ثبت لوکیشن
طراحی لوگو حرفه ای
تیم تحریریه استاد آی تی گزارش می دهد: یکی از چالش برانگیزترین رویدادهای امنیتی در اکوسیستم لینوکس سازمانی رخ داده است. شرکت کنونیکال (Canonical)، توسعه دهنده رسمی سیستم عامل اوبونتو، در گزارشی تخصصی از کشف و رفع یک باگ بحرانی در سیستم احراز هویت کارت هوشمند FIPS خبر داده است. این مشکل که ریشه در تغییرات کد منبع بالادستی OpenSSL داشت، می توانست امنیت سازمان های حساس دولتی و نظامی را به خطر اندازد.
ماجرای کشف باگ احراز هویت کارت هوشمند
بر اساس گزارش رسمی وبلاگ اوبونتو، این مشکل زمانی کشف شد که کاربران سازمانی اوبونتو پرو (Ubuntu Pro) با خطاهای غیرمنتظره در فرایند احراز هویت مبتنی بر کارت هوشمند مواجه شدند. تیم مهندسی امنیت کنونیکال بلافاصله تحقیقات جامعی را آغاز کرد و پس از بررسی های عمیق، منشا مشکل را در یک تغییر ظاهرا بی ضرر در کد منبع کتابخانه رمزنگاری OpenSSL شناسایی کرد.
استاندارد FIPS 140-2 و نسخه جدیدتر FIPS 140-3 که مخفف Federal Information Processing Standard است، یکی از سخت گیرانه ترین استانداردهای امنیتی دولت ایالات متحده محسوب می شود. سازمان های فدرال، پیمانکاران دفاعی و نهادهای امنیتی موظف به استفاده از سیستم هایی هستند که این گواهینامه را دارند. هرگونه اختلال در عملکرد ماژول های FIPS می تواند عواقب امنیتی جدی به همراه داشته باشد.
تحلیل فنی: چگونه یک تغییر کد بالادستی مشکل ساز شد
مفهوم Upstream در توسعه نرم افزار متن باز به پروژه های اصلی اشاره دارد که توزیع های لینوکس مانند اوبونتو، کد خود را از آن ها دریافت می کنند. OpenSSL به عنوان یکی از حیاتی ترین کتابخانه های رمزنگاری در دنیای نرم افزار، مسئول مدیریت ارتباطات امن SSL/TLS و عملیات رمزنگاری است.
طبق توضیحات تیم کنونیکال، در نسخه ۳.۰.۸ کتابخانه OpenSSL یک تغییر در نحوه مدیریت Provider ها اعمال شد. این تغییر که به قصد بهبود معماری داخلی انجام گرفته بود، به طور غیرمنتظره باعث اختلال در عملکرد ماژول FIPS هنگام تعامل با کارت های هوشمند (Smart Cards) گردید. کارت های هوشمند PIV که در سازمان های دولتی آمریکا برای احراز هویت کارکنان استفاده می شوند، از جمله تجهیزات تحت تاثیر بودند.
کارشناسان استاد آی تی معتقدند این رویداد نشان دهنده پیچیدگی مدیریت زنجیره تامین نرم افزار (Software Supply Chain) در پروژه های متن باز است. وابستگی های متقابل بین کتابخانه ها و ماژول های امنیتی به گونه ای است که یک تغییر کوچک می تواند اثرات دومینویی غیرقابل پیش بینی ایجاد کند.
راه حل کنونیکال: پاسخ گویی سریع و شفاف
تیم مهندسی امنیت اوبونتو با همکاری نزدیک با توسعه دهندگان OpenSSL و تیم های پروژه OpenSC که مسئول توسعه درایورهای کارت هوشمند است، موفق به طراحی یک وصله امنیتی (Security Patch) شد. این وصله به گونه ای طراحی شده که ضمن حفظ سازگاری با استاندارد FIPS، عملکرد صحیح احراز هویت کارت هوشمند را بازیابی می کند.
نکته قابل توجه در این ماجرا، رویکرد شفاف کنونیکال در افشای جزئیات فنی مشکل است. برخلاف برخی شرکت ها که ترجیح می دهند باگ های امنیتی را بدون توضیح رفع کنند، تیم اوبونتو با انتشار این گزارش تفصیلی، به جامعه امنیت سایبری کمک کرده تا از این تجربه درس بگیرند.
اهمیت این رویداد برای سازمان های ایرانی
اگرچه استاندارد FIPS اختصاصی دولت آمریکاست، اما بسیاری از سازمان های ایرانی نیز از سیستم های مبتنی بر لینوکس سازمانی استفاده می کنند. استاد آی تی به عنوان ارائه دهنده خدمات فناوری اطلاعات، توصیه می کند سازمان هایی که از اوبونتو سرور یا دسکتاپ استفاده می کنند، سیستم های خود را به آخرین نسخه به روزرسانی نمایند.
مدیریت آسیب پذیری (Vulnerability Management) و به روزرسانی منظم سیستم ها از اصول بنیادین امنیت سایبری محسوب می شود. سازمان هایی که از احراز هویت چندعاملی (Multi-Factor Authentication) مبتنی بر توکن های سخت افزاری استفاده می کنند، باید توجه ویژه ای به این نوع آسیب پذیری ها داشته باشند.
درس هایی برای مدیریت زنجیره تامین نرم افزار
این رویداد چندین نکته کلیدی برای مدیران فناوری اطلاعات و توسعه دهندگان نرم افزار دارد. نخست اینکه تست های رگرسیون (Regression Testing) باید تمامی سناریوهای استفاده از نرم افزار، از جمله موارد لبه ای (Edge Cases) مانند احراز هویت با کارت هوشمند را پوشش دهد. دوم اینکه وابستگی به پروژه های بالادستی نیازمند نظارت مداوم بر تغییرات آن ها است.
مفهوم DevSecOps که ترکیبی از توسعه، امنیت و عملیات است، بر اهمیت ادغام امنیت در تمامی مراحل چرخه توسعه نرم افزار تاکید دارد. سازمان هایی که این رویکرد را پیاده سازی می کنند، می توانند سریع تر به این نوع چالش ها پاسخ دهند.
آینده امنیت احراز هویت در لینوکس
با افزایش استفاده از استانداردهای احراز هویت مقاوم در برابر فیشینگ مانند FIDO2 و WebAuthn، انتظار می رود پیچیدگی سیستم های احراز هویت بیشتر شود. تیم های توسعه توزیع های لینوکس باید سرمایه گذاری بیشتری در تست و تایید ماژول های امنیتی انجام دهند.
کنونیکال اعلام کرده که در نسخه های آتی اوبونتو، مکانیزم های تست خودکار پیشرفته تری برای ماژول های FIPS پیاده سازی خواهد کرد. این اقدام می تواند از بروز مشکلات مشابه در آینده جلوگیری کند.
جمع بندی
رویداد باگ احراز هویت کارت هوشمند FIPS در اوبونتو نشان داد که حتی پروژه های متن باز بالغ و معتبر نیز می توانند با چالش های امنیتی غیرمنتظره مواجه شوند. پاسخ گویی سریع و شفاف کنونیکال الگویی مناسب برای سایر توسعه دهندگان نرم افزار است. سازمان هایی که از لینوکس سازمانی استفاده می کنند باید استراتژی مشخصی برای مدیریت وابستگی ها و به روزرسانی سیستم ها داشته باشند.
منبع:
When an upstream change broke smartcard FIPS authentication – and how we fixed it
