंद और सपनों पर टिका हुआ” लगता है। उन्होंने यह भी कहा कि बड़े भाषा मॉडल और एआई एजेंट्स की व्यापक उपलब्धता के साथ, इन दुर्बलताओं को खोजना आसान होता जा रहा है। (हालाँकि, ये विशिष्ट दुर्बलताएँ एआई मॉडल द्वारा नहीं, बल्कि मानव शोधकर्ताओं द्वारा खोजी गईं।)
किर्स्टन चिंतित हैं कि हम संभवतः "अगले स्तर की अंतिम तैयारी की भावना" में प्रवेश करने वाले हैं[…] क्योंकि आप देख सकते हैं कि बैंकों का दुरुपयोग किया जा सकता है, और डेटा और गोपनीयता के मुद्दों को देखते हुए, यह सब हमारे वर्तमान समय में ठीक किए जा सकने वाले से कहीं अधिक बड़ा महसूस होता है।
यह हमारे इस संवाद का एक संक्षिप्त और संपादित परिचय है।
शीन ओ'केन: लगता है कि इस हफ्ते इंटरनेट कई तरह से समस्याओं का शिकार हो रहा है।
यदि पाठक इस बात से अभी तक परिचित नहीं हैं, तो मुझे लगता है कि इसे समझने का सबसे अच्छा तरीका यह है: पिछले 10 वर्षों में, हमने कितनी बार ऐसा क्षण देखा है—जब कुछ खराब हो गया या खराब होने ही वाला था, और कोई ऐसा व्यक्ति, जो केवल अपने आवश्यक समय में एक छोटे रिपॉजिटरी की रखरखाव करता था, अचानक देख पाया कि कुछ दुष्ट चीजें हो रही हैं और इंटरनेट इंफ्रास्ट्रक्चर के पूरी तरह से टूटने को रोक दिया?
अब इस स्थिति को एक अरब गुना कर दें: लोग न केवल इन सभी द्वारा उपयोग किए जाने वाले, अत्यंत उन्नत भाषा मॉडल सॉफ़्टवेयर तक पहुँच सकते हैं, बल्कि उन्हें कार्य सौंप सकते हैं ताकि वे खुद कर सकें; इसके अलावा, AI एजेंट्स के आगमन से, जो इन कार्यों को पूरा करने में समर्पित हो सकते हैं।
इस हफ्ते हमने दो शक्तियों के एक साथ होने को देखा है। एक ओर, Google और OpenAI जैसे प्रयोगशालाएँ और कंपनियाँ वास्तव में एक समूह के द्वारा विभिन्न दुर्बलताओं की खोज करने के लिए भेजी गईं, जिनमें PHP दुर्बलता शामिल है। दूसरी ओर, कई लोग ऐसे दुर्बलताओं का लाभ उठाने की कोशिश कर रहे हैं और वेबसाइटों में घुसपैठ करने की कोशिश कर रहे हैं। इसलिए हमने सरकारी वेबसाइटों को ऑफलाइन होते देखा है, और कुछ बहुत लोकप्रिय वेबसाइटों को इस दुर्बलता को ठीक करने के लिए अस्थायी रूप से डाउन किया गया है।
यह वास्तविक क्लीयरेंस का क्षण है, और हम देखेंगे कि PHP जैसी ओपन सोर्स तकनीकों पर इंटरनेट के इतने हिस्सों को बनाए रखने का नीचे की ओर का जोखिम क्या है। इंटरनेट के सबसे नीचे स्तर पर, यह केवल ग्लू और सपनों पर टिका हुआ है।
एंथनी हा: इस बात के कई आश्चर्यजनक पहलू हैं। उनमें से एक है—कम से कम मेरी समझ के अनुसार—यह एक नया दुर्बलता नहीं है। यह दुर्बलता PHP में कई दशकों से मौजूद है।
PHP एक प्रोग्रामिंग भाषा के रूप में, जिसका उपयोग बहुत सारी वेबसाइट्स बनाने के लिए किया गया है, इसलिए यह दरार कई दशकों से मौजूद थी, लेकिन पहले किसी को पता नहीं था। इसकी प्रक्रिया लगभग इस प्रकार है कि इन बड़ी AI कंपनियों—जिनमें अब Google के स्वामित्व में Wiz शामिल है—LLM का उपयोग करके इन दरारों को ढूंढ सकती हैं। [जैसा कि पहले बताया गया है, मैंने यहां गलती की है: OpenAI और Wiz के “Hack the Planet” कार्यक्रम में शामिल मानव शोधकर्ताओं ने इन दरारों को खोजा, हालांकि उन्होंने इस बग का दुरुपयोग करने के लिए AI का उपयोग किया।]
मुझे लगता है कि इसका एक हिस्सा यह है कि हमें इसे ठीक करना होगा, क्योंकि अगर हम LLM के साथ इस दरार को ढूंढ सकते हैं, तो दूसरे भी ढूंढ सकते हैं। लेकिन हम इस पैच को जारी करने का एकमात्र तरीका इस दरार को सार्वजनिक करना है। इसलिए यह एक बहुत ही आतंकित स्थिति पैदा करता है, जहां वे कहेंगे: "ठीक है, यह दरार कई दशकों से मौजूद है। आपको तुरंत इसे ठीक करना होगा; अगर आप तुरंत इसे ठीक नहीं कर सकते, तो अपनी वेबसाइट बंद कर दें। यह दरार इतनी गंभीर है।"
किर्स्टेन कोरोसेक: मुझे लगता है कि महत्वपूर्ण बात यह है कि बहुत से लोग यह भी नहीं जानते कि उनकी वेबसाइट पर PHP का उपयोग हो रहा है—जैसा कि आपने उल्लेख किया, यह एक कई दशकों पुरानी ओपन सोर्स प्रोग्रामिंग भाषा है।
अज्ञात लोगों के लिए, हाइपरटेक्स्ट प्रीप्रोसेसर इसका औपचारिक नाम है; यह वास्तव में WordPress, Drupal आदि कंटेंट मैनेजमेंट सिस्टम का केंद्रीय घटक है, जिनका उपयोग लगभग 70% वेबसाइट्स द्वारा किया जाता है। हम करोड़ों वेबसाइट्स की बात कर रहे हैं। मेरे लिए, मुख्य बात पैमाना है। यह मुझे तुरंत दो चीजों की याद दिलाता है: पहला, यह सिर्फ शुरुआत है। अभी भी कितने पुराने, खराब सॉफ्टवेयर छिपे हुए हैं जिनका भविष्य में दुरुपयोग किया जाएगा?
दूसरी बात यह है कि 404 Media ने एक बहुत अच्छा विश्लेषण किया है, जिसमें "लिंक राल" की बात की गई है। क्योंकि बहुत सारे लोग, कंपनियाँ, सरकारें, और शायद उस छोटे समुदाय की वेबसाइट भी इन वेबसाइट्स को बंद कर देती हैं। इससे हम बहुत सारे लिंक अक्षम होते देखते हैं, और कुछ ऐसी वेबसाइट्स भी जो मूलतः इतिहास के टुकड़ों को संजोती थीं, अब पहुँचने योग्य नहीं रहतीं, और उन्हें बचाए रखने के लिए सुधार नहीं किया जाता।
शीन: एंथनी, मुझे लगता है कि आपने एक बहुत अच्छा बिंदु उठाया है। मैंने देखा है कि बहुत से लोग इस अपडेट प्रक्रिया से असंतुष्ट हैं और OpenAI के संबंधित पोस्ट में थोड़े "घमंडी" अंदाज़ की वजह से नाराज़ हैं।
इसके अलावा, कुछ लोगों ने इस प्रकाशन के प्रतिबंध काल से पहले कार्रवाई की, जिससे हैकर समुदाय में एक प्रतिस्पर्धा शुरू हो गई। मुझे याद है कि Cloudflare के CEO Matthew Prince ने पोस्ट किया था कि PHP2Shell के खिलाफ प्रयासात्मक हमलों की संख्या लाखों तक पहुँच गई है।
इस तरह के दुरुपयोग के सामान्य उपाय साइबर सुरक्षा में यह है कि अगर आप किसी कंपनी के सॉफ्टवेयर पर दबाव परीक्षण कर रहे हैं, भले ही वह कई अलग-अलग कंप्यूटर या इंटरनेट के कुछ हिस्सों को संचालित करने वाला मूल सॉफ्टवेयर हो, तो आप समस्या की रिपोर्ट उस कंपनी को कर सकते हैं, और फिर इसे आमतौर पर उसी सीमा में ही रखा जाता है। लेकिन जब हम इस तरह की गहरी, मूलभूत चीजों की बात करते हैं, तो आप सभी को चुपचाप सूचित नहीं कर सकते।
मेरा मतलब है, शायद अगर AI काफी उन्नत हो और आप एक अरब एजेंट्स को निर्देश दे सकें जो हर वेबसाइट के किसी हिस्से के प्रबंधक को ईमेल भेजें, तो यह संभव हो सकता है। हम अब उन आसानी से पहचाने जा सकने वाले वेब प्रबंधकों के दिनों की याद करने लगे हैं, शायद ऐसा करने से किसी तरह समस्या का हल हो सकता है। लेकिन इसका कोई सरल तरीका नहीं है। मुझे लगता है कि यह केवल शुरुआत है, और अब कई बार प्रतिक्रिया और प्रतिप्रतिक्रिया होगी, और यह स्पष्ट रूप से साइबर सुरक्षा के क्षेत्र में एक नया सीमांत है।
किर्स्टन: मैथ्यू प्रिंस के सोशल मीडिया पोस्ट मुझे बहुत स्पष्ट और काफी डरावने लगे। इसके अलावा, मुझे नहीं पता कि आपने देखा है या नहीं, अमेज़न ने भी एक ब्लॉग पोस्ट किया है। यह एक बहुत अच्छी तरह से फंडेड कंपनी है, इसलिए उनके पास इसके दौरान हो रही चीजों को पकड़ने के लिए उपकरण और टीम हैं। वे मूल रूप से एक मधुबाग़ नेटवर्क, या एक बाहरी चीज़ चला रहे हैं, और उन्होंने वास्तव में देखा कि इस दरार की घोषणा से पहले ही किसी ने इसका दुरुपयोग करने की कोशिश की है।
मेरे लिए, यह फिर से एक ही सवाल पर वापस आ जाता है: अमेज़न के पास इन मामलों का सामना करने के लिए उपकरण, पूंजी और विशेषज्ञता है, लेकिन इतने सारी वेबसाइटें हैं, यहां तक कि सरकारी वेबसाइटें भी, जिन्हें इस स्तर का ध्यान नहीं मिलता। इसलिए मुझे लगता है, यही वास्तविक डरावना हिस्सा है।
और बाहर कुछ AI कर्मचारी भी हैं, जो इस मामले को एक उच्चतर "अंत की तैयारी" स्थिति में ले जा सकते हैं, क्योंकि आप देख सकते हैं कि बैंकों का दुरुपयोग किया जा सकता है, और डेटा और गोपनीयता के मामलों की चिंता के साथ, यह सब इतना बड़ा महसूस होता है कि हम इसे अभी ठीक नहीं कर सकते। इसलिए मैं दो चीजों को देखना चाहूंगा: पहला, लोगों का व्यवहार कितना चरम हो जाएगा; दूसरा, मैं सोच रहा हूँ कि क्या इससे कुछ नए स्टार्टअप्स का जन्म होगा, या हम Nvidia जैसी कंपनियों द्वारा प्रदान किए गए ओपन-सोर्स टूल्स का उपयोग करके इन सुरक्षा परतों को बनाने की ओर मुड़ेंगे।