החודש התרחשו לא מעט אירועים מעניינים, בחרתי להתמקד בשניים מהם, שמבחינתי האירוע הראשון הוא תשובה לאירוע השני.

 

האירוע הראשון הוא פרסום הדו"ח המרתק אודות היכולות של Claude Mythos של Anthropic שפורסם במסגרת Project Glasswing. בעקבות הפרסום הזה יצא לי להתקל בלא מעט (אולי אף יותר מדי?) אנשים הטוענים שזוהי הסנונית המבשרת את סופו של עידן, ושאנו חוזים בתחילת סופה של בועת הסייבר.

 

עידן שבו אין יותר חולשות וחורי אבטחה, עידן שבו כלל התוכנות יוצאות מבית הייצור ללא פגמים. הרי לפי הנתונים שהוצגו, ניתן להריץ את Claude Mythos על כל פרוייקט Open Source, לתת לו לעבור על כל דבר החל מכלל הקוד בגיטהאב ועד לכל תוכניות ה-Bug Bounty ולמצוא, על פי הדיווחים כ-90% מכשלי האבטחה שבהם. ניתן להריצו עם קונטקסט עצום, משמעותית יותר ממה שהשכל האנושי מסוגל, ולזהות פחות או יותר כל כשל שבן אנוש מסוגל לזהות אם לא יותר, ובפחות זמן באופן משמעותי.

 

בצורה כזאת יפסיקו להיות כשלים בתוכנות, דבר שיוביל לכך שלא נזדקק כמעט למוצרי הגנה. את אותו הדבר אפשר יהיה לבצע גם על קונפיגורציות של רכיבי רשת ו-Firewall-ים (המעטים שיישארו) וכל ארגון ורשת יהפכו בין לילה להיות מבצר בלתי חדיר.

 

בעולם שכזה, לא צריך יותר Penetration Testers, לא צריך יותר Red Teamers, לא צריך יותר תוכניות Bug Bounties או תוכניות אבטחה רב שנתיות, ובגדול - המקצועות הקשורים באבטחת מידע יתפוגגו מהעולם.

 

התשובה המיידית שלי לטענה הזו היא שבמקרה כזה, ובמידה וזה לא איזה גימיק שיווקי - לא יהיה מאושר ממני. בגישה שלי, כל דבר שמכונה יכולה לעשות טוב ממני - עדיף שתעשה. ואם כל הרשתות בעולם יהיו מוגנות ומאובטחות, אז החיים שלי כאזרח, כנראה יהיו הרבה יותר טובים ובטוחים. לאחר מכן, התשובה הבאה שלי היא: שעם כמה שהייתי רוצה בזאת, אני קצת סקפטי שהיום הזה יגיע בקרוב. וכל עוד בני אדם יהיו משתמשי הקצה, המפעילים או המנהלים של אותן הרשתות - יהיו באותן הרשתות רכיבים אינהרנטיים שקשה עד כמעט בלי אפשרי לעדכן או לתקן: והרכיבים האלה הם כמובן בני האדם. 

 

וזה מוביל אותי לאירוע השני שרציתי לכתוב עליו: הגניבה המטורפת מבורסת הקריפטו Drift. ככל הנראה מבית Lazarus הצפון-קוריאנים, שבמסגרתה נגנבו קצת יותר מרבע מיליארד דולר במטבעות קריפטוגרפיים מבורסת הקריפטו Drift. 

 

אני לא איש קריפטו, ולא מומחה מסחר במטבעות קריפטוגרפיים, אך מקריאה של הפרטים הטכניים, עולה כי המתקפה כלל לא כללה ניצול כשל בקוד של אחד החוזים או האפליקציות המבוזרות, לא כללה ניצול של מיס-קונפיגורציה, לא היה בה אלמט שבירת אלגורייתם צופן שלא יושם כמו שצריך או ניצול של מנגנון הרשאות מתירני מדי, היא למעשה לא כללה אף שימוש בשיטת תקיפה מה-OWASP TOP10. המתקפה יצאה לפועל בעצמה בזכות הנדסה חברתית ברמה גבוהה, תוך ניצול של פיצ'רים מובנים בתשתיות של Solana (שעל גביה רצה הבורסה Drift), ולא מעט סבלנות מצד התוקפים.

 

אחד הפיצ'רים המרכזיים שבהם נעשה שימוש ושיש ב-Solana הוא היכולת לחתום על טרנזקציה עתידית וכך לאשר אותה מבעוד מועד (פיצ'ר המכונה Durable Nonce), ועל מנת לעשות זאת, יש צורך להשיג חתימה של מספר מנהלים (מה שמכונה multisig) וניכר שאותם מנהלים הונו לחתום על אותה טרנזקציה מבלי שהם הבינו לחלוטין את התוכן שלה, ובכך (לפי מה שהבנתי, אבל אל תתפסו אותי במילה), נתנו לתוקפים בעצם יכולת להריץ טרנזקציה עתידית מבלי שאותם מנהלים יכולים לוודא את התוכן שלה עד הסוף. מסתבר גם שטרנזקציות כאלה הן טרנזקציות שמופעלות באותו הרגע שבו מזניקים אותן, וללא חלון השהייה שמאפשר לרשת לוודא שהן חוקיות. כמובן שהיו שם עוד כמה אלמנטים (קראו בלינק שצרפתי) שאפשרו לתוקפים להערים על אותם מנהלים ולעקוף את מגבלת כמות הטרנקציות המקסימלי, אך הנקודה המשמעותית היא שכל המתקפה בוצעה ללא הפרה של אף פיצ'ר במערכת.

 

וזאת, לצערי, גם התשובה שלי כלפי מי שמנפנף בדו"ח של Claude Mythos. המחשבה על מערך AI שעובר על קוד ומנפה החוצה באגים היא משעשעת ומגניבה, אבל כל עוד לא מדובר במערכות סגורות, והן מבוססות על אינטרקציה של בני אנוש, וכל עוד תהיה סיבה - תמיד תמצא הדרך לתוקפים להכנס פנימה.

וכמובן, לפני שניגש לתוכן הגליון, נרצה להגיד תודה לכל מי שישב והשקיע מזמנו וכתב לנו מאמר החודש. תודה רבה לידידיה בקורדזה, תודה רבה לעומר מעין, תודה רבה לאשר ורד (A.I.V Dev), תודה רבה לניר אברהם ותודה רבה לנועם אפרגן!