W piątym odcinku „Technologicznego Podcastu”, prowadzący Maciek Broniarz i Przemek Jurgiel-Żyła podjęli szereg aktualnych tematów ze świata technologii i cyberbezpieczeństwa. Główne wątki obejmowały zagadnienia cyfrowych bliźniaków i związanych z nimi zagrożeń, podatność Erlanga w OTP-SSH, 50-lecie istnienia Microsoftu, cyberwojny między twórcami dużych modeli językowych a utrzymującymi infrastrukturę internetową oraz 100 dni od wdrożenia rozporządzenia DORA w sektorze finansowym UE. W artykule przedstawiono kluczowe tezy i wnioski z dyskusji obu ekspertów, którzy dzielili się swoimi doświadczeniami i spostrzeżeniami dotyczącymi współczesnych wyzwań technologicznych.

Prowadzący rozpoczęli od omówienia koncepcji cyfrowych bliźniaków (Digital Twins) – systemów, które za pomocą algorytmów kopiują działanie rzeczywistych podmiotów. Jak wyjaśnił Przemek Jurgiel-Żyła, rozwiązania te były dotychczas wykorzystywane głównie w robotyce i innych zastosowaniach przemysłowych, obecnie jednak stały się narzędziem cyberprzestępców.

„W chwili obecnej z perspektywy CyberSecu i z perspektywy zagrożeń, które pojawiają się szerzej na rynku, to są wszelkiego rodzaju rozwiązania, gdzie przestępcy czy cyberprzestępcy próbują sklonować albo określone postaci z firmy, albo właśnie całe firmy do tego, żeby wykonać jakieś akcje, które spowodują np. naruszenie zasad bezpieczeństwa albo po prostu wyłudzenia, skracając pieniędzy.” – podkreślił Przemek Jurgiel-Żyła.

Obaj prowadzący zgodzili się, że sztuczna inteligencja umożliwia tworzenie bardzo wiarygodnych kopii osób czy organizacji, co znacząco zwiększa skuteczność ataków socjotechnicznych. W dyskusji pojawiły się różne propozycje mechanizmów ochronnych, od haseł w stylu „word of the day” po dwuetapową weryfikację nieprzewidzianych przelewów.

Maciek Broniarz zwrócił uwagę, że najlepszą ochroną przed tego typu atakami są dobrze zorganizowane procesy w firmie: „Zastanówmy się dlaczego nasza organizacja funkcjonuje w tak dysfunkcyjnym modelu, że prezes na callu Teamsowym może wydawać polecenia odnośnie płatności. Jak to wyeliminujemy, to tak naprawdę ten atak przestaje nas boleć.”

Rozmówcy zaznaczyli również, że socjotechniczne aspekty ataków, takie jak wywieranie presji czasowej czy emocjonalnej, są kluczowymi elementami, które ułatwiają przestępcom osiągnięcie sukcesu. Jak podsumował Przemek: „Wydaje mi się, że z perspektywy tego typu rzeczy to trzeba siebie, klientów, organizacji uodpornić na wszelkiego rodzaju takie sytuacje związane z socjotechnicznymi aspektami, czyli właśnie ktoś nagle dzwoni, próbuje nas coś wymusić, przyspieszyć pod presją”.

Kolejnym tematem była podatność Erlanga w komponencie OTP-SSH, która otrzymała maksymalną ocenę 10 w skali CVSS. Podatność ta pozwala na zdalne wykonanie kodu na urządzeniach wykorzystujących tę bibliotekę.

Maciek Broniarz wyjaśnił skalę problemu: „Ta podatność konkretnie to jest, ona pozwala na zdalne wykonanie kodu, to znaczy jesteśmy w stanie na zdalnej maszynie uruchomić coś, co jej prześlemy. Podatność dotyczy nie generycznie wszystkich użytkowników SSH, tylko tych, którzy używają komponentu, który nazywa się Erlang-OTP”.

Dyskusja ukazała istotny problem – wiele organizacji nie wie, czy korzysta z podatnych komponentów w swoich urządzeniach. Jak zaznaczył Maciek: „Cały problem polega na tym, że my nie wiemy bardzo często, czy mamy tę funkcjonalność włączoną, czy my korzystamy z tego komponentu w naszym rozwiązaniu, dlatego że bardzo często mamy rozwiązania typu embedded, do których ktoś włożył taką funkcjonalność, nigdzie tego nie udokumentował, my też tego nie wiemy.”

Prowadzący podkreślili, że zagrożenie dotyczy głównie urządzeń z publicznie dostępnymi usługami SSH, które korzystają z Erlanga-OTP, co według danych przytoczonych przez Maćka oznacza około 600 tysięcy unikalnych adresów IP w internecie. Omówili również ryzyko związane z bezkrytycznym uruchamianiem niezweryfikowanego kodu podczas sprawdzania podatności, co samo w sobie stanowi zagrożenie.

Trzecim głównym tematem odcinka były refleksje na temat 50-lecia istnienia Microsoftu. Prowadzący podzielili się swoimi pierwszymi doświadczeniami z produktami firmy – dla Maćka był to BASIC na MSX w 1988 roku, dla Przemka Windows 3.1 w latach 90.

Dyskusja objęła ewolucję Microsoftu od firmy produkującej oprogramowanie pudełkowe do dostawcy usług chmurowych. Maciek Broniarz zwrócił uwagę na tzw. „straconą dekadę Microsoftu” na początku XXI wieku i zdolność firmy do odwrócenia negatywnego trendu: „O sile Microsoftu moim zdaniem świadczy też to, że oni potrafili jakby odwrócić jednak ten trend i po tej straconej dekadzie nagle zacząć z powrotem być jedną z najważniejszych firm, która też wyznacza trochę trendy.”

Obaj eksperci zgodzili się, że przejście na model subskrypcyjny i rozwój usług chmurowych były kluczowymi elementami sukcesu Microsoftu w ostatnich latach. Jak zauważył Maciek: „Microsoft, wchodząc w ten model subskrypcyjny, też gdzie wszyscy mówili, nie, to się nie przyjmie, nikt nie będzie płacił tam co miesiąc za Windowsa, za Office’a. No nie, właśnie płacimy. Dlaczego? Dlatego, że to jest pomijalne.”

Prowadzący poruszyli także problem uzależnienia od ekosystemów dużych dostawców i związane z tym zagrożenia dla niezależności użytkowników. Maciek wyraził obawę: „Oddanie pewnej suwerenności w ręce de facto dwóch dużych graczy, to nie jest coś, co nam się opłaca.”

Czwartym istotnym tematem były konflikty między twórcami dużych modeli językowych (LLM) a organizacjami utrzymującymi infrastrukturę internetową. Prowadzący omówili problem agresywnego crawlowania treści przez systemy AI.

Przemek Jurgiel-Żyła zwrócił uwagę na skalę problemu: „Obecnie crawlery firm AI odpowiadają za 1% zapytań, ale dochodzą nawet do 40-50% ruchu.” Eksperci podkreślili, że boty AI ignorują zasady ustalone przez lata w internecie, takie jak plik robots.txt czy limity częstotliwości odpytywania serwerów.

„Funkcjonujemy w internecie, gdzie jednak mamy pewne zasady, gdzie uczymy się i utrzymujemy pewne standardy i potem przychodzą firmy od AI i mówią nie respektujemy tego.” – stwierdził Maciek Broniarz, zwracając uwagę na podejście dużych firm technologicznych.

Dyskusja objęła również kwestię praw własności intelektualnej i etyki wykorzystywania treści przez modele AI. Maciek przytoczył słowa Sama Altmana: „On oczywiście wszystko rozumie, ale wartość, która wyjdzie z tych rozwiązań szeroko pojętej sztucznej inteligencji jest na tyle duża, że nie można podejmować żadnych działań ograniczających ten rozwój, bo ten rozwój jest priorytetowy.” Dodał też swoją opinię: „Z całym szacunkiem, gównoprawda.”

Na koniec prowadzący krótko omówili temat 100 dni od pełnego wdrożenia rozporządzenia DORA w sektorze finansowym w Unii Europejskiej. Maciek Broniarz zauważył podobieństwa we wdrażaniu DORA do wcześniejszych regulacji, takich jak RODO: „Organizacje po jakimś czasie od wejścia przepisów w życie zorientowały się, że to jest tak na serio, to my jednak musimy coś zrobić.”

Zwrócił również uwagę na to, że nawet firmy, które bezpośrednio nie podlegają regulacjom, mogą zostać zmuszone do dostosowania się przez swoich klientów: „Nawet jeżeli ty jako organizacja nie podlegasz, to może się okazać, że twoi klienci podlegają i zaczynają pewne zobowiązania przyszucać na ciebie.”

Piąty odcinek „Technologiczny Podcast” poruszył szereg istotnych zagadnień z obszaru technologii i cyberbezpieczeństwa. Dyskusja na temat cyfrowych bliźniaków pokazała nowe formy zagrożeń, które pojawiają się wraz z rozwojem sztucznej inteligencji, a kluczową ochroną przed nimi są dobrze zorganizowane procesy w organizacjach. Temat podatności Erlanga w OTP-SSH ukazał problem identyfikacji zagrożeń w rozwiązaniach embedded.

Refleksje na temat 50-lecia Microsoftu przedstawiły ewolucję firmy i jej zdolność do dostosowywania się do zmieniającego się rynku, choć jednocześnie zwrócono uwagę na rosnące uzależnienie użytkowników od dużych ekosystemów technologicznych. Dyskusja o cyberkonfliktach między twórcami LLM a utrzymującymi infrastrukturę internetową zarysowała nowe pole bitwy w sieci, z poważnymi implikacjami dla całego ekosystemu internetowego.

Odcinek zakończył się krótkim omówieniem wdrażania regulacji DORA, pokazując, jak firmy reagują na nowe wymogi regulacyjne i jak te wymogi propagują się w łańcuchu dostaw.

Prowadzący zapowiedzieli również kontynuację tematów związanych z regulacjami (DORA, NIS) w kolejnych odcinkach oraz zarekomendowali wydarzenia Secure Way Meetups dla osób zainteresowanych tematyką cyberbezpieczeństwa i startupów z tej branży.