Τιμ Χάντσον, Πρόεδρος της OpenSSL Corporation – Σειρά Συνεντεύξεων

Tim Hudson είναι συν-συγγραφέας του SSLeay και ένας από τους διοργανωτές του OpenSSL Conference, Πράγα 13‑15 Οκτωβρίου 2026. Διαθέτει πάνω από 30 χρόνια εμπειρίας στην ασφάλεια συστημάτων και δικτύων και είναι Πρόεδρος της OpenSSL Corporation και Διευθυντής Τεχνολογίας (Chief Technology Officer) στην Cryptsoft Pty Ltd. Από το 1995, η δουλειά του περιλαμβάνει τη συν-σύσταση του SSLeay με τον Eric Young, τη βιβλιοθήκη κρυπτογραφίας που έγινε η OpenSSL Library, τη συν-σύσταση του κέντρου ανάπτυξης RSA Security Australia, τη συμβολή σε αλλαγές στις αμερικανικές ρυθμίσεις εξαγωγής κρυπτογραφίας, την ηγεσία σε πάνω από 30 επικυρώσεις FIPS 140, τη συν-προεδρία των τεχνικών επιτροπών OASIS KMIP και SAM, και ομιλίες σε κορυφαία συνέδρια ασφάλειας, όπως το RSA Conference, το AusCERT, το ICMC, το LinuxConf και το OpenSSL Conference.

OpenSSL είναι ένα παγκόσμιο συνεργατικό έργο ανοιχτού κώδικα που αναπτύσσει και διατηρεί τη βιβλιοθήκη OpenSSL Library, μία από τις πιο ευρέως χρησιμοποιούμενες κρυπτογραφικές βιβλιοθήκες παγκοσμίως. Χρησιμοποιείται σε λειτουργικά συστήματα, πλατφόρμες cloud, επιχειρηματικό λογισμικό και συνδεδεμένες συσκευές· η βιβλιοθήκη OpenSSL βοηθά στην προστασία δισεκατομμυρίων ασφαλών διαδικτυακών αλληλεπιδράσεων καθημερινά. Μέσω του OpenSSL Foundation και της OpenSSL Corporation, το έργο δεσμεύεται να προωθήσει αξιόπιστη κρυπτογραφία, να υποστηρίξει βιώσιμη ανάπτυξη ανοιχτού κώδικα και να ενισχύσει την ασφάλεια του διαδικτύου.

Συν-ιδρύσατε το SSLeay με τον Eric Young το 1995 αφού αναγνωρίσατε την ανάγκη για μια μη‑αμερικανική υλοποίηση του SSL, και η δουλειά αυτή τελικά έγινε η βάση του OpenSSL. Ποιο πρόβλημα προσπαθούσατε αρχικά να λύσετε, και είχατε κάποια αίσθηση τότε ότι η τεχνολογία θα μπορούσε να γίνει τόσο θεμελιώδες μέρος της ασφάλειας του διαδικτύου;

Το πρόβλημα ήταν απολύτως συγκεκριμένο και ήταν εμπορικό πριν γίνει οτιδήποτε άλλο. Ήμουν στη Mincom στο Μπρίσμπεϊν, και είχαμε πελάτες που χρειάζονταν να ασφαλίσουν τις επικοινωνίες τους. Δεν υπήρχε τρόπος να αγοράσουμε αυτή τη δυνατότητα. Οι αμερικανικοί έλεγχοι εξαγωγής κρυπτογραφίας σήμαιναν ότι τα αμερικανικά προϊόντα είτε δεν μπορούσαν καθόλου να μας προμηθευτούν, είτε ήρθαν με μεγέθη κλειδιών τόσο περιορισμένα που η χρήση τους θα ήταν ανήθικη. Δεν πρόκειται για φιλοσοφική αντίρρηση στην πολιτική εξαγωγών· ήταν ένα τεχνικό πρόβλημα, στο οποίο το στοιχείο που χρειαζόμουν δεν υπήρχε σε καμία μορφή που θα μπορούσα να αγοράσω, και είχαμε πελάτες που περίμεναν.

Αυτό που διέθετα ήταν η γνώση κάτι που οι περισσότεροι είχαν ξεχάσει. Ο Eric Young είχε γράψει μια υλοποίηση DES μερικά χρόνια νωρίτερα: καλός, καθαρός, ελεύθερα διαθέσιμος κώδικας, γραμμένος για την ίδια του τη χαρά και εντελώς ανεξάρτητος από όλα αυτά. Ο Eric δεν εργαζόταν πάνω στο SSL. Δεν γνώριζε το SSL. Όταν η Netscape δημοσίευσε την προδιαγραφή, την διάβασα, πήγα στον Eric με το πρόβλημα και το παρουσίασα ως ένα σχετικά μικρό βήμα από εκεί που ήταν ήδη.

Αυτό δεν ήταν όλη η εικόνα. Κάθε μέρος ήταν απλό, αλλά υπήρχε ένας σημαντικός αριθμός μερών. Μια υλοποίηση DES σας δίνει έναν συμμετρικό αλγόριθμο. Το SSL απαιτεί κρυπτογραφία δημόσιου κλειδιού, αριθμητική αυθαίρετης ακρίβειας, ASN.1, διαχείριση πιστοποιητικών X.509 και μια μηχανή καταστάσεων πρωτοκόλλου, όλα σωστά, επειδή στην κρυπτογραφία το σχεδόν σωστό και το σπασμένο είναι το ίδιο. Παρουσίασα το μέγεθος του έργου αισιόδοξα. Ο Eric σύντομα αντιλήφθηκε πόσο μεγάλο ήταν, και το απολάμβανε, επειδή το μέγεθος αποδείχθηκε ελκυστικό αντί για εμπόδιο. Δεν είμαι σίγουρος ότι θα είχε ξεκινήσει με άλλο τρόπο.

Αυτός ανέλαβε τον κρυπτογραφικό πυρήνα, γι’ αυτό η βιβλιοθήκη φέρει τα αρχικά του. Εγώ ανέλαβα τα μέρη που μετατρέπουν μια βιβλιοθήκη σε κάτι που άλλοι μπορούν πραγματικά να αναπτύξουν: την ενσωμάτωση στην εφαρμογή, τις δοκιμές, την τεκμηρίωση και την πλευρά της κοινότητας. Επίσης, αναζήτησα ενεργά όπου χρησιμοποιούνταν ανταγωνιστική βιβλιοθήκη κρυπτογράφησης και την μετέτρεψα ή αντικατέστησα. Τα SSLtelnet, SSLftp, NCSA httpd και πολλά άλλα πακέτα ήταν η δουλειά μου, εφαρμογές χτισμένες πάνω στους κρυπτογραφικούς αλγόριθμους και πρωτόκολλα που υλοποίησε ο Eric. Αυτός ο συνδυασμός μας επέτρεψε να επικεντρωθούμε σε ό,τι μας ενδιέφερε πραγματικά, κάτι που θεωρώ ο κύριος λόγος που συνέχισε.

Το ότι βρισκόμασταν στην Αυστραλία ήταν αυτό που το έκανε δυνατό να λυθεί, και στη συνέχεια αποδείχθηκε ότι πολλοί άλλοι είχαν ακριβώς το ίδιο πρόβλημα για ακριβώς τον ίδιο λόγο. Κάτι που δημιουργήθηκε για να καλύψει μια συγκεκριμένη ανάγκη πελάτη στο Μπρίσμπεϊν, έγινε χρήσιμο σε όλους εκτός των Ηνωμένων Πολιτειών, και τελικά σε πολλούς και εντός αυτών.

Το ξέραμε τι θα γινόταν; Όχι. Κανείς δεν ξεκινάει να χτίζει κρίσιμη υποδομή. Η κρίσιμη υποδομή είναι αυτό που συνειδητοποιείς ότι έχεις χτίσει, μερικά χρόνια αργότερα, όταν ανακαλύπτεις ποιοι εξαρτώνται από αυτήν. Αυτό που νομίζαμε ότι κάνουμε είναι η επίλυση ενός προβλήματος μπροστά μας και στη συνέχεια η απάντηση σε ερωτήσεις άλλων που αντιμετώπισαν το ίδιο εμπόδιο. Το κομμάτι της απάντησης στις ερωτήσεις αποδείχθηκε εξίσου σημαντικό με τον κώδικα.

Έχετε εργαστεί στην κρυπτογραφία και την ασφάλεια του διαδικτύου για πάνω από τρεις δεκαετίες. Τι έχει αλλάξει πιο δραματικά στο τοπίο των απειλών κατά τη διάρκεια αυτής της περιόδου, και ποια προβλήματα ασφαλείας έχουν παραμείνει εκπληκτικά παρόμοια παρά τις τεράστιες τεχνολογικές προόδους;

Η μεγαλύτερη αλλαγή είναι ότι η επίθεση σε συστήματα έγινε επάγγελμα με οικονομικό μοντέλο. Στα μέσα της δεκαετίας του ’90, οι άνθρωποι που διείσδυσαν σε συστήματα το έκαναν κυρίως επειδή ήταν ενδιαφέρον. Σήμερα υπάρχει μια βιομηχανία, με εξειδίκευση, εργαλεία, αλυσίδες εφοδιασμού, υποστήριξη πελατών και, σε ορισμένες περιπτώσεις, κρατική χρηματοδότηση. Αυτό αλλάζει τα πάντα σχετικά με το πώς πρέπει να σκέφτεστε, επειδή δεν υπερασπίζεστε πλέον έναν περίεργο. Υπερασπίζεστε έναν άνθρωπο με προϋπολογισμό, προθεσμία και επιχειρηματική υπόθεση.

Η δεύτερη αλλαγή είναι το μέγεθος και η εξάρτηση. Η μέση εφαρμογή το 1995 ήταν κάτι που εσείς γράφατε. Η μέση εφαρμογή σήμερα είναι κάτι που συναρμολογείτε, και η πλειονότητα του κώδικα σε αυτήν γράφτηκε από άτομα που δεν έχετε γνωρίσει ποτέ και δεν μπορείτε να ονομάσετε. Η επιφάνεια επίθεσης μεταφέρθηκε από τον κώδικά σας στις εξαρτήσεις σας, και οι περισσότερες οργανώσεις δεν έχουν προσαρμόσει τη σκέψη τους ανάλογα.

Αυτό που παραμένει αξιοσημείωτα σταθερό είναι οι τρόποι αποτυχίας. Συνεχίζουμε να γράφουμε σφάλματα σε κώδικα που αναλύει μη αξιόπιστες εισόδους. Συνεχίζουμε να κυκλοφορούμε συστήματα με προεπιλογές που κανείς δεν έχει επανεξετάσει. Τα πιστοποιητικά εξακολουθούν να λήγουν το Σάββατο. Τα διαπιστευτήρια εξακολουθούν να καταλήγουν σε μέρη που δεν πρέπει. Και η κρυπτογραφία σχεδόν ποτέ δεν σπάει στα μαθηματικά. Παρακάμπτεται, ρυθμίζεται λανθασμένα ή απλώς δεν ενεργοποιείται. Αν μου δώσατε μια λίστα με τις δέκα κορυφαίες ρίζες παραβιάσεων το 1996 και μια λίστα από τον περασμένο μήνα, θα δυσκολευόσασταν να τις ξεχωρίσετε. Η τεχνολογία μετασχηματίστηκε εντελώς. Τα λάθη δεν.

OpenSSL 4.0 κυκλοφόρησε τον Απρίλιο 2026, σηματοδοτώντας την πρώτη σημαντική έκδοση του έργου σε πολλά χρόνια. Τι μας λέει αυτή η έκδοση για το πού κατευθύνεται η κρυπτογραφική υποδομή, και ποιες αλλαγές πιστεύετε ότι θα είναι τελικά οι πιο σημαντικές για τις οργανώσεις που εξαρτώνται από το OpenSSL;

Το πιο χρήσιμο που πρέπει να καταλάβετε για την 4.0 είναι ότι είναι κυρίως μια έκδοση αφαίρεσης, και αυτό ήταν ο σκοπός της.

Αφαιρέσαμε εντελώς τη διεπαφή ENGINE. Αφαιρέσαμε το SSLv3 και το SSLv2 ClientHello. Απενεργοποιήσαμε τις παρωχημένες ελλειπτικές καμπύλες και τις ρητές EC καμπύλες κατά τη μεταγλώττιση. Καταστήσαμε το ASN1_STRING αδιαφανές και σφράγισαμε μεγάλο αριθμό υπογραφών API. Αυτές είναι οι αλλαγές που δημιουργούν δουλειά για τους ανθρώπους, και είναι οι αλλαγές που έχουν σημασία, επειδή μια κρυπτογραφική βιβλιοθήκη που μόνο προσθέτει δεν μπορεί να παραμείνει ασφαλής. Κάθε παρωχημένη διαδρομή κώδικα που διατηρείτε ζωντανή είναι μια επιφάνεια επίθεσης που κάποιος διατηρεί για λογαριασμό σας και κανείς δεν τη δοκιμάζει.

Υπάρχουν προσθήκες: Encrypted Client Hello, υποστήριξη RFC 8998 συμπεριλαμβανομένης της υβριδικής ομάδας SM2/ML‑KEM, cSHAKE, KDFs για SNMP και SRTP, διαπραγμάτευση FFDHE για TLS 1.2. Το ECH ειδικά κλείνει ένα πραγματικό κενό ιδιωτικότητας, επειδή η ένδειξη ονόματος διακομιστή (Server Name Indication) διαρρέει την ταυτότητα κάθε ιστότοπου που επισκέπτεστε από τότε που κυκλοφόρησε το TLS 1.3. Αλλά οι αφαιρέσεις είναι η ουσία.

Το κύριο μήνυμα που θα ήθελα οι οργανώσεις να αποκομίσουν είναι το εξής: η 4.0 δεν είναι η έκδοση LTS. Υποστηρίζεται μέχρι τον Μάιο 2027. Η τρέχουσα μακροπρόθεσμη σταθερή έκδοση είναι η 3.5, που υποστηρίζεται μέχρι τον Απρίλιο 2030, και η 3.5 περιλαμβάνει ήδη τους μετα‑ποσοτικούς αλγόριθμους. Αν θέλετε τον πιο πρόσφατο κώδικα, χρησιμοποιήστε την 4.0. Αν θέλετε έναν σταθερό στόχο γύρω από τον οποίο μπορείτε να σχεδιάσετε πενταετή μετάβαση, χρησιμοποιήστε την 3.5. Η επιλογή του μεγαλύτερου αριθμού μόνο επειδή είναι μεγαλύτερος είναι λάθος που βλέπουμε να κάνουν οι άνθρωποι κάθε κύκλο.

Η μετα‑ποσοτική κρυπτογραφία έχει μετακινηθεί από ένα ερευνητικό πρόβλημα σε μια πρόκληση μετάβασης, με το OpenSSL να υποστηρίζει ήδη ML‑KEM, ML‑DSA και SLH‑DSA και υβριδική μετα‑ποσοτική ανταλλαγή κλειδιών. Για τους επιχειρηματικούς ηγέτες που θεωρούν ότι η κβαντική υπολογιστική είναι ακόμη πολύ μακριά για να ανησυχεί, ποιους κινδύνους παραβλέπουν σήμερα;

Το πιο κοινό λάθος είναι η αντιμετώπιση αυτού ως ερώτημα για το πότε θα εμφανιστεί ένας κβαντικός υπολογιστής σχετικός με την κρυπτογραφία. Αυτό είναι το λάθος μεταβλητό. Η σωστή ερώτηση είναι πόσο καιρό πρέπει τα δεδομένα σας να παραμείνουν εμπιστευτικά και πόσο χρόνο θα διαρκέσει η μετάβασή σας. Αφαιρέστε το δεύτερο από το πρώτο και έχετε την πραγματική προθεσμία, και για πολλές οργανώσεις αυτή η προθεσμία είναι ήδη στο παρελθόν.

Η κρυπτογραφημένη κίνηση μπορεί να καταγραφεί σήμερα και να αποθηκευτεί επ’ αόριστον. Εάν οι πληροφορίες σε αυτό έχουν ορίζοντα ευαισθησίας είκοσι ετών (αρχεία ασθενών, φάκελοι προσωπικού, πνευματική ιδιοκτησία, διπλωματικό υλικό, οικονομικές θέσεις), τότε ένας αντίπαλος δεν χρειάζεται τώρα έναν κβαντικό υπολογιστή. Χρειάζονται ένα τελικά, και φθηνή αποθήκευση στο μεταξύ. Αυτό δεν είναι μια κερδοσκοπική επίθεση. είναι απόφαση κατάθεσης.

Το δεύτερο πράγμα που παραβλέπεται είναι ότι η μετανάστευση δεν είναι ένα έργο. Η ανταλλαγή κλειδιών είναι το εύκολο κομμάτι, και πολλά από αυτά γίνονται ήδη: Το OpenSSL 3.5 έκανε την υβριδική μετα-κβαντική ανταλλαγή κλειδιών ως προεπιλογή TLS, επομένως πολλοί οργανισμοί εκτελούν μετα-κβαντική συμφωνία κλειδιού αυτήν τη στιγμή χωρίς να έχουν λάβει απόφαση σχετικά. Οι υπογραφές και η ιεραρχία των πιστοποιητικών είναι το δύσκολο μέρος, επειδή περιλαμβάνουν αρχές πιστοποιητικών, ρίζες εμπιστοσύνης υλικού, κλειδιά υπογραφής υλικολογισμικού, μονάδες ασφαλείας υλικού και συσκευές με διάρκεια ζωής πεδίου δεκαπέντε ετών που δημιουργήθηκαν με την υπόθεση ότι το RSA θα ήταν μια χαρά για πάντα.

Το τρίτο πράγμα είναι ο περιορισμός για τον οποίο κανείς δεν προϋπολογίζει: οι μετα-κβαντικές υπογραφές είναι μεγάλες. Μια υπογραφή ML-DSA-65 είναι περίπου πενήντα φορές το μέγεθος μιας υπογραφής ECDSA P-256 και το SLH-DSA είναι και πάλι μεγαλύτερο. Αυτό σπάει τα πράγματα: μεγέθη χειραψίας, περιορισμένες συσκευές, πρωτόκολλα με αυστηρά κωδικοποιημένα όρια πεδίου, δορυφορικές συνδέσεις και συνδέσεις IoT. Αυτά τα προβλήματα τα βρίσκετε δοκιμάζοντας, όχι διαβάζοντας ένα πρότυπο.

Μία από τις προκλήσεις με την μετακβαντική μετανάστευση είναι ότι οι οργανισμοί μπορεί να μην γνωρίζουν καν παντού όπου χρησιμοποιείται κρυπτογραφία στις εφαρμογές, την υποδομή, τις συσκευές και τις εξαρτήσεις τρίτων. Πώς πρέπει οι εταιρείες να προσεγγίσουν το κρυπτογραφικό απόθεμα και την κρυπτογραφική ευελιξία, έτσι ώστε η επόμενη σημαντική μετάβαση αλγορίθμου να μην καταστεί έκτακτη;

Ξεκινήστε με μια άβολη αλήθεια: δεν μπορείτε να δημιουργήσετε ένα κρυπτογραφικό απόθεμα στέλνοντας στους προμηθευτές σας ένα ερωτηματολόγιο. Θα λάβετε πίσω ένα μείγμα αντιγράφων μάρκετινγκ, ειλικρινούς αβεβαιότητας και απαντήσεων που ίσχυαν πριν από τρεις εκδόσεις. Το λέω αυτό έχοντας αφιερώσει σημαντικό χρόνο διαβάζοντας πρόσφατα την τεκμηρίωση του προμηθευτή υλικού σε ένα σχετικό πεδίο και το χάσμα μεταξύ του τι ισχυρίζεται η τεκμηρίωση και του τι κάνει ένα προϊόν είναι μεγαλύτερο από ό,τι υποθέτουν οι περισσότεροι αγοραστές.

Πρέπει να κοιτάξεις. Υπάρχουν τρία στρώματα και χρειάζονται διαφορετικές τεχνικές. Κώδικας που γράψατε: στατική ανάλυση, σάρωση εξάρτησης και grepping για τα αναγνωριστικά αλγορίθμου που κωδικοποιήσατε σκληρά πριν από χρόνια. Κώδικας που συνδέσατε: λογαριασμούς υλικών λογισμικού, επεκτεινόμενοι σε κρυπτογραφικούς λογαριασμούς υλικών, όπου η εργασία CBOM είναι πραγματικά χρήσιμη. Πράγματα στα οποία αγοράσατε ή στα οποία συνδέθηκες: παρατήρηση δικτύου, γιατί αυτό που διαπραγματεύονται πραγματικά τα συστήματά σας στο καλώδιο είναι η αλήθεια γείωσης και συχνά δεν είναι αυτό που πίστευε κανείς.

Όσον αφορά την ευελιξία, η αρχή είναι απλή και η πρακτική όχι: ο αλγόριθμος πρέπει να είναι μια απόφαση διαμόρφωσης, όχι μια αλλαγή κώδικα. Εάν η αλλαγή ενός κρυπτογράφησης απαιτεί προγραμματιστή, κατασκευή, κύκλο δοκιμών και κυκλοφορία, δεν έχετε ευελιξία. Έχετε ένα έργο. Συγκεντρώστε τις κρυπτογραφικές λειτουργίες πίσω από μια διεπαφή που ελέγχετε, έτσι ώστε να υπάρχει ένα μέρος για αλλαγή και όχι τετρακόσια.

Και μετά το μέρος που σχεδόν όλοι παραλείπουν: ασκήστε το. Η ευκινησία που δεν έχετε χρησιμοποιήσει ποτέ είναι αξίωση, όχι ικανότητα. Επιλέξτε ένα ήσυχο Σαββατοκύριακο, απενεργοποιήστε έναν αλγόριθμο σε περιβάλλον μη παραγωγής και μάθετε τι χαλάει. Κάτι θα. Καλύτερα να το ανακαλύψετε στο πρόγραμμά σας παρά κατά τη διάρκεια μιας υποχρεωτικής μετάβασης έκτακτης ανάγκης.

Μια χρήσιμη λειτουργία επιβολής είναι η διάρκεια ζωής του πιστοποιητικού. Ο κλάδος προχωρά σε δραματικά μικρότερης διάρκειας πιστοποιητικά, γεγονός που καθιστά αβάσιμη τη χειροκίνητη διαχείριση πιστοποιητικών και επιβάλλει την αυτοματοποίηση που θα χρειαστείτε ούτως ή άλλως. Εάν αυτοματοποιήσετε σωστά την έκδοση και την εναλλαγή πιστοποιητικών, έχετε δημιουργήσει το μεγαλύτερο μέρος του μηχανήματος που θα απαιτήσει μια μελλοντική μετάβαση αλγορίθμου.

Η τεχνητή νοημοσύνη αλλάζει τόσο την άμυνα στον κυβερνοχώρο όσο και τις δυνατότητες που είναι διαθέσιμες στους επιτιθέμενους. Πού πιστεύετε ότι η τεχνητή νοημοσύνη αλλάζει πραγματικά την εξίσωση ασφαλείας και πού πιστεύετε ότι οι οργανισμοί μπορεί να εστιάζουν υπερβολικά στην τεχνολογία, ενώ παραβλέπουν πιο θεμελιώδεις αδυναμίες;

Η τεχνητή νοημοσύνη αλλάζει πραγματικά ένα πράγμα και μπορώ να μιλήσω σε αυτό απευθείας επειδή μας έχει συμβεί.

Ένας σημαντικός αριθμός από τα τρωτά σημεία που αποκαλύφθηκαν στο OpenSSL φέτος εντοπίστηκαν από ανάλυση βασισμένη σε AI. Τον Ιανουάριο αποστείλαμε μια έκδοση που διορθώνει δώδεκα ζητήματα, ουσιαστικά όλα από μία ερευνητική ομάδα χρησιμοποιώντας αυτοματοποιημένη ανάλυση, και συνεισέφεραν ενημερώσεις κώδικα μαζί με τις αναφορές. Τον Ιούνιο επιδιορθώσαμε μια επαλήθευση υψηλής σοβαρότητας χρήσης μετά τη δωρεάν στο PKCS#7 που βρέθηκε από έναν ερευνητή που εργάζεται με ένα σύστημα AI. Αυτή είναι μια πραγματική αλλαγή ικανότητας στην εύρεση σφαλμάτων ασφάλειας μνήμης και ανάλυσης σφαλμάτων σε ώριμο κώδικα C που έχει ελεγχθεί από ειδικούς εδώ και χρόνια. Έχω δει το ίδιο μοτίβο σε άλλες κρυπτογραφικές βιβλιοθήκες. Αναλύοντας μια παρτίδα Bouncy Castle CVE από φέτος, το δακτυλικό αποτύπωμα της αυτοματοποιημένης ανάλυσης κώδικα είναι σαφές.

Η προφανής συνέπεια είναι ότι αυτό κόβει και τις δύο κατευθύνσεις. Οι ίδιες τεχνικές είναι διαθέσιμες σε όποιον θέλει να τις χρησιμοποιήσει, στις ίδιες βάσεις κωδικών και οι αμυντικοί δεν έχουν αποκλειστική πρόσβαση.

Το λιγότερο προφανές υπονοούμενο, και αυτό που θα τονίσω, είναι το βάρος που επιβαρύνει τους συντηρητές. Η δημιουργία μιας αναφοράς ευπάθειας με εύλογη εμφάνιση είναι πλέον σχεδόν δωρεάν. Triaging ένα δεν είναι. Εξακολουθεί να κοστίζει σε έναν άνθρωπο ειδικό σε πραγματικό χρόνο. Οι ομάδες ασφαλείας ανοιχτού κώδικα, οι οποίες είναι συνήθως μικρές και συχνά εθελοντές, απορροφούν έναν αυξανόμενο όγκο αναφορών υψηλής ποιότητας. Τα καλά, όπως και η έρευνα που ανέφερα, έρχονται με αναπαραγωγείς και μπαλώματα. Τα κακά είναι μια επίθεση άρνησης υπηρεσίας στα άτομα από τα οποία εξαρτάσαι. Εάν ο οργανισμός σας αναπτύσσει τεχνητή νοημοσύνη έναντι κώδικα ανοιχτού κώδικα, χρηματοδοτήστε τη χωρητικότητα διαλογής στο άλλο άκρο.

Πού νομίζω ότι η προσοχή είναι άστοχη: η τεχνητή νοημοσύνη δεν διορθώνει τα συστήματά σας. Δεν απογράφει τα περιουσιακά σας στοιχεία, δεν εναλλάσσει τα διαπιστευτήριά σας, δεν αποσύρει το μη υποστηριζόμενο υλικό σας ή δεν καθιστά κάποιον υπεύθυνο για το πιστοποιητικό που λήγει τον επόμενο μήνα. Οι οργανισμοί που αγοράζουν εργαλεία ασφάλειας τεχνητής νοημοσύνης ενώ εκτελούν λογισμικό με γνωστά μη επιδιορθωμένα τρωτά σημεία έχουν λανθασμένη αλληλουχία. Η άδοξη δουλειά είναι ακόμα εκεί που υπάρχει ο κίνδυνος.

Πολλοί οργανισμοί επενδύουν πολλά σε εργαλεία, αλλά παραμένουν ευάλωτοι λόγω λαθών διαμόρφωσης, ξεπερασμένων συστημάτων, αδύναμων διαδικασιών ή κακής προετοιμασίας συμβάντων. Ποια είναι τα πιο συνεπακόλουθα λάθη ασφαλείας που συνεχίζετε να βλέπετε και τι πρέπει να έχουν οι ηγετικές ομάδες πριν συμβεί πραγματικά μια επίθεση;

Το πιο επακόλουθο λάθος είναι η αντιμετώπιση της ασφάλειας ως δραστηριότητας προμηθειών. Τα εργαλεία αγοράζονται, οι προϋπολογισμοί πληρούνται, οι πίνακες ελέγχου είναι πράσινοι και κανείς δεν έχει ρωτήσει εάν ο οργανισμός μπορεί πραγματικά να κάνει τα βασικά πράγματα.

Το δεύτερο είναι να μην ξέρεις τι τρέχεις. Δεν μπορείτε να επιδιορθώσετε λογισμικό που δεν γνωρίζετε ότι έχετε και οι περισσότεροι οργανισμοί ανακαλύπτουν το αληθινό περιεχόμενο της περιουσίας τους κατά τη διάρκεια ενός περιστατικού. Αυτός είναι ο λόγος για τον οποίο η τιμολόγηση των υλικών έχει σημασία, όχι ως τεχνούργημα συμμόρφωσης, αλλά ως κάτι που αναζητάτε στις δύο τα ξημερώματα, όταν πέφτει μια κρίσιμη συμβουλή και κάποιος ρωτά εάν επηρεάζεστε.

Το τρίτο είναι προεπιλογές. Τα συστήματα εγκαθίστανται, λειτουργούν και η διαμόρφωση δεν επανεξετάζεται ποτέ. Πέντε χρόνια αργότερα, αυτή η διαμόρφωση είναι υποχρέωση και κανείς δεν εμπλέκεται στην αρχική απόφαση εξακολουθεί να εργάζεται εκεί.

Το τέταρτο είναι το κλειδί και η διαχείριση πιστοποιητικών αφήνεται στα άτομα. Ένα αξιοσημείωτο ποσοστό των αυτοπροκαλούμενων διακοπών είναι ληγμένα πιστοποιητικά που ένα άτομο παρακολουθούσε αθόρυβα σε ένα υπολογιστικό φύλλο μέχρι να αλλάξει δουλειά.

Πριν από ένα περιστατικό, η ηγεσία χρειάζεται τέσσερα πράγματα στη θέση του. Ένας επώνυμος υπεύθυνος λήψης αποφάσεων με την εξουσία να κάνει την επιχείρηση εκτός σύνδεσης, αποφάσισε εκ των προτέρων και γραπτώς, επειδή το επιχείρημα σχετικά με το ποιος έχει αυτήν την εξουσία δεν είναι αυτό που θέλετε να έχετε ζωντανά. Διατηρητές έχουν ήδη υπογράψει με εξωτερικούς ιατροδικαστές και ειδικούς συμβούλους, γιατί αυτή η προμήθεια διαρκεί εβδομάδες και θα έχετε ώρες. Ένα κανάλι επικοινωνίας που δεν εξαρτάται από τα συστήματα που μπορεί να παραβιαστούν. Και μια δυνατότητα επαναφοράς που έχει πραγματικά δοκιμαστεί από άκρο σε άκρο, όχι ένα εφεδρικό καθεστώς που έχει επαληθευτεί μόνο με την έννοια ότι οι εργασίες ολοκληρώθηκαν με επιτυχία.

Μετά κάντε πρόβα. Μια επιτραπέζια άσκηση σε επίπεδο στελεχών, μία φορά το χρόνο, θα εμφανίσει περισσότερα γνήσια κενά από ένα άλλο εργαλείο.

Όταν συμβεί μια σοβαρή κυβερνοεπίθεση, τα στελέχη μπορούν ξαφνικά να βρεθούν να λαμβάνουν τεχνικές, νομικές, επιχειρησιακές και επικοινωνιακές αποφάσεις υπό τεράστια πίεση. Τι διαχωρίζει τους οργανισμούς που ανταποκρίνονται αποτελεσματικά από εκείνους που επιτρέπουν σε ένα περιστατικό να γίνει σημαντικά χειρότερο;

Οι οργανώσεις που το χειρίζονται καλά έχουν λάβει τις σημαντικές αποφάσεις πριν από το συμβάν, έτσι ώστε κατά τη διάρκεια του συμβάντος να εκτελούν παρά να συζητούν. Αυτό είναι το μεγαλύτερο μέρος του.

Πέρα από την προετοιμασία, μερικά πράγματα διαχωρίζουν σταθερά τις καλές απαντήσεις από τις κακές.

Διαχωρίζουν την τεχνική έρευνα από το στέλεχος και την τροχιά επικοινωνίας, με καθορισμένη διεπαφή μεταξύ τους. Όταν τα ίδια άτομα προσπαθούν να περιορίσουν μια εισβολή και να συντάξουν μια ειδοποίηση πελάτη, και οι δύο εργασίες δεν γίνονται καλά.

Διατηρούν στοιχεία πριν αποκαταστήσουν. Το ένστικτο να ξαναχτίσετε αμέσως το παραβιασμένο μηχάνημα είναι ισχυρό και καταστρέφει τις πληροφορίες που χρειάζεστε για να δημιουργήσετε το πεδίο εφαρμογής. Εάν δεν μπορείτε να απαντήσετε “τι άλλο άγγιξαν”, δεν μπορείτε να πείτε αξιόπιστα σε κανέναν ότι το περιστατικό τελείωσε.

Αποδέχονται ότι η έγκαιρη ενημέρωση είναι προσωρινή και επικοινωνούν αναλόγως. Το μεγαλύτερο μέρος της ζημιάς στη φήμη που έχω παρατηρήσει δεν προήλθε από την παραβίαση αλλά από σίγουρες πρώιμες δηλώσεις που έπρεπε να ανακληθούν. Το να λέμε “εδώ είναι αυτό που ξέρουμε, εδώ είναι αυτό που δεν γνωρίζουμε ακόμη, εδώ είναι πότε θα σας ενημερώσουμε” δεν είναι αδυναμία. Είναι η μόνη θέση που δεν θα χρειαστεί να αντιστρέψετε.

Και κριτικά: δημιουργούν συνθήκες όπου οι μηχανικοί μπορούν να πουν άσχημα νέα στα στελέχη. Το μοτίβο αποτυχίας που έχω δει πιο συχνά είναι ένας οργανισμός όπου η νομική έκθεση ήταν τόσο εμφανής που κανείς δεν ήθελε να είναι το άτομο που έγραψε τι πραγματικά συνέβη. Στη συνέχεια, το περιστατικό χειροτερεύει στη σιωπή. Εάν οι μηχανικοί σας διαχειρίζονται τη δική τους ευθύνη και όχι το περιστατικό, έχετε ένα πρόβλημα διακυβέρνησης που δεν θα διορθωθεί με κανένα εργαλείο.

Το OpenSSL βρίσκεται σε μια ασυνήθιστη θέση ως κρίσιμης σημασίας υποδομή ανοιχτού κώδικα που χρησιμοποιείται σε όλο το τεχνολογικό οικοσύστημα, ενώ η OpenSSL Corporation εστιάζει στην εξυπηρέτηση εμπορικών κοινοτήτων παράλληλα με το ανεξάρτητο Ίδρυμα OpenSSL. Πώς εξισορροπείτε τις ανάγκες των επιχειρήσεων, των προγραμματιστών, των ρυθμιστικών αρχών και της ευρύτερης κοινότητας ανοιχτού κώδικα όταν οι αποφάσεις σχετικά με την ασφάλεια και τη συμβατότητα μπορούν να επηρεάσουν ένα τόσο μεγάλο μέρος του Διαδικτύου;

Η ειλικρινής απάντηση είναι ότι δεν τους εξισορροπείς προσπαθώντας να τους κάνεις όλους χαρούμενους σε κάθε απόφαση. Τα εξισορροπείτε έχοντας μια δημοσιευμένη πολιτική και εφαρμόζοντάς την προβλέψιμα, έτσι ώστε οι άνθρωποι να μπορούν να σχεδιάζουν γύρω σας ακόμα και όταν δεν τους αρέσει ένα συγκεκριμένο αποτέλεσμα.

Η προβλεψιμότητα είναι αυτό που οφείλουμε στους χρήστες μας. Στέλνουμε εκδόσεις χαρακτηριστικών τον Απρίλιο και τον Οκτώβριο. Λέμε εκ των προτέρων ποια κυκλοφορία είναι μακροχρόνια σταθερή και μέχρι πότε. Ανακοινώνουμε σημαντικές αφαιρέσεις πολύ πριν γίνουν. Η αφαίρεση του ENGINE στο 4.0 περιγράφηκε δημόσια μήνες πριν από την κυκλοφορία και συμφωνήθηκε τόσο από την Εταιρεία όσο και από το Ίδρυμα. Όποιος ξαφνιάστηκε με αυτό τον Απρίλιο δεν είχε δώσει σημασία και είχαμε κάνει όσο πιο εύκολο μπορούσαμε να δώσουμε προσοχή.

Η δομική απάντηση είναι ο ίδιος ο διαχωρισμός. Το Ίδρυμα υπάρχει για να εξυπηρετεί τη βιβλιοθήκη ανοιχτού κώδικα και την κοινότητα γύρω από αυτήν. Η Εταιρεία υπάρχει για να εξυπηρετεί οργανισμούς με εμπορικές απαιτήσεις (δεσμεύσεις υποστήριξης, επικύρωση FIPS, συγκεκριμένα χρονοδιαγράμματα) και να κάνει το όλο θέμα οικονομικά βιώσιμο. Η διατήρηση αυτών των διαφορετικών σημαίνει ότι κανένα σύνολο αναγκών δεν επιλύεται αθόρυβα προς όφελος του άλλου. Όταν οι απαιτήσεις της επιχείρησης και οι απαιτήσεις της κοινότητας συγκρούονται πραγματικά, αυτή η σύγκρουση συμβαίνει μεταξύ δύο οργανισμών με σαφείς αρμοδιότητες και όχι μέσα στο κεφάλι ενός ατόμου.

Το άλλο μέρος είναι η σωστή ακρόαση, η οποία απαιτεί πραγματικούς μηχανισμούς και όχι υποθέσεις. Αυτό είναι ένα μεγάλο μέρος του γιατί διοργανώνουμε το συνέδριο, που βρίσκεται στην Πράγα αυτόν τον Οκτώβριο, και γιατί υπάρχει η κοινοτική υποδομή. Είναι πολύ εύκολο για τους συντηρητές να αναπτύξουν σίγουρες θεωρίες σχετικά με το τι χρειάζονται οι χρήστες. Είναι πολύ πιο χρήσιμο να βρίσκεστε σε ένα δωμάτιο μαζί τους.

Κοιτάζοντας την επόμενη δεκαετία, ποια μετάβαση ασφάλειας ή κρυπτογράφησης πιστεύετε ότι οι οργανισμοί εξακολουθούν να υποτιμούν σήμερα και ποια μαθήματα από την εξέλιξη του SSL, του OpenSSL και των τελευταίων 30 ετών ασφάλειας στο Διαδίκτυο θα πρέπει να εφαρμόσουν οι ηγέτες καθώς προετοιμάζονται για αυτό;

Η μετάβαση που νομίζω ότι είναι περισσότερο υποτιμημένη δεν είναι η μετακβαντική κρυπτογραφία ως πρόβλημα αλγορίθμου. Είναι η ταυτότητα μηχανής και η ιεραρχία πιστοποιητικών κάτω από τα πάντα.

Η μετα-κβαντική ανταλλαγή κλειδιών θα επιλυθεί σε μεγάλο βαθμό από προεπιλογές, και πολλά από αυτά έχουν ήδη επιλυθεί. Αυτό που δεν θα λυθεί από προεπιλογές είναι η υποδομή αξιοπιστίας: πιστοποιητικά ρίζας σε υλικό, κλειδιά υπογραφής υλικολογισμικού που έχουν εγγραφεί σε συσκευές, HSM με μια δεκαετία υπολειπόμενης διάρκειας ζωής, βιομηχανικά και ιατρικά συστήματα που θα συνεχίσουν να λειτουργούν το 2040 με κρυπτογραφικές υποθέσεις κατά την κατασκευή. Δεν μπορούν να ενημερωθούν με την αποστολή μιας νέας έκδοσης βιβλιοθήκης και σε ορισμένες περιπτώσεις δεν μπορούν να ενημερωθούν καθόλου. Η κλίμακα αυτού του προβλήματος αντικατάστασης δεν αντικατοπτρίζεται επί του παρόντος στον κεφαλαιακό σχεδιασμό κανενός.

Παράλληλα εξελίσσεται μια κανονιστική μετάβαση. Ο νόμος Cyber ​​Resilience Act στην Ευρώπη, και συγκρίσιμα πλαίσια αλλού, θα αλλάξουν τις υποχρεώσεις που συνδέονται με την παράδοση λογισμικού με στοιχεία που δεν γράψατε. Οι περισσότεροι οργανισμοί δεν έχουν επεξεργαστεί τι σημαίνει αυτό για την εξάρτησή τους από τον ανοιχτό κώδικα ή για τους ανθρώπους που τον διατηρούν.

Τρία μαθήματα από τριάντα χρόνια:

1. Οι μεταβάσεις διαρκούν μια δεκαετία περισσότερο από όσο ανακοινώνεται. Το SSLv3 χαρακτηρίστηκε παρωχημένο το 2015, απενεργοποιήθηκε από προεπιλογή το 2016 και τελικά αφαιρέσαμε τον κώδικα τον Απρίλιο του 2026. Έντεκα χρόνια για ένα πρωτόκολλο που όλοι συμφωνούσαν ότι ήταν προβληματικό. Σχεδιάστε τη μετακβαντική μετάβαση με βάση αυτή την πραγματικότητα, όχι το δελτίο Τύπου.
2. Οι προεπιλογές είναι ο μόνος μηχανισμός ασφάλειας που λειτουργεί σε μεγάλη κλίμακα. Οτιδήποτε απαιτεί από κάθε διαχειριστή να πάρει τη σωστή απόφαση δεν θα πραγματοποιηθεί. Η υβριδική μετακβαντική ανταλλαγή κλειδιών έχει αναπτυχθεί τόσο γρήγορα επειδή είναι ενεργοποιημένη από προεπιλογή και δεν απαιτεί καμία απόφαση. Σχεδιάστε για όσους δεν θα διαβάσουν ποτέ την τεκμηρίωσή σας, επειδή αυτοί είναι σχεδόν όλοι.
3. Εξαρτάστε από λιγότερους ανθρώπους από όσο νομίζετε. Σχεδόν κάθε οργανισμός στον κόσμο βασίζεται σε κρυπτογραφικό κώδικα που συντηρείται από ελάχιστους ανθρώπους. Αυτό ίσχυε όταν ήμασταν δύο στο Μπρίσμπεϊν και η δομή δεν έχει αλλάξει ουσιαστικά, παρότι το διακύβευμα έχει αυξηθεί κατά τάξεις μεγέθους. Ό,τι κι αν σχεδιάζετε για την επόμενη δεκαετία, ένα μέρος του στηρίζεται σε έναν συντηρητή με τον οποίο δεν έχετε επικοινωνήσει ποτέ και τον οποίο δεν χρηματοδοτείτε. Αξίζει να το γνωρίζετε πριν τον χρειαστείτε.

Ευχαριστώ για την υπέροχη συνέντευξη. Οι αναγνώστες που επιθυμούν να μάθουν περισσότερα πρέπει να το επισκεφτούν OpenSSL.