Ten z urodzinami Microsoftu i zasobożernym AI

Cześć Maćku. Cześć Przemku. Spotykamy się już na nagraniu naszego piątego odcinka, więc witamy wszystkich serdecznie. I dzisiaj mamy kilka ciekawych tematów. Zobaczymy jak nam będzie szło z czasem. Pięć albo sześć tych tematów jest i są to tematy pod tytułem Microsoft świętuje swoje 50 urodziny. Podatność Erlangu OTP SSH. Temat cyberwojny, jeśli to tak można powiedzieć, pomiędzy LLAM-ami, czyli twórcami, czyli firmami, które produkują duże modele językowe, a generalnie każdym, kto utrzymuje infrastrukturę.

Oprócz tego mamy cyfrowych bliźniaków i trochę tematów takich pobocznych jak np. 100 dni od wdrożenia Dory, o czym sobie za chwilę wytłumaczymy co to jest. Jeśli nam wystarczy czasu jeszcze to mamy taki temat dodatkowy na temat jak monetyzować czy jak zabezpieczać pożyczanie pieniędzy na adresach IPv4. Ale żeby zachęcić też naszych słuchaczy do tego, żeby nie startować od bardzo trudnych tematów, to może o OTPSSH i podatność Erlanga odłożymy sobie na drugi albo trzeci temat i zaczniemy od cyfrowych bliźniaków. Co ci się kojarzy, Maćku, jak słyszysz cyfrowy bliźniak?

On stwierdził, że nie, że on w ogóle jakby nie ufa systemowi, więc on nie będzie tego nikomu zgłaszał i nie będzie też próbował jakby odzyskać tych przelewów gdzieś tam w jakimś systemie międzybankowym, a to była świeża sprawa, bo sprzed paru godzin, więc pewnie była szansa to odzyskać. On po prostu miał taki mindset, że nie i już. Spoko. Kto bogatemu zabronił za to żyć. To teraz w ogóle zachęcamy wszystkich, którzy nas słuchają, do subskrypcji naszych kanałów, komentowania, oceniania odcinków, które już wypuściliśmy. Będzie nam niezmiernie miło, jak dostaniemy od was jakiś feedback. Zanim przeskoczymy do tematu, który myślę, że będzie dla nas super ciekawy, czyli 50-lecie Microsoftu, to idziemy z grubej rury w drugą stronę, czyli technologie i podatność Erlanga w OTP SSH.

Ale powiedziałeś o tym, że to dotyczy demona SSH. Wydaje mi się, że nie tylko demona SSH, tylko generalnie implementacji SSH, bo nie zawsze każdy system taki IoT ma takiego demona w formie systemu operacyjnego. Tylko w ramach Erlanga jest to usługa, która działa na urządzeniu. Ta podatność konkretnie pozwala na zdalne wykonanie kodu, to znaczy jesteśmy w stanie Podatność dotyczy nie generycznie wszystkich użytkowników SSH, tylko tych, którzy używają komponentu Erlang OTP.

Tak, no bo to jest o tyle ciekawe, że tutaj, bo jeszcze zanim dojdziemy do tych technikaliów, a pewnie i tak na nie popłyniemy w tę stronę, to ta podatność otrzymała maksymalną ocenę według takiej skali CVSS. Jakbyś mi tutaj to wytłumaczył jeszcze, co to znaczy, bo to jest maksymalna rozumiem ocena, czyli 10. Tak, to są takie oznaczenia jak bardzo podatność jest groźna z punktu widzenia użytkowników danego rozwiązania i jakby ten scoring 10 to jest max. I tutaj rzeczywiście mamy taką sytuację, gdzie bardzo łatwo jest wykonać zdalnie kod na urządzeniu, które korzysta z tego biblioteki Erlang OTP. Natomiast

To nie jest, żeby było jasne, to nie jest tak, że każde urządzenie, które korzysta z SSH i jest podłączone do internetu, natychmiast jest na to podatne i na każdym tym urządzeniu można zdalnie wykonywać kod. W większości przypadków żarówki, które mamy w domu, takie IoT raczej nie będą podatne. Tak, co więcej masa urządzeń nie ma by default jakby w ogóle włączonego Erlang OTP. Problem dotyczy przede wszystkim tych właśnie urządzeń, gdzie producent w nieudokumentowany sposób stwierdził, że sobie z tego skorzysta albo w udokumentowany sposób, tylko nikt na to nie zwraca uwagi, bo Erlang OTP to nie jest jakby rozwiązanie, z którego wszyscy korzystamy na co dzień i to nie jest rozwiązanie, które jest jakoś super popularne w każdym możliwym wdrożeniu. Ale żeby iść w tą stronę, to ja doczytałem, że większość urządzeń Ericssona i Cisco korzysta z Erlanga.

Zrobił zestawienie urządzeń, które mają wystawionego demona SSH właśnie w tej wersji z Erlang OTP, to wyszło mu w granicach chyba sześciuset paru tysięcy adresów IP unikalnych. Więc czy to dużo, czy to mało, to trochę zależy co jest tam pod spodem. W skali internetu mało, w skali pojedynczej organizacji może boleć. To ja bym jeszcze bardziej chyba tą logikę zaburzył, no bo to potencjalnie możemy być na przykład tylko jednym urządzeniem w naszej organizacji, czyli się nie przejmujemy, ale może to na przykład być właśnie centralka Ericssona, która obsługuje całą urządzność telefoniczną w dużej organizacji, więc jakby to jedno urządzenie nagle się robi dosyć krytyczne. Pamiętam kiedyś przy okazji testów bezpieczeństwa w jednym szpitalu ktoś znalazł jakieś urządzenie, które dało się zdalnie gasić i włączać, gasić i włączać.