Parlers tika uzlauzts vietnē WordPress, lielākā interneta platforma. Vai visi ir pakļauti riskam?

Parler, čivināt to noplēš kalpoja kā viens no galvenajiem Donalda Trampa fanātiķu organizēšanas rīkiem kurš 6. janvārī iebruka ASV Kapitolijā, ir bijis lielā mērā bezsaistē ilgāk par nedēļu. Bet pat apturētajā animācijā QAnon, Proud Boys un citu Amerikas galēji labējo elementu vēlamā tiešsaistes māja joprojām rada problēmas.

Amazon, Apple un Google lēmumi pārtraukt vietnes mitināšanu un aizliegt mobilo ierīču lietotājiem lejupielādēt lietotni ir izraisījuši Big Tech cenzūras kliedzienus. Pirmais grozījums un interneta regulēšanas politika malā, tas, kā Parlers ieguva datus, dodoties ārā pa durvīm, rada nopietnus kiberdrošības jautājumus, kā arī bažas par to, vai citiem interneta spēlētājiem nākotnē ir datu pārkāpumi.

Lai gan to nav iespējams pārbaudīt, nepaskatoties zem Parlera pārsega - uzdevums tagad nav iespējams, jo vietne ir bezsaistē, - dominējošais stāstījums ir tāds, ka Parlera drošības trūkums (vai trūkumi) ļāva hakeriem baltās cepurēs neilgi lejupielādēt un arhivēt visus Parlera lietotāja datus. pirms Amazon Web Services izvilka spraudni vietnes mitināšanā. Starp datiem, kas iesniegti piekļuvei sabiedrībai (un tiesībaizsardzības iestādēm), dažos gadījumos tika iekļauti potenciāli apsūdzoši atrašanās vietas dati.

Runā paļāvās uz Vorpresu , pasaulē visbiežāk izmantotā satura pārvaldības sistēma. Tas ir izraisījis spekulācijas, ka WordPress ir daļa no kļūdas un ka jebkuram citam, kas izmanto WordPress, draud briesmas. Tomēr saskaņā ar kiberdrošības ekspertu vispārēju vienprātību , ieskaitot vairākus, par kuriem sazinājās par šo rakstu, Parler datu pārkāpums nenotika tikai tāpēc, ka Parlers izmantoja WordPress. Tā vietā Parler lietotāju dati noplūda, jo izpilddirektors Džons Matze un vietnes arhitekti atstāja būtiskus trūkumus Parler API, saikne starp Parler priekšgalu un tā lietotāja datiem.

Skatīt arī: Elons Musks vaino Facebook un Marks Cukerbergs par Capitol Riot

Dominējošā pārliecība ir tāda, ka Parlers bija steidzīgs, slikts dizains, ko pauda labēji noskaņoti investori, lai kļūtu diezgan liels, pirms viņi patiešām bija izveidojuši stabilu pamatu, tehnoloģiski runājot, Endrjū Zolīds , Ksavjē universitātes komunikācijas profesors, kurš pasniedz digitālā dizaina kursus, pavēstīja Braganca. (Starp Parler investoriem ir labējā miljardiere Rebeka Mersere , kurš centās gūt labumu no labējā spārna dusmām uz Twitter un Facebook, lai palielinātu Parlera auditoriju.)

Kaut arī jebkurai vietnei ir bažas par privātumu, Parlers, šķiet, ir pārāk liels, pārāk ātrs un spēja vai tehniskās zināšanas, lai tam faktiski sagatavotos, jautājums, piebilda Zolīds.

Apsveicams notikums ikvienam, kurš ir noraizējies par anonimitāti vai drošību kopumā, citas vietnes var izvairīties no Parlera slazdiem ... ar nosacījumu, ka tie nav salīdzinoši jauni un mazi jaunizveidoti uzņēmumi, kuri cenšas konkurēt ar tādiem pazīstamiem milžiem kā Twitter un Facebook, tieši to izdarīja Parlers. .

Jā, Parler varēja būt labāk izstrādāts, taču reāli runājot, šī ir tāda veida problēma, kas notiek, ja jūs konkurējat ar nobriedušiem uzņēmumiem, kuri savos produktos ir ieguldījuši miljardus un miljardus dolāru, sacīja Džozefs Šteinbergs , drošības eksperts un autors Kiberdrošība manekeniem . Jums būs grūti droši izstrādāt visu, ko vēlaties. Google, Apple un Amazon ir apturējuši sociālo tīklu lietotnes Parler darbību. Kā ziņots, Parlers kļuva nepieejams App Store, Google Play un Amazon Web Services, kā ziņots, ka mediju ziņots, ka nepietiekama kontrole pār lietotāju ziņojumiem, kas veicināja vardarbību.Foto ilustrācija: Pavlo Gonchar / SOPA Images / LightRocket, izmantojot Getty Images

Pirmkārt, iespējamā uzlaušanas metode. Pirms Parlera atgrūšanas no AWS čivināt lietotājs ar rokturi @donk_enby izdomāja, kā lejupielādēt vietnes lietotāja datus - to visu kopā ar visiem citiem ļoti publiskiem pierādījumiem par Parler lietotāju pārkāpumiem Kapitolijā, uzbrukumu virsniekiem un turpmākas vardarbības plānošanu , potenciāli bija ļoti apsūdzošs, kā ziņoja Gizmodo .

@donk_enby galu galā ieguva datus par 56 terabaitiem: fotoattēlus, videoklipus un teksta ziņojumus, no kuriem daudzi ietvēra dažus GPS metadatus, kas 6. janvārī pozitīvi novirzīja Parler lietotājus Kapitolijā un ap to, tostarp drošās vietās. Saskaņā ar federālajām liecībām vismaz daži no šiem datiem - 56 000 gigabaitiem - izmantoti, lai identificētu un notvertu nekārtību dalībniekus, taču nav pierādījumu, ka federālie uzņēmumi izmantotu @ donk_envy datu daļu.

Bet kā tas tika izdarīts? Agras spekulācijas rosināja, ka @donk_enby vai kāds cits hakeris, iespējams, ir nozadzis Parler administratora akreditācijas datus, kas būtu nelikumīga rīcība. Pieņemtā teorija ir tāda, ka Startēšana ziņots un vairāki drošības eksperti ir izklāstījuši, tā vietā Parlera API tika izmantota pret to, lai arhivētu vietnes datus un darītu to ātri.

Parler dizaineri neierobežoja piekļuvi API, pieprasot autentifikāciju. Lietotājiem nebija nepieciešami īpaši akreditācijas dati, lai piekļūtu aizmugures datiem. Tas atstāja milzīgas aizmugures durvis atvērtas.

Lielākā daļa vietņu, kas zina pamata drošības protokolu, neļauj piekļūt API bez kāda veida lietotāja autentifikācijas, lai nodrošinātu, ka pieprasījums nav ļaunprātīgs. Kā norādīja Startup, divi izplatīti autentifikācijas risinājumi ir API atslēgas un marķieri, kuriem abiem nepieciešami daži derīgi akreditācijas dati, kas vietnei arī ļauj uzzināt, kurš piekļūst datiem.

Nekādas autentifikācijas prasības neatstāja durvis vaļā. Papildus tam Parlera dizaineri neuztraucās likmes ierobežošanas veidā pievienot otru aizsardzības slāni - tas nozīmē, ka durvju atvēršanas vai aizlaušanas vietā durvis bija plaši atvērtas.

Likmes ierobežojums ierobežo to, cik daudz datu lietotājs var piekļūt neatkarīgi no akreditācijas datiem. Tīmekļa lietotāji, iespējams, savvaļā ir redzējuši 429 pārāk daudz pieprasījumu kļūdu ziņojumus, kas ir pazīme, ka ir bijis pārāk daudz klauvējumu vai mēģinājumu iziet caur durvīm. Arī Parleram to nebija, kas nozīmēja, ka, tiklīdz tika piekļūts nenodrošinātajam aizmugurējam galam, @donk_enby 48 stundu laikā varēja arī arhivēt Parlera datus. (Dīvaini, kā norādīja Startup, Amazon Web Service ir pamata ugunsmūra opcija, ar kuru, šķiet, Parlers neuztraucās.)

Visbeidzot, Parler arī ļāva ziņām, kuras, pēc lietotāju domām, tika izdzēstas, gan pieejamām, gan viegli atklātām, kad kāds atradās aizmugurē. Pēc nāvējošajiem nemieriem daži Parler lietotāji, apzinoties tīmeklī pieejamo pierādījumu daudzumu, mudināja citus dzēst savus ierakstus no 6. janvāra.

Visām Parlera ziņām tika piešķirts kārtas numurs, kas palielinājās par 1. Pat tad, kad lietotājs šīs ziņas izdzēsa, tās palika aizmugurē. @donk_enby acīmredzot vajadzēja uzrakstīt tikai ļoti vienkāršu skriptu, kas pa vienam atrada un arhivēja katru ziņu. Tā kā Parlers neuztraucās noņemt ģeogrāfiski atzīmētus datus no fotoattēliem, videoklipiem un ziņām pirms to augšupielādes, arī šī informācija sēdēja un gaidīja arhivēšanu.

Iespējams, ka citās vietnēs, kurās vispār tiek izmantota WordPress vai cita mitināšanas programmatūra, var būt līdzīgi drošības trūkumi, taču tie arī var nebūt pietiekami bēdīgi slaveni, lai šie drošības trūkumi kļūtu modru hakeru interese un tādējādi tiktu pārkāpti.

Nav nekas neparasts, ka vietnēs ir drošības trūkumi, dažreiz nozīmīgi, kas netiek pamanīti, jo tie nav pietiekami populāri, lai uzzīmētu vairāk nekā vienkārši, bieži automatizēti mēģinājumi tos kompromitēt, sacīja Ērihs Krons, drošības eksperts KnowBe4 , ievērojama drošības risinājumu firma. Kad vietne ātri kļūst populāra, šo testu uzmanība un sarežģītība palielinās, bieži vien tiek atklāta ievainojamība.

Viens nesenais šīs parādības piemērs, pēc Krona teiktā, bija Zoom. Kad COVID-19 pandēmija padarīja visu darbu tālvadību, tika atklāti, iepriekš izmantoti un neatklāti Zoom drošības trūkumi, kas pēc tam tika ātri salāpīti. Bet ar Parler, kad drošības pārdevēji sāka grāvēt savu bijušo klientu, tas Parleru atstāja neaizsargātu laikā, kad viņi arī bija uzbrucēju, haktivistu un citu mērķi, piebilda Krona.

Parlers vēl nav miris. Nedēļas nogalē, atgriezās kāda Parlera versija tajos pašos tīmekļa serveros, kuros mitinās citas vietnes, kurās tiek atbalstīta naida runa. No otrdienas vakara vietnes sākumlapa ir a tehniskas grūtības galvenā lapa; vietnes dibinātājs Džons Matze pastāstīja Fox News vietne plāno pilnībā darboties līdz mēneša beigām (lai gan mobilo ierīču lietotāji, iespējams, būs iestrēguši, izmantojot tīmekļa versiju, nevis lietotni). Un ir arī citas galēji labējo tiešsaistes mājas - lai gan, kā norādīja Zolīds, uz runu vērstie forumi, piemēram, Gab, ir bijuši aktīvāki ar satura mērenību nekā Parlers.

Vēl var parādīties sīkāka informācija par to, kā @donk_enby piekļuva Parlera datiem un vai tieši atvērto durvju teorija notika. (Un stāvot atsevišķi no kiberdrošības jautājuma, ir ētikas jautājumi; pārkāpumi vai uzlaušana, Parlera lietotāju dati joprojām tika nozagti, kā teica Steinbergs, un heist nav nekas, ko svinēt.)

Pieņemot, ka Parlera dati tika veikti ar sliktu dizainu, pagaidām 6. janvāra tiešsaistes stāsts ir par atkārtotu sevis apsūdzēšanu: atmaskotie nemiernieki klīst pa ASV Kapitoliju, priecīgi un atklāti apspriežot savus izjauktos papildu plānus, internetā ievietojot apsūdzošus pierādījumus. kamēr vietnei, kas nebija gatava saglabāt šos pierādījumus anonīmus vai drošus.