Tag: Usalama wa Usajili Page 1 of 8

Sage Group plc imethibitisha kuwa imesimamisha kwa muda Sage Copilot wake, msaidizi wa AI kwa zana za uhasibu za kampuni ya kutengeneza programu ya biashara yenye makao yake Uingereza, mwezi huu baada ya kufichua taarifa za wateja kwa watumiaji wengine. Chanzo kinachomfahamu msanidi programu kiliiambia Sajili mwishoni mwa wiki iliyopita: “Mteja alipata walipouliza [Sage Copilot] ili kuonyesha orodha ya ankara za hivi majuzi, AI ilichota data kutoka kwa akaunti zingine za wateja ikijumuisha zao. “Iliripotiwa kupitia njia zao za usaidizi, kuthibitishwa, na uamuzi ulifanywa wa kuvuta ufikiaji wa AI,” chanzo kiliendelea. Biz alielezea hitilafu hiyo kama “suala dogo” kwenye Daftari, na akakana mfumo wa kujifunza kwa mashine ulivujisha data nyeti ya GDPR kama wengine waliogopa. “Baada ya kugundua suala dogo linalohusisha kiasi kidogo cha wateja na Sage Copilot katika Uhasibu wa Sage, tulisitisha kwa ufupi Sage Copilot,” msemaji wa kampuni alisema. “Suala hili lilionyesha taarifa za biashara zisizohusiana kwa idadi ndogo sana ya wateja. Hakuna wakati ankara zozote zilifichuliwa. Marekebisho hayo yanatekelezwa kikamilifu na Sage Copilot anafanya kazi kama inavyotarajiwa. Msemaji wa Sage alionyesha kuwa Sage Copilot alitolewa nje ya mtandao kwa saa chache Jumatatu iliyopita, ili kuchunguza suala hilo na kutekeleza marekebisho. Je! umepitia mfumo wa AI ukitoka kwenye reli? Tuambie kulihusu kwa ujasiri. Ilizinduliwa mnamo Februari 2024, Sage Copilot inafafanuliwa na waundaji wake kama “mwanachama wa timu anayeaminika, anayeshughulikia kazi za usimamizi na zinazorudiwa kwa ‘muda halisi’, huku akipendekeza njia kwa wateja kuunda wakati na nafasi zaidi ili kuzingatia kukuza na kuongeza biashara zao. .” Chatbot inakusudiwa kugeuza utendakazi kiotomatiki, kupata hitilafu na kutoa vitendo vilivyopendekezwa vinavyohusiana na uhasibu wa biashara. “Usahihi, usalama na uaminifu wa Sage Copilot vimepewa kipaumbele kila hatua, pamoja na usaidizi wa kitaalamu, usimbaji fiche thabiti, udhibiti wa ufikiaji, na kufuata kanuni za ulinzi wa data,” biz inasema kwenye tovuti yake. Sage Copilot kwa sasa inapatikana kwa mwaliko kama bidhaa ya kufikia mapema, na inatumiwa na idadi ndogo ya wateja; msemaji wa kampuni hakuweza kutoa takwimu maalum. Aina za AI hufanya usalama wa mtandao kuwa mgumu zaidi, kulingana na Microsoft. Na kwa ujumla huja na maonyo kwamba matokeo yao yanahitaji kuthibitishwa kwani mara nyingi huwa yana makosa. Walakini, kampuni zinasisitiza kupeleka huduma za AI, mara kwa mara kwa huzuni yao. Apple wiki hii ilisitisha uwezo wa muhtasari wa habari wa Apple Intelligence kufuatia wasiwasi kwamba muhtasari wa huduma ya AI haukuwa sahihi. Mwaka jana, Air Canada ililazimika kumlipa msafiri mamia ya dola baada ya chatbot yake kumuarifu abiria vibaya kuhusu punguzo la kiwango cha msiba wa shirika hilo. Na McDonald’s ilimaliza majaribio yake ya Kichukua Agizo Kiotomatiki baada ya wateja kulalamika kuwa AI ilikosa maagizo. Mnamo 2023, chatbot ya GM inayotumiwa na Watsonville, California, uuzaji wa magari ilijadiliwa ili kukubali kuuza Chevy Tahoe ya 2024 kwa $ 1 kupitia uhandisi wa busara wa haraka. Miaka miwili awali, Zillow alichukua hesabu ya $304 milioni kuandika na kupunguza kazi 2,000 baada ya dau la kampuni ya mali isiyohamishika kuhusu tathmini ya mali inayotokana na AI kuharibu biashara yake ya kununua nyumba. Aina za AI zimevumbua majina ya vifurushi vya programu, zimetaja kesi ambazo hazipo mahakamani, na kuwashtaki watu kwa uhalifu ambao hawajafanya. Wakati huo huo, waundaji kadhaa wakubwa wa miundo ya AI ikijumuisha Anthropic, Meta, Microsoft, OpenAI, na Nvidia wanakabiliwa na mashtaka ya hakimiliki juu ya data iliyotumiwa kutengeneza miundo hii. ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/20/sage_copilot_data_issue/

Shule ya upili ya Uingereza italazimika kufungwa kwa angalau siku mbili, leo na kesho, baada ya kuwa mwathirika wa hivi punde wa sekta ya umma wa wahalifu wa ransomware. Shule ya Upili ya Blacon katika mji wa kihistoria wa Chester, kaskazini-magharibi mwa Uingereza, ilisema jana shambulio hilo lilipiga Januari 17, na haikukataza kuwafungia wanafunzi milango kwa siku za ziada wiki hii. Wanafunzi hawajapewa siku ya kupumzika, hata hivyo. Walimu waliwawekea kazi ya kukamilisha kwenye Google Darasani kwa muda wa siku mbili, ingawa bado wanaweza kutembelea shule ili kuchukua chakula cha mchana. Hakuna wafanyakazi wa shirika la ransomware waliodai kuhusika na shambulio hilo wakati wa kuandika, na shule haiko tayari kutoa maoni yoyote ikiwa data yoyote iliathiriwa kutokana na tukio hilo. “Tuna kampuni huru ya usalama wa mtandao inayofanya kazi shuleni ili kuelewa ni nini hasa kimetokea,” mwalimu mkuu Rachel Hudson alisema katika taarifa. “Hadi hii itakapokamilika, sitaweza kutoa maelezo zaidi juu ya ukiukaji wowote wa data.” Mifumo mingi ya IT ya shule iko chini, ingawa Hudson alisema wafanyikazi wakuu wanafanya kazi kuunda mifumo ambayo itawezesha shughuli kuendelea. Laini za simu pia hazipo, lakini nambari ya muda imetambulishwa ikihitajika, na mawasiliano ya ziada kuhusu tukio yatatumwa kwenye tovuti ya shule na kurasa za mitandao ya kijamii. Wazazi pia watawasiliana moja kwa moja kupitia mfumo wa Malipo ya Mzazi. “Nitawasasisha punde tutakapojua zaidi na nitalenga kuwafungulia tena wanafunzi haraka tuwezavyo,” Hudson alisema. “Wakati huo huo, ninaomba msaada wako katika kusaidia wanafunzi kumaliza kazi nyumbani, haswa kwa Mwaka wa 11. Asante kwa uvumilivu na uelewa wako wakati huu.” Shambulio dhidi ya Shule ya Upili ya Blacon ni shambulio la pili kubwa la programu ya kukomboa katika sekta ya umma ya Uingereza katika wiki moja baada ya genge la Medusa kushambulia Baraza la Gateshead siku mbili mapema Januari 15. Tofauti na shule hiyo, wahalifu waliohusika na shambulio la baraza hawakupoteza wakati tovuti yao ya kuvuja data na data iliyoibiwa. Medusa ilichapisha kurasa 31 na picha za skrini za faili zilizoibiwa, zikifichua taarifa zinazoweza kumtambulisha mtu binafsi (PII) za wakazi wa halmashauri na wafanyakazi. Pia iliweka mahitaji ya fidia ya $600,000 kwa “kufutwa” kwa data ya baraza. Ingawa wahalifu wa mtandao kwa kawaida hutoa ahadi kama hizi, imani iliyopo miongoni mwa wataalamu ni kwamba mara chache hawaheshimiwi. Hudson alisema: “Kwa bahati mbaya, mashambulizi ya mtandao kama haya yanatokea mara kwa mara licha ya kuwa na hatua za hivi karibuni za usalama. Hii imeshuhudiwa kwa huzuni na NHS, National Rail, idara nyingine za sekta ya umma na shule. NHS ilipigwa na ransomware mwaka jana. Shambulio dhidi ya mtoa huduma za ugonjwa wa ugonjwa Synnovis wakati wa kiangazi lilisababisha usumbufu mkubwa zaidi, na kuathiri maelfu ya miadi na taratibu katika hospitali kuu za London. Kisha, mwishoni mwa Novemba, INC Ransom ilimshambulia Alder Hey wa Liverpool – hospitali kuu ya watoto ya kaskazini mwa Uingereza – siku baada ya mgomo ambao haujaunganishwa kwenye hospitali za jirani za NHS huko Wirral. Habari za Blacon pia zilikuja katika wiki hiyo hiyo wakati serikali ya Uingereza ikizingatia rasmi marufuku kamili ya malipo ya fidia yaliyofanywa na sekta ya umma na mashirika muhimu ya miundombinu ya kitaifa (CNI). Ni mojawapo ya mapendekezo matatu yanayochunguzwa katika muda wa wiki 11 zijazo. Mbinu nyingine inayochunguzwa ni kuchukua hatua ya kupiga marufuku sekta ya umma na kutaka mashirika makubwa ya sekta binafsi kuomba leseni ya malipo kutoka kwa serikali. Maelezo bado yanarekebishwa lakini kwa kuzingatia uhusiano wa karibu wa kisiasa wa Uingereza na Australia, ambayo hivi karibuni ilipitisha sheria kama hiyo katika Sheria yake ya Usalama wa Mtandao, Uingereza inaweza kumfuata binamu yake wa Oceanic na kutumia sheria hiyo kwa kampuni zinazofikia kizingiti cha mapato. Marekebisho ya IT ya sekta ya umma Ingawa Shule ya Upili ya Blacon haijaeleza kwa kina chanzo cha shambulio la ukombozi, mashirika ya sekta ya umma ya Uingereza kwa ujumla hayana nguvu sawa na biashara za kibiashara za kutumia katika ulinzi wa mtandao. Serikali inapanga kutoa ripoti mnamo Januari 21 inayoelezea athari za teknolojia ya zamani kwenye sekta ya umma. Ripoti itachunguza masuala kama vile tija na kuridhika kwa umma na huduma, lakini pia jinsi teknolojia iliyopitwa na wakati inavyochangia ongezeko la tishio la mashambulizi ya mtandaoni. Teknolojia iliyotumiwa na serikali kuu pekee iligunduliwa kuwa imepitwa na wakati katika takriban asilimia 25 ya kesi, kwa wastani, wakati kesi mbaya zaidi zilisababisha kuongezeka kwa asilimia 70. Ripoti hiyo pia itasema kwamba idadi inayoongezeka ya mifumo hii ya zamani “imekadiriwa” kwa hatari ya usalama. Kwa shule za serikali za Uingereza ambazo hazijafadhiliwa kila wakati, hali ya usalama inaweza kuwa mbaya zaidi. Jake Moore, mshauri wa kimataifa wa usalama wa mtandao katika ESET, alisema “Shule na mashirika mengine ya serikali za mitaa mara nyingi hukosa ufadhili na kwa hivyo huenda wasiwe na ulinzi bora kwa mifumo yao ambayo inawafanya kuwa malengo laini. “Shule mara nyingi zinakabiliwa na ukosefu wa ufadhili ambao unaweza kusababisha ulinzi dhaifu wa mtandao na matumizi ya mifumo ya zamani, na hivyo kuwafanya kuathiriwa na mashambulizi mengi ya mtandao. Aliongeza: “Sasa kuna mifano isiyo na kikomo ya mifumo ya elimu na mabaraza kupigwa katika mashambulizi kama hayo na mara nyingi kunaweza kuwa na machafuko ya wiki ambayo husababisha athari kwa jamii pana.” Kufuatia kuchapishwa kwa ripoti ya serikali kuhusu teknolojia ya kizamani kesho, mageuzi makubwa yanatarajiwa kutangazwa, huku utekelezaji wa haya yakiongozwa na Huduma ya Dijitali ya Serikali (GDS), ambayo inatazamiwa kupewa mamlaka zaidi. ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/20/blacon_high_school_ransomware/

Maoni “Kama ya kizamani kama meli za kivita katika Baltic” ilikuwa wimbo mzuri wa pop katika gem ya Prefab Sprout’s 1985, Faron Young. Kubwa, lakini kejeli kizamani yenyewe. Uswidi imetuma meli nyingi za kivita katika bahari hiyo hiyo ili kulinda dhidi ya tishio la kisasa la kukata kebo chini ya maji. Kwa kuwa miundombinu mingi ya kimataifa ya nishati na data duniani iko hatarini, inafaa kuchimba kwa undani zaidi. Mwanachama mpya zaidi wa NATO anajitokeza akibembea kufuatia shambulio la hivi punde la kebo ya Bahari ya Baltic SOMA ZAIDI Juu juu, inaleta maana kutuma uchunguzi na mashine za kijeshi za kuzuia vitendo vinavyotegemea usiri usioingiliwa. Baada ya yote, Uswidi ni mwanachama mpya zaidi wa NATO, matokeo ya juhudi za Urusi za kupanua na kulitia nguvu shirika hilo tena. Kuonyesha nia ni jambo tu. Hii inapunguza nguvu ya hoja. Uswidi, kama nchi ya Finland, ina historia pana ya kuwa taifa dogo linalotegemea rasilimali zake, lakini lenye uwezo wa kupinga nia ya Urusi. Uwezo wa kuweka nguvu kuu isiyotawaliwa kwa utaratibu unasalia kuwa muhimu sana leo, na ndio ufunguo wa kulinda nyuzi hizo zote za glasi na shaba ambazo huunganisha ulimwengu. Hakuna mfano bora wa jinsi Uswidi isiyoegemea upande wowote ilipiga makucha ya dubu kiasi cha kutojalisha kuliko tukio la Whisky On The Rocks. [PDF]. Haijulikani sana kuliko inavyopaswa kuwa, mnamo Oktoba 1981, Wasweden waligundua kwamba manowari ya kiwango cha Whisky ya Usovieti S-363 ilikuwa imekwama kwenye mwambao katika maji ya eneo la Uswidi. Maelezo ya nahodha wa mashua kwamba hii ilitokana na kushindwa kabisa kwa mfumo wa urambazaji haukuweza kutundikwa kwa vile miamba ambayo ilitundikwa ilikuwa kilomita 10 tu kutoka kituo kikuu cha jeshi la wanamaji la Uswidi, ambalo wakati huo lilikuwa kwenye uwanja mkubwa. mazoezi. Jinsi S-363 iliyopofushwa ilipitia baadhi ya jiografia hatari zaidi ya bahari hadi kufika huko pia lilikuwa swali zuri. Hali ya ucheshi ya Uswidi ilijaribiwa zaidi wakati meli ndogo ya walinzi wa pwani ilipokagua manowari kwa utulivu ili kupata ladha fulani ya miale ya gamma – aina inayotokana na silaha za daraja la uranium-238 kwa ujumla na, lo, hasa mirija ya topedo ya manowari. Hivyo. Kapteni, tunajua ungependa kufika nyumbani, lakini tuna maswali machache kwako. Mambo yalizidi kuwa makali wakati rada ya pwani ya Uswidi iliripoti meli zinazoingia kutoka upande wa Urusi. Ilionekana kama uingiliaji kamili wa kijeshi. Wasweden waliingia katika jibu lao kamili la kijeshi, kuwezesha betri za pwani, kurusha wapiganaji na makombora ya kuzuia meli, na kwenda kwenye kimya cha redio. Haina utata. Meli za uokoaji za Soviet ziligeuka kuwa meli za wafanyabiashara za Ujerumani Magharibi, ingawa kama kawaida na hadithi za Vita Baridi, masimulizi mengine yanapatikana, ikiwa ni pamoja na moja ambapo tishio lilikuwa la kweli lakini lilirudi nyuma mara tu upotovu wake ulipoitwa. Kwa waangalizi wengi wa Kisovieti katika eneo hilo, hakukuwa na shaka juu ya azimio kamili nchini Uswidi kutetea mipaka yake na kuwafanya wavamizi walipe, hata hivyo idadi isiyo sawa. Siku kumi na diplomasia iliyojaa joto baada ya kusimamishwa, manowari ilitolewa kwenye miamba na Wasweden na kupelekwa njiani. Haya yote yalitokea katika kilele cha kutokuwa na uhakika wa Vita Baridi. Kiongozi wa muda mrefu wa Usovieti Leonid Brezhnev alikuwa mzee na dhaifu na katika mwaka wa mwisho wa maisha yake, na warithi wake wawili walidumu kwa mwaka mmoja madarakani. 1983 ingeona Kremlin ikija ndani ya sharubu ya kuzindua mgomo wa nyuklia wakati wa mazoezi ya NATO Able Archer 83. Hata hivyo, Uswidi ilishikamana na bunduki zake. Uwazi hushinda utata; kwa kukosekana kwa uwazi, utata hustawi. Je, ni matokeo gani ya kukata nyaya chini ya bahari? Inategemea kama utakamatwa, wewe ni nani na unaifanya wapi. Ni rahisi, ikiwa wewe ni mtawala mpotovu mwenye nia ya kuwakosea adui zako, kupanga ajali au makosa, na “kuona kitakachotokea” bila kuogopa matokeo. Ni vizuri utata. Uwazi ungeonekana tofauti sana. Ufuatiliaji unaofaa wa miundombinu ya chini ya bahari ili kutambua sio tu meli ya mafuta inayokokota nanga yake katika Baltic yenye shughuli nyingi lakini trawler mbaya kutoka pwani ya kisiwa cha mbali? Hakika, tungeweza kufanya hivyo ikiwa tungetaka. Wanajeshi wa mataifa mengi walitumia bahari ya juhudi tangu Vita vya Pili vya Dunia kufanya kazi ya kufuatilia vyombo vya juu na chini ya bahari, na hiyo ilikuwa kabla ya teknolojia ya kibiashara kuwa bora zaidi. Wanaastronomia wana mtandao unaoweza kugeuza rasilimali za kimataifa na angani kuelekea kitu chochote kinachosisimua ndani ya dakika chache baada ya ugunduzi wake. Waendeshaji wa miundombinu na wamiliki wanaweza kuchukua somo kutokana na hilo. Utambulisho uliohakikishwa wa mhalifu, unaoungwa mkono na uvamizi wa mbwa, na sheria zilizo wazi kabisa juu ya kile usichopaswa kufanya, nini cha kufanya ikiwa unakashifu, na mambo yote ambayo yatahesabika dhidi yako – haya ni mambo ya mikataba ya kimataifa na makubaliano ya ushirika juu ya. sera na hatua. Wazo ni kuinua miundombinu ya chini ya bahari hadi hadhi ya mali ya kimataifa ya pamoja ya thamani kubwa inayolindwa ipasavyo. Kwa yenyewe, Uswidi ilionyesha kwamba ilihisi hivyo kuhusu mipaka yake. Hasa kama NATO inavyofanya kwa wanachama wake. Fanya safari hii kwa nishati na data ya kimataifa, fanya kila kitu ndani ya jalada la nje kuwa eneo huru linaloshirikiwa, na ushangae jinsi urambazaji unavyoboreshwa hata kwenye kiburuta kizito zaidi. Inaweza kuwa bora zaidi kwa manowari za Urusi. ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/20/opinion_column_submarine_cables/

Taswira hii: Ni mwaka wa 2030 na Uchina imeikasirikia Taiwan baada ya kisiwa hicho kuomba Umoja wa Mataifa kutambuliwa kama taifa huru. Baada ya kuamua juu ya uvamizi kamili wa kijeshi, China inajaribu kwanza kulemaza miundombinu muhimu ya jirani yake aliyeasi. Hiyo ndiyo hali iliyoanzishwa kama zoezi la vita na Chuo cha Vita vya Wanamaji cha Marekani, ambacho kiliwaalika wataalamu wa teknolojia, wataalam wa miundombinu, na wavamizi wakali kuchunguza tatizo hilo. Agosti mwaka jana, katika Kongamano la Usalama la Black Hat na DEF CON huko Las Vegas, wachezaji walitenganishwa katika timu na wakati wa kikao cha saa tatu walijaribu kupima miundombinu ya Taiwan na kutafuta udhaifu. Wasomi wawili wa Jeshi la Wanamaji wanaoendesha zoezi hilo walieleza kwa kina matokeo kwa waliohudhuria mkutano wa ShmooCon infosec huko Washington DC mapema mwezi huu, na kuyajadili na The Register. Katika michezo ya vita ya saa tatu, washiriki walizingatia matukio mawili. La kwanza lilipendekeza shambulio la mtandaoni dhidi ya nguvu, data na miundombinu muhimu. Simulizi ya pili ilizingatia kile kinachoweza kutokea ikiwa China itafanya mashambulizi ya kijeshi na hujuma pia. Michezo ya kivita ni sehemu ya Mradi wa miaka mitatu wa Jeshi la Wanamaji wa Kustahimili Ustahimilivu wa Taiwan ambao umeundwa kutafuta njia bora za kulinda miundombinu muhimu ya Taiwan. Timu hizo zilikuja na mapendekezo 65 kwa maeneo ambayo Taiwan inaweza kuwekeza kwa sasa ili kujitayarisha kwa ajili ya 2030, na kupata udhaifu fulani katika miundombinu ya sasa ya Taiwan ambayo inaweza kuwa wazi kwa unyonyaji. Kwa kuanzia, asilimia 97 ya data ya nchi hufika kupitia nyaya 16 (moja iliyokatwa hivi majuzi), na tatu kati yao hupitishwa kupitia Uchina. “Unajua, kuwa na mtandao nchini Taiwan kimsingi kunaonekana kama haki ya kikatiba,” alielezea Jason Vogt, profesa msaidizi katika Idara ya Utafiti wa Mikakati na Utendaji (SORD) na Kituo cha Mafunzo ya Vita vya Majini. “Kwa hivyo sio tu kuwasha umeme na kupata maji ya bomba. Wanaona mtandao kuwa sawa na mambo hayo. Na kwa hivyo wanawekeza katika miundombinu ya mawasiliano ya satelaiti na aina hiyo ya kitu ili kujifanya kuwa thabiti zaidi. Lakini kusema ukweli, itabidi wafanye mengi zaidi ikiwa wako vitani. Tafuta miunganisho Kwenye upande wa mbele wa satelaiti Taiwan haijashughulikiwa na Starlink (na haipendezwi na Musk baada ya kutangaza kuwa kisiwa hicho ni “sehemu muhimu” ya Uchina) lakini serikali iko kwenye mazungumzo na Mradi wa Kuiper wa Amazon. Pia imekuwa ikiwekeza katika Eutelsat OneWeb, alisema Dk Nina Kollars, profesa mshiriki katika Taasisi ya Sera ya Mtandao na Ubunifu ya Chuo, kwa sababu opereta satelaiti ya GEO-LEO inaonekana kama chaguo salama. “Wanasonga haraka wawezavyo,” alieleza. “Walikata mkataba na OneWeb na hiyo ilitangazwa kwa umma mwaka mmoja uliopita. Serikali ya Uingereza ina sehemu ya dhahabu katika OneWeb, ambayo ina maana kwamba haiwezi kununuliwa na Uchina. Nguvu ni suala kubwa pia. Taiwan ilikuwa na aina mbalimbali za vinu vya nyuklia lakini ni kimoja tu ambacho bado kinafanya kazi na hakuna vingine vinavyojengwa – maana yake asilimia 80 ya nishati ya kisiwa hicho inatokana na makaa ya mawe au gesi, ambayo lazima iagizwe kutoka nje ya nchi. Kuna vifaa vichache vya uzalishaji wa umeme wa kati na njia za kusambaza umeme za kisiwa cha milimani ziko katika hatari ya kushambuliwa au hujuma. “Mwenyeji [Taiwanese] Harakati za kijani zinataka kutoka kwa nyuklia, wanataka kuwa kijani kibichi, na kwa hivyo wanaangalia jua, wanaangalia upepo wa pwani, ambayo ina mantiki kamili,” Vogt alisema, akiongeza kuwa hata hivyo mitambo ya nyuklia ilikuwa “nishati ya kushangaza. wazalishaji,” na inaweza kuhifadhi mafuta kwa urahisi. “Kuna udhaifu fulani kwa upande wa jua, kwa sababu sehemu kubwa ya paneli hizo zinatoka Uchina. Sio tishio la haraka, lakini inaweza kuwa. Nadhani wasiwasi tulio nao ni kwamba ikiwa uko, ikiwa unaharakisha kufanya hivi, na usalama sio kama juu. [of] akili, usalama wa mtandao, kwamba unaunda udhaifu zaidi, haswa unapoanza kutumia gridi mahiri na vitu kama hivyo.” Kwa upande wa mawasiliano, mchezo wa kivita ulisema kwamba China itajaribu kuukata mji mkuu wa Taiwan, Taipei, kutoka nchi nyingine kwa kuharibu vituo vya mtandao wa simu. Ili kuhakikisha hili halikufanyika washiriki wa timu walijaribu mbinu mpya, ikiwa ni pamoja na mitandao ya matundu ya Bluetooth na teknolojia mbadala ya mawasiliano. “Bluetooth inaongeza ukweli kwamba kila mtu ana simu na kwamba Taiwan ina watu wengi kwa kuanzia. Kwa hivyo unafanya miunganisho hii ya Bluetooth kutoka kwa wenzao, na utumie hiyo kueneza habari za serikali ikiwa miundombinu ya seli iliharibiwa,” Vogt alisema. “Microwave ni kubwa. Nadhani hatukuthamini hili lakini ni nzuri sana na microwaves, kwa kutumia baadhi ya teknolojia ya juu zaidi ya microwave duniani kuvuka milima. Wao ni vizuri sana kuitumia na kuna mengi unaweza kufanya na hilo, vituo vya nguvu ndani ya nchi. Timu hizo pia zilikuja na mawazo mengine ambayo yaliwashangaza wasimamizi. Pendekezo moja lilikuwa kutumia miaka mitano ijayo kukuza msingi wa kiraia waliofunzwa katika udukuzi na ukarabati wa mitandao. Kuhifadhi vifaa muhimu, kama vile minara ya seli na cabling, lilikuwa wazo lingine. Baadhi ya mawazo yalikuwa mbali kidogo na ukuta. Mwanachama mmoja alichapisha akitumia vizalia vya zamani vya Taiwan ili kulinda tovuti muhimu. Mnamo 1949, kiongozi wa Kichina aliyeshindwa Chiang Kai-shek alikimbilia Taiwan, na akaleta sanamu nyingi za kitamaduni za Uchina. Ikiwa haya yangewekwa karibu na shabaha kuu, inaweza kuzuia shambulio la kimwili, lilikuwa pendekezo moja. Milango iliyofunguliwa na iliyofungwa Mchezo wa kwanza ulichezwa kwa faragha na bila kujulikana, ingawa washiriki wangeweza kutaja majina yao wakitaka. Mchezo wa pili ulikuwa wa hadharani kwenye sakafu ya DEF CON na ulivutia watu wengi. “Marudio ya pili yalikuwa ya sauti kubwa na kelele, lakini unashughulikia hilo na hakika ilikuwa aina tofauti ya ufichuzi,” Kollars alisimulia. “Nitasema kwamba iliwafanya wenzangu wengi kutoka sehemu zingine katika Jeshi la Wanamaji kuogopa sana – kutoka kwa uaminifu wa ramani hadi idadi kubwa ya Wachina wanaopiga picha.” Mmoja wa watu waliokuwa wakifuatilia ni naibu mkurugenzi wa Wizara ya Masuala ya Kidijitali ya Taiwan, aliyekuwa kwenye onyesho hilo akitoa mada. Alifurahishwa sana na akauliza ikiwa timu ingependa kuja Taiwan mwezi wa Aprili na kuendesha seti inayofuata ya michezo ya kivita na maafisa na wadukuzi wa Taiwan, kwa faragha wakati huu. Hitimisho kutoka kwa mashindano hayo ni kwamba kulikuwa na mikakati mitatu ya kukabiliana na shambulio la Wachina. Kwanza, malengo muhimu ya miundombinu yanaweza kujengwa katika makundi mbali na ufuo wa magharibi wa kisiwa hicho. Hii ingehakikisha vituo vya kiraia vilikuwa salama, lakini tovuti zinaweza kuwa katika hatari ya kushambuliwa. Vinginevyo, Taiwan inaweza kujaribu ugatuaji mkali, kuweka vituo vidogo, rahisi kurekebisha vya seli na ham. Watu wa eneo hilo wangeweza kufunzwa kuvitunza na kuzirekebisha na nishati ya jua, upepo, au vitu vingine vinavyoweza kufanywa upya vinaweza kutoa nishati. Ni mkakati wa gharama ya juu lakini unaweza kuipa China malengo mengi ya kushughulikia. Wazo la tatu lilikuwa kuchukua fursa ya ardhi ya milima ya Taiwan, kuchimba ndani, na hivyo kupata ulinzi dhidi ya mashambulizi. Akiba ya vifaa, vituo vya satelaiti, na vifaa vya mitandao ya simu vyote vinaweza kufichwa milimani na kudumishwa na kada ndogo ya raia waliofunzwa. Hatimaye, Vogt alipendekeza, ikiwa China itavamia, shambulio la kidijitali haliwezi kuepukika, lakini huenda lisiwe jambo ambalo baadhi ya Jeshi la Ukombozi wa Wananchi wanaweza kutarajia. Alionyesha mfano wa Ukraine, ambapo Urusi ilikuwa inatarajia kusafirisha nchi hiyo kwa siku kadhaa. Ingawa Uchina ina rasilimali kubwa, kwa maandalizi sahihi Taiwan inaweza kufanya mambo yasiwe sawa kwa Ufalme wa Kati. ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/20/china_taiwan_wargames/

Kitambazaji cha OpenAI cha ChatGPT kinaonekana kuwa tayari kuanzisha mashambulizi ya kunyimwa huduma kwa usambazaji (DDoS) kwenye tovuti kiholela, hatari iliyoripotiwa ambayo kampuni kubwa ya teknolojia bado haijakubali. Katika maandishi yaliyoshirikiwa mwezi huu kupitia GitHub ya Microsoft, Benjamin Flesch, mtafiti wa usalama nchini Ujerumani, anaelezea jinsi ombi moja la HTTP kwa API ya ChatGPT inaweza kutumika kufurika tovuti inayolengwa na maombi ya mtandao kutoka kwa kitambazaji cha ChatGPT, haswa ChatGPT- Mtumiaji. Mafuriko haya ya miunganisho yanaweza au yasitoshe kugonga tovuti yoyote, kwa kweli, ingawa bado ni hatari na uangalizi kidogo wa OpenAI. Inaweza kutumika kukuza ombi moja la API katika maombi 20 hadi 5,000 au zaidi kwa tovuti ya mwathirika aliyechaguliwa, kila sekunde, tena na tena. “ChatGPT API inaonyesha kasoro kali ya ubora wakati wa kushughulikia maombi ya HTTP POST kwa https://chatgpt.com/backend-api/attributions,” Flesch anaelezea katika ushauri wake, akimaanisha mwisho wa API unaoitwa na ChatGPT ya OpenAI kurudisha habari kuhusu vyanzo vya wavuti. iliyotajwa kwenye matokeo ya gumzo. Wakati ChatGPT inapotaja tovuti mahususi, itaita maelezo yaliyo na orodha ya URL kwenye tovuti hizo ili mtambazaji wake aweze kufikia na kuleta maelezo kuyahusu. Ukitupa orodha kubwa ndefu ya URL kwenye API, kila moja ikiwa tofauti kidogo lakini zote zikielekeza kwenye tovuti moja, kitambazaji kitazima na kugonga kila moja wapo mara moja. “API inatarajia orodha ya viungo katika url za parameta. Inajulikana kuwa viungo vya tovuti moja vinaweza kuandikwa kwa njia nyingi tofauti,” Flesch aliandika. “Kwa sababu ya mazoea mabaya ya programu, OpenAI haiangalii ikiwa kiungo cha rasilimali sawa kinaonekana mara nyingi kwenye orodha. OpenAI pia haitekelezi kikomo kwa idadi ya juu zaidi ya viungo vilivyohifadhiwa katika parameta ya urls, na hivyo kuwezesha uwasilishaji wa maelfu mengi ya viungo ndani ya ombi moja la HTTP. Mwathiriwa hatawahi kujua ni nini kiliwakumba Kwa hivyo, kwa kutumia zana kama Curl, mshambuliaji anaweza kutuma ombi la HTTP POST – bila hitaji lolote la tokeni ya uthibitishaji – kwa sehemu hiyo ya mwisho ya ChatGPT na seva za OpenAI katika Microsoft Azure zitajibu kwa kuanzisha ombi la HTTP. kwa kila kiungo kilichowasilishwa kupitia urls[] parameta katika ombi. Maombi hayo yanapoelekezwa kwenye tovuti hiyo hiyo, yanaweza kuzidi lengo, na kusababisha dalili za DDoS – kitambazaji, kinachotolewa na Cloudflare, kitatembelea tovuti inayolengwa kutoka kwa anwani tofauti ya IP kila wakati. “Mwathiriwa hatawahi kujua nini kilimpata, kwa sababu wanaona tu Boti ya ChatGPT ikigonga tovuti yao kutoka kwa anwani 20 tofauti za IP kwa wakati mmoja,” Flesch aliiambia The Register, na kuongeza kuwa ikiwa mwathirika aliwezesha firewall kuzuia safu ya anwani ya IP inayotumiwa na ChatGPT bot, bot bado ingetuma maombi. “Kwa hivyo ombi moja lililoshindwa / lililozuiwa halingezuia bot ya ChatGPT kuomba tovuti ya mwathiriwa tena katika milisekunde inayofuata.” “Kutokana na ukuzaji huu, mshambuliaji anaweza kutuma idadi ndogo ya maombi kwa ChatGPT API, lakini mwathirika atapokea idadi kubwa sana ya maombi,” Flesch alielezea. Flesch anasema aliripoti uwezekano huu wa kuathiriwa na DDoS ambao haujaidhinishwa kupitia njia nyingi – jukwaa la OpenAI la kuripoti hatari ya BugCrowd, barua pepe ya timu ya usalama ya OpenAI, Microsoft (pamoja na Azure) na HackerOne – lakini hajasikia chochote. Sajili ilifikia mara mbili kwa OpenAI inayoungwa mkono na Microsoft na hatujapata majibu. “Ningesema hadithi kubwa zaidi ni kwamba API hii pia ilikuwa hatarini kwa kudungwa haraka,” alisema, akimaanisha ufichuzi tofauti wa kuathirika. “Kwa nini wangedungwa sindano haraka kwa kazi rahisi kama hii? Nadhani inaweza kuwa ni kwa sababu wanafanya jaribio la kindani la kitu chao cha ‘AI wakala’.” Suala hilo la pili linaweza kutumiwa vibaya kufanya maswali ya kujibu programu ya kutambaa kupitia sehemu ya mwisho ya API ya sifa; unaweza kulisha maswali kwa roboti, na inaweza kujibu, wakati haifai kufanya hivyo; inatakiwa tu kuchota tovuti. Flesch alihoji ni kwa nini bot ya OpenAI haijatekeleza mbinu rahisi, zilizoanzishwa ili kutoa nakala za URL ipasavyo katika orodha iliyoombwa au kupunguza ukubwa wa orodha, wala imeweza kuzuia udhaifu wa sindano ambao umeshughulikiwa katika kiolesura kikuu cha ChatGPT. “Kwangu inaonekana kama API hii ndogo ni mradi wa mfano wa mawakala wao wa ChatGPT AI, na kazi yake ni kuchanganua URL kutoka kwa data iliyotolewa na mtumiaji na kisha kutumia Azure kuleta tovuti,” alisema. Je, ‘wakala wa AI’ haji na usalama uliojengewa ndani?” Aliuliza. “Kwa sababu ni wazi “wakala wa AI” ambayo ilikuwa inashughulikia urls[] parameta haikuwa na dhana ya kuisha kwa rasilimali, au kwa nini itakuwa ni ujinga kutuma maelfu ya maombi kwa sekunde ile ile kwa kikoa sawa cha wavuti. “Je, haikupaswa kutambua kwamba victim.com/1 na victim.com/2 wanaelekeza kwenye tovuti hiyo hiyo victim.com na ikiwa ombi la victim.com/1 linashindwa, kwa nini lingetuma ombi kwa victim.com/ 2 mara moja baadaye? “Hizi zote ni vipande vidogo vya mantiki ya uthibitishaji ambayo watu wamekuwa wakitekeleza katika programu zao kwa miaka, kuzuia unyanyasaji kama huu.” Flesch alisema maelezo pekee yanayokuja akilini ni kwamba OpenAI inatumia Wakala wa AI kuanzisha maombi haya ya HTTP. “Siwezi kufikiria mhandisi wa Silicon Valley anayelipwa sana akibuni programu kama hii, kwa sababu kitambazaji cha ChatGPT kimekuwa kikitambaa kwenye wavuti kwa miaka mingi, kama kitambaaji cha Google,” alisema. “Ikiwa watambazaji hawataweka kikomo cha maombi yao kwenye tovuti moja, watazuiwa mara moja.” ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/19/openais_chatgpt_crawler_vulnerability/

Fortinet imethibitisha kuwa uchanganuzi wa awali wa rekodi zilizovujishwa na Kikundi cha Belsen kwa hakika ni usanidi halisi wa FortiGate ulioibiwa wakati wa shambulio la siku sifuri mwaka wa 2022. Data iliyovuja inajumuisha anwani za IP, usanidi (pamoja na sheria za ngome), na manenosiri – ambayo baadhi yake yalikuwa ndani. maandishi wazi, kulingana na mlinzi wa infosec Kevin Beaumont, ambaye kwanza alishughulikia utupaji wa data wa Belsen. Beaumont pia alisema uvujaji huo ulionekana kuwa na faili zinazohusiana na karibu vifaa 15,000 vya Fortinet, vilivyopangwa na nchi ya asili. Muuzaji hakutoa maoni yake kuhusu ukubwa wa tukio hilo. Ilisema, hata hivyo, kwamba Kundi la Belsen – lililopewa jina la kambi ya mateso ya Bergen-Belsen, ikiwa ungependa ladha ya tabia ya kundi hili – lilikuwa likipitisha uvujaji kama kazi mpya kabisa wakati rekodi zilichukuliwa miaka ya awali. , lakini imetolewa hivi sasa wiki hii. Akichimba zaidi, Beaumont aligundua kuwa wengi wa wahasiriwa walikuwa biashara ndogo na za kati, na kubwa zaidi pia, na idadi ndogo ya serikali zisizojulikana. “Kila nchi ambayo ina bidhaa za ndani za Fortinet zinaonekana kwenye data, isipokuwa moja – Iran,” aliongeza. “Nchini Irani, hakuna utupaji wa usanidi uliopo katika mkusanyiko huu wa data, licha ya Shodan kuonyesha karibu vifaa elfu mbili vilivyo na miingiliano ya usimamizi au SSL VPN wazi.” Mhasiriwa mmoja tu ndiye aliyetambuliwa nchini Urusi, iliyoko Crimea – eneo lenye mzozo. “Haijulikani kwa nini nchi hizi hazipo kwenye data iliyotolewa,” alisema. Hata hivyo, mtafiti alishauri wateja kuwa macho dhidi ya unyonyaji unaowezekana, hata kama wangerudishwa nyuma mwaka wa 2022. Ikiwa viraka vilitumika baada ya Oktoba 2022, CVE-2022–40684 ilipotumiwa kama siku sifuri, basi bado kunaweza kuwa na nafasi. kwamba mipangilio yao iliondolewa. Hatua ya Fortinet ilikuwa mguso mwepesi zaidi, ikithibitisha kuwa vifaa vingi vilivyoathiriwa na athari vimewekewa viraka. “Ikiwa shirika lako limezingatia mara kwa mara mbinu bora za kuonyesha upya stakabadhi za usalama mara kwa mara na kuchukua hatua zilizopendekezwa katika miaka iliyopita, hatari ya usanidi wa sasa wa shirika au maelezo ya kitambulisho katika ufichuzi wa mhusika tishio ni ndogo,” ilisema Alhamisi. “Tunaendelea kupendekeza kwa nguvu kwamba mashirika yachukue hatua zilizopendekezwa, ikiwa bado hayajafanya, kuboresha mkao wao wa usalama. “Tunaweza pia kuthibitisha kuwa vifaa vilivyonunuliwa tangu Desemba 2022 au vifaa vinavyotumia FortiOS 7.2.2 au matoleo mapya zaidi haviathiriwi na maelezo yaliyofichuliwa na mwigizaji huyu tishio. “Iwapo ulikuwa unatumia toleo lililoathiriwa (7.0.6 na matoleo ya chini au 7.2.1 na matoleo ya baadaye) kabla ya Novemba 2022 na hukuwa tayari kuchukua hatua zinazopendekezwa kwenye ushauri, tunapendekeza kwa dhati ukague hatua zinazopendekezwa ili kuboresha mkao wako wa usalama. ” Muuzaji pia alisema itakuwa ikiwasiliana na wateja ambao bado wanaweza kuwa hatarini. “Ikiwa uko katika upeo, unaweza kuhitaji kubadilisha kitambulisho cha kifaa na kutathmini hatari ya sheria za ngome kupatikana kwa umma,” Beaumont aliongeza. Jambo moja baada ya lingine Haijawa mwanzo mzuri wa 2025 kwa Fortinet (2024 haikuwa nzuri pia), kukiwa na habari za uwezekano wa kampeni nyingine ya unyonyaji ya siku sifuri kuibuka siku chache zilizopita. Arctic Wolf Labs iliambia The Register kampeni ilionekana kuanza mapema Desemba na kumalizika mwishoni mwa mwezi. Ingawa hatua ya uvamizi wa mashambulizi haya haijahusishwa na hatari fulani, wala haijapewa kitambulisho cha CVE, mtafiti mkuu wa kitengo cha tishio cha muuzaji, Stefan Hossetler, alisema “inawezekana sana” kwamba siku ya sifuri ilihusika. . “Ingawa kidhibiti cha awali cha ufikiaji kilichotumika katika kampeni hii bado hakijathibitishwa, Arctic Wolf Labs inatathmini kwa ujasiri mkubwa kwamba unyonyaji mkubwa wa hatari ya siku sifuri kuna uwezekano kutokana na ratiba iliyobanwa katika mashirika yote yaliyoathiriwa na matoleo ya programu tumizi yaliyoathirika,” alisema Hossetler. na wenzake. Uingiliaji huo ulifanywa kupitia ngome za ulinzi za FortiGate za Fortinet ambazo matoleo yake yalikuwa kati ya 7.0.14, ambayo yalitolewa Februari 2024, na 7.0.16, iliyotolewa Oktoba 2024. Tarajia kuripoti zaidi kuhusu hili kadri maelezo yanavyotolewa. ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/17/fortinet_fortigate_config_leaks/

Uchambuzi Joe Biden, katika siku za mwisho za urais wake wa Marekani, alitoa amri nyingine ya usalama wa mtandao ambayo inakaribia upeo mkubwa kama vile ni kuchelewa kwa mchezo. Maagizo hayo makubwa, yaliyotiwa saini Alhamisi, yanahusu mada mbalimbali ikiwa ni pamoja na kupata mitandao ya mawasiliano ya shirikisho dhidi ya walaghai wa kigeni, kutoa vikwazo vikali zaidi kwa magenge ya ukombozi, kuwahitaji watoa programu kutengeneza bidhaa salama zaidi, na kutumia AI kuongeza uwezo wa ulinzi wa mtandao wa Amerika, miongoni mwa mengine. Jukumu hili la hivi punde la rais linafuatia mwaka wa mashambulizi ambayo hayajawahi kushuhudiwa na majasusi wa serikali ya China ambao wameonekana wakinyemelea katika mitandao ya serikali na ya mawasiliano ya simu na kujikita katika miundombinu muhimu ili kujiandaa na mashambulizi mabaya ya mtandaoni yajayo. Zaidi ya hayo, wahalifu wa programu ya ukombozi walitatiza maelfu ya maduka ya dawa na hospitali kote Marekani na kuiba taarifa nyeti za takriban watu milioni 100 baada ya kufunga mifumo ya Change Healthcare mwezi Februari. Pia siku ya Alhamisi, Microsoft ilionya kwamba kitengo cha mtandaoni cha Huduma ya Usalama ya Shirikisho la Urusi kilikuwa kimerejea na kampeni mpya ya wizi wa data licha ya milisho na Microsoft kukamata au kuzima tovuti zaidi ya 180 zinazohusiana na shughuli hiyo tangu Oktoba. Na inakuja siku chache kabla ya Donald Trump kuwa rais wa 47 wa Amerika, licha ya makataa mengi kukaribia kunyakua utawala mpya. Ni kidogo ya Salamu Mary iliyoundwa kujumuisha kila linalowezekana na tu kuona nini fimbo Wakati Marekani inakabiliwa na vitisho vikali mtandao kutoka mataifa ya taifa na wahalifu wanaohamasishwa kifedha sawa, baadhi ya vipengele amri ya utendaji inaweza kuwa wamekufa wakati kuwasili. “Kwa kuzingatia muda uliowekwa kabla ya mabadiliko katika utawala, siwezi kujizuia kufikiria ni jambo la Salamu Mary iliyoundwa kujumuisha kila kitu kinachowezekana na kuona tu kile kinachofaa,” mtaalamu wa mikakati wa usalama wa Wallarm Tim Erlin aliambia Rejesta. “Ni muhimu kukumbuka kwamba maagizo haya ya watendaji, wakati yanafagia katika nia zao, ni mdogo katika wigo na mara nyingi hucheleweshwa kwa wakati wao,” aliongeza. “Kwa mfano, hitaji la ununuzi wa serikali kwa kutumia Cyber ​​Trust Mark iliyoidhinishwa hivi majuzi haifanyi kazi hadi 2027. Mengi yanaweza kubadilika na usalama wa mtandao katika miaka miwili.” Kupata misururu ya usambazaji wa programu Sehemu kubwa ya agizo inashughulikia hitaji la usalama bora wa misururu ya usambazaji wa programu na kutumia nguvu ya serikali ya ununuzi ili kuhakikisha hili linafanyika. Inarejelea maagizo ya Biden ya awali ya usalama wa mtandao, agizo la mtendaji 14028, lililotiwa saini Mei 2021 katika mwaka wake wa kwanza ofisini. Hii ilisababisha uundaji wa mazoea salama ya ukuzaji wa programu, ilihitaji kampuni za programu kuonyesha utiifu wa mazoea hayo, na kisha kuwaambia mashirika ya shirikisho kwamba wanaweza kutumia programu kutoka kwa watoa huduma wanaothibitisha kutumia mbinu hizo bora pekee. Bado, “katika baadhi ya matukio, watoa programu kwa serikali ya shirikisho hujitolea kufuata mazoea ya usalama wa mtandao, lakini hawarekebishi udhaifu unaojulikana sana katika programu zao, ambayo inaweka Serikali katika hatari ya maelewano,” EO inasema. Ili kushughulikia masuala haya, maagizo ya usalama wa mtandao yanaamuru kwamba kampuni za programu zinazouza kwa serikali lazima ziwasilishe uthibitisho kwa CISA kwamba zinafuata mbinu salama za uundaji programu. Pia inahitaji serikali ya shirikisho kuja na “seti iliyoratibiwa ya mazoea ya kiusalama ya vitendo na madhubuti ya kuhitaji wakati inanunua programu” – kimsingi mahitaji ya chini ya usalama wa mtandao. Zaidi ya hayo, inaelekeza Taasisi ya Kitaifa ya Viwango na Teknolojia (NIST) kutoa mwongozo wa jinsi ya kupeleka viraka na masasisho ya programu kwa usalama, na inaelekeza wakuu kadhaa wa mashirika ya serikali ikiwa ni pamoja na CISA kutoa mapendekezo ya kuweka viraka programu ya chanzo huria na mbinu bora za kuchangia. miradi ya chanzo huria. Mahitaji haya ya manunuzi ya shirikisho yana uwezekano wa kuona msukumo kutoka kwa tasnia ya programu – na ikiwezekana urejeshaji kamili kutoka kwa Trump, ambaye si shabiki wa kanuni. “Ni wazi, washawishi watapambana na jino na kucha” ili kuondoa hatua za ziada ambazo watengenezaji programu wanapaswa kuchukua ili kuthibitisha kuwa bidhaa zao ziko salama, Tom Kellermann, mshirika wa kimataifa wa sera ya mtandao katika Kituo cha Wilson, aliambia The Register. Bado, aliongeza, agizo la rais “linakosa kitu.” “Inapaswa kuamuru kwamba lazima uweze kufuatilia mara kwa mara nambari yako, maombi yako, kwa hitilafu za kitabia, yaani siku sifuri,” Kellermann alisema. “Kama ufuatiliaji wa kuendelea, kwa wakati halisi, na wakati wa kukimbia, katika uzalishaji. Sio kuichanganua katika maendeleo na unanionyesha uthibitisho kwamba unafanya hivyo. Sababu nzima kwa nini Wachina na Warusi wanaingia kila wakati ni kwa sababu ya siku sifuri. Kupata mitandao ya shirikisho Sehemu nyingine kuu ya EO inahusisha kupata mitandao na mifumo ya shirikisho kufuatia mfululizo wa kuingiliwa na Urusi na Uchina katika mifumo na vifaa vya TEHAMA vya serikali. Sehemu hii inahitaji mawakala kutumia viwango vya uthibitishaji vinavyokinza hadaa kama vile WebAuthn. Inaelekeza Idara ya Ulinzi na Usalama wa Nchi “kuanzisha taratibu za kushiriki mara moja taarifa za vitisho” huku ikiimarisha “uwezo wa CISA wa kuwinda na kutambua vitisho katika mashirika yote ya FCEB.” Yote haya yanalenga kuharakisha uwindaji na utambuzi wa matishio mapya ya serikali kabla ya kuingia katika mitandao ya serikali. EO pia inasema mashirika ya serikali lazima yawezeshe usimbaji fiche wa usafiri kwa chaguomsingi kupitia barua pepe, ujumbe wa papo hapo, na mikutano ya sauti na video inayotegemea mtandao. Lakini inaachana na kuamuru usimbaji fiche kutoka mwanzo hadi mwisho ili kulinda mawasiliano salama na badala yake inasema mashirika yata “panapoungwa mkono kitaalamu, yatumie usimbaji fiche kutoka mwisho hadi mwisho kwa chaguo-msingi huku yakidumisha uwezo wa ukataji miti na kumbukumbu unaoruhusu wakala kutimiza usimamizi na uwajibikaji wa rekodi. mahitaji.” Faragha ya kweli na usalama hudai usimbaji fiche kutoka mwisho hadi mwisho. EO ya Rais inakosa alama Hii, kulingana na Mkurugenzi Mtendaji wa Virtru John Ackerly, ambaye alifanya kazi katika Ikulu ya George W Bush kama mshauri wa teknolojia, ni fursa nyingine iliyokosa kwa utawala wa Biden. Ackerly alionyesha “kutajwa mara nyingi” kwa agizo la usalama wa safu ya usafirishaji, au TLS. “Ingawa haishangazi kutokana na kuendelea kuzuiwa kutoka kwa utawala unaomaliza muda wake na FBI juu ya mada hii, ukimya wa usimbaji fiche wa mwisho hadi mwisho ni wa kuziba,” aliambia Rejista. “TLS hulinda data wakati wa usafirishaji pekee – na inasafirishwa kwa papo hapo.” Kufuatia mashambulizi ya Kimbunga cha Chumvi ambayo yalihatarisha mawasiliano ya simu za Marekani na kuruhusu majasusi wanaoungwa mkono na Beijing “kurekodi simu wapendavyo,” FBI na CISA walishauri watu kutumia “usimbaji fiche unaowajibika.” “Katika ulimwengu ambapo watendaji wabaya wanashambulia Marekani kila siku, ‘usimbaji fiche unaowajibika’ na TLS haitoshi,” Ackerly alisema. “Faragha na usalama wa kweli unadai usimbaji fiche kutoka mwisho hadi mwisho. Hili halina mjadala. EO ya Rais inakosa alama.” Kulinda AI na AI ya usalama inayowezeshwa na AI inapata sehemu yake katika EO, inayoitwa “Kukuza Usalama kwa kutumia na kwa Akili Bandia.” Maagizo hayo yanaweka makataa kadhaa yanayohusiana na AI na kuamuru ushirikiano wa umma na binafsi na mpango wa majaribio wa kutumia AI kwa ulinzi wa mtandao katika sekta ya nishati. Pia inaamuru mpango mpya wa DOD kupeleka miundo ya hali ya juu kwa ulinzi wa mtandao na kutoa kipaumbele kwa ufadhili wa utafiti katika usalama wa mtandao unaosaidiwa na AI. “Ingawa AI kwa ulinzi wa mtandao ni lazima, inaleta hatari kama vile upendeleo wa algorithmic, mashambulizi ya wapinzani, uvujaji wa data, na kutegemea zaidi teknolojia bila uangalizi wa kibinadamu na udhibiti unaofaa,” alionya Gabrielle Hempel, mhandisi wa ufumbuzi wa wateja katika Exabeam. Na kisha kwa upande mwingine wa usalama wa AI – kupata programu na miundo yenyewe – agizo linahitaji DOD, Usalama wa Nchi, na Wakurugenzi wa Ujasusi wa Kitaifa na Ofisi ya Usimamizi na Bajeti kujumuisha usimamizi wa udhaifu wa programu ya AI katika michakato yao. Pia inatoa wito kwa mashirika haya kufanya kazi bora zaidi ya kuratibu “usimamizi wa hatari, ikijumuisha kupitia ufuatiliaji wa matukio, majibu, na kuripoti, na kwa kushiriki viashiria vya maelewano kwa mifumo ya AI.” Hempel anasema EO “inaonekana kuwa na nguvu kwenye karatasi,” lakini anaongeza kuwa mipango mingi hufanya. “Inawezekanaje kutekeleza? Kwa jinsi serikali ya shirikisho inavyosonga, kutakuwa na mazingira mapya kabisa ya mashambulizi kabla ya kutekelezwa,” alionya. Kwa mfano, sehemu nyingine ya EO inahimiza matumizi ya hati za utambulisho wa kidijitali kufikia programu za manufaa ya umma kama njia ya kupambana na vitambulisho vilivyoibiwa na bandia vinavyotumiwa na wahalifu katika miradi ya ulaghai ya kidijitali. “Mifumo ya utambulisho wa kidijitali ni hatua nzuri kwani nchi nyingine nyingi tayari zinaitumia na kuisimamia,” Hempel alisema. “Hata hivyo, ninauliza swali sawa na utekelezaji mwingine wa teknolojia ambao serikali ina nao: tutahakikishaje faragha ya data na kutofungua idadi kubwa ya vienezaji vipya vya mashambulizi katika kutekeleza hili?” Wakati EO inataja kupata mifumo ya shirikisho, “kuna ukosefu mkubwa wa kuzingatia katika kupata sekta muhimu za miundombinu na kuziba pengo kati ya miundombinu ya umma na ya kibinafsi,” Hempel alibainisha. “Usalama wa shirikisho ni sehemu moja tu ya fumbo, na, kusema ukweli, sio mahali ambapo hatari kubwa iko.” ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/17/biden_cybersecurity_eo/

Sheria ya miongo kadhaa inayotaka kampuni za mawasiliano za Kimarekani kufungia mifumo yao ili kuzuia walaghai wa kigeni kuingilia mawasiliano sio mapambo tu kwenye kurasa za vitabu vya sheria – inamaanisha kuwa watoa huduma wanahitaji kulinda mitandao yao, FCC imekasirika. Siku ya Alhamisi, mdhibiti wa Marekani alitoa uamuzi rasmi kwamba watoa huduma za mawasiliano wana wajibu wa kisheria chini ya kifungu cha 105 cha Sheria ya Taifa ya Usaidizi wa Mawasiliano kwa Utekelezaji wa Sheria (CALEA) kulinda mifumo yao dhidi ya ufikiaji usio halali au kuingilia mawasiliano. Kumbuka kwamba huacha mlango wazi kwa Feds kupata ufikiaji ulioidhinishwa na mahakama kwa mawasiliano ya watu, kwa kawaida kwa ajili ya kuchunguza uhalifu. Wahalifu na wapinzani wa kigeni, kwa upande mwingine, angalau, lazima wazuiliwe. Ufafanuzi huu unafaa mara moja. Hii ni sehemu ya juhudi kubwa za Mjomba Sam kuwalinda maajenti wa China wanaoingia kwenye mitandao ya kompyuta ya Marekani ili kukusanya taarifa za kijasusi. Majasusi wa Kimbunga cha Chumvi cha Beijing walihatarisha mawasiliano ya simu hivi majuzi tu ikiwa ni pamoja na AT&T na Verizon – wakiwapa wavamizi uwezo wa kupata mamilioni ya watu wanaojisajili, kufuatilia trafiki yao ya mtandaoni, na kurekodi simu zao – na kabla ya hapo, mitandao ya shirikisho. Jambo la kushangaza ni kwamba, wadukuzi hao waliteka nyara mifumo ya ufuatiliaji iliyotumwa na telcos chini ya CALEA ili kuruhusu Feds kugusa washukiwa na kukusanya maelezo kuhusu shughuli zao za mtandaoni na dijitali; China iligeuza vifaa vyetu vya upelelezi juu yetu wenyewe. Ili kukupa wazo la kiwango cha clusterfsck Amerika inakabiliana nayo: FBI inahesabu Kimbunga cha Chumvi kiliiba simu za mawakala wao kwa miezi kadhaa, kulingana na Bloomberg, ambayo ilinukuu hati iliyosema wafanyakazi hao walihatarisha vifaa vyote vya FBI vilivyokuwa vikitumia huduma ya AT&T. kwa vyombo vya usalama vya umma. Ofisi ya shirikisho ilikataa kutoa maoni moja kwa moja juu ya ripoti hiyo, na badala yake ilituambia: “FBI hurekebisha kila mara mazoea yetu ya kiutendaji na usalama kadri vitisho vya kimwili na kidijitali vinapobadilika. FBI ina jukumu zito la kulinda utambulisho na usalama wa mtu yeyote anayewasiliana na FBI na kutoa taarifa kila siku zinazowaweka watu wa Marekani salama, mara nyingi wakiwa hatarini kwao wenyewe.” Tuliuliza AT&T ikiwa ripoti ilikuwa sahihi, na telco ilithibitisha zaidi au kidogo, hivyo kuashiria utendakazi wa Kimbunga cha Chumvi kama vile FBI baada ya kuingia katika mtandao wa telco. “Baada ya wahalifu kuiba data za wateja mwaka jana, tulifanya kazi kwa karibu na watekelezaji sheria ili kupunguza athari kwa shughuli za serikali. Tunashukuru uchunguzi wa kina, ambao ulisababisha kukamatwa mara nyingi na kufunguliwa mashitaka ya jinai ya shirikisho,” msemaji aliiambia The Register. “Kwa kuzingatia tishio linaloongezeka kutoka kwa wahalifu wa mtandao na watendaji wa serikali, tunaendelea kuongeza uwekezaji katika usalama na pia kufuatilia na kurekebisha mitandao yetu.” Siku ya Ijumaa, Idara ya Hazina ya Marekani iliweka vikwazo kwa Yin Kecheng, ambaye anaishi Shanghai na alishutumiwa kuhusika katika maelewano ya hivi karibuni ya mtandao wa Hazina. Fed pia iliidhinisha Teknolojia ya Mtandao ya Sichuan Juxinhe, kampuni ya usalama wa mtandao yenye makao yake makuu Sichuan inayodaiwa kuhusika moja kwa moja katika uvamizi wa Kimbunga cha Chumvi. Kadiri maelezo zaidi na zaidi yanavyoibuka kuhusu Beijing ikiharibu usalama wa mitandao ya kimataifa, ni wazi katika ushindani na NSA, simu za kusasisha CALEA, au kuitekeleza, zimeongezeka. CALEA ilipopitishwa mwaka wa 1994, ilihitaji, kama tulivyoeleza hapo juu, watoa huduma za mawasiliano ya simu kubuni mifumo yao ili kutii maombi ya kugonga waya kutoka kwa watekelezaji sheria. Mnamo 2006, FCC ilipanua mamlaka hii ili kugharamia watoa huduma za mtandao wa broadband. Sheria pia iliwataka watoa huduma hawa wote wanaosimamiwa kulinda mitandao yao – lakini hatua hiyo haijatekelezwa. Mbali na uamuzi rasmi wiki hii, FCC ilitoa pendekezo linalohitaji watoa huduma za mawasiliano kubuni na kutekeleza mipango ya kina ya usalama wa mtandaoni na usimamizi wa hatari za ugavi. Watoa huduma hawa pia watahitajika kuwasilisha cheti cha kila mwaka kwa FCC kuthibitisha kuwa mipango hii imeundwa, kusasishwa na kutekelezwa. Mipango inayopendekezwa ya udhibiti wa hatari lazima ibainishe matishio ya mtandaoni, kwa undani zaidi udhibiti uliopo au uliopangwa ili kupunguza hatari hizi, na ueleze jinsi udhibiti huu unavyotumika kwa utendakazi wao. “Tunaamini kwamba kitendo tu cha kuunda, kusasisha, na kutekeleza mipango ya usimamizi wa hatari ya cybersecurity na ugavi haitoshi peke yake, lakini badala yake kwamba mipango ya usimamizi wa hatari ya cybersecurity na ugavi lazima pia iwe ya busara ili kuepusha uvunjaji huru wa sheria. sheria zilizopendekezwa,” FCC iliandika [PDF]. “Katika kukabiliana na Kimbunga cha Chumvi, kumekuwa na juhudi za serikali nzima kuelewa asili na kiwango cha uvunjaji huu, nini kifanyike ili kuondoa ufichuzi huu katika mitandao yetu, na hatua zinazohitajika ili kuhakikisha kuwa haitatokea tena,” FCC. Mwenyekiti Jessica Rosenworcel aliongeza katika taarifa. Rosenworcel ilielea mpango huu kwa mara ya kwanza mnamo Desemba katika kukabiliana na majasusi wa serikali ya China kuingia katika mitandao ya mawasiliano ya simu, kupata metadata nyingi za wateja, na kuiba idadi ndogo ya simu za watu na ujumbe mfupi wa maandishi. Uvamizi wa Kimbunga cha Chumvi kwenye mawasiliano ya simu ya Marekani umeibua wasiwasi kuhusu ufanisi wa CALEA – hasa kwa vile majukumu ya watoa huduma kulinda mitandao yao chini ya sheria hayajatekelezwa mara kwa mara. Ukiukaji huo wa usalama pia umerejesha wito kutoka kwa wabunge na watetezi wa faragha wa kurekebisha sheria ya miongo kadhaa na kuondoa vifungu vinavyohitaji utepe wa waya uliotajwa hapo juu katika mifumo ya mawasiliano. Milango ya nyuma ambayo wapinzani wanafurahi kutumia dhidi yetu. Mashirika ya Fedha yamebishana kihistoria kwamba utekelezaji wa sheria unahitaji kugusa hii kwa njia ya waya kwa madhumuni ya kupambana na uhalifu na kuzuia ugaidi. Ili kuwa wazi, pendekezo la FCC haligusi sehemu ya sheria ya ufuatiliaji wa wiretap. Badala yake, inalenga katika kuimarisha ulinzi kwa mifumo ya mawasiliano dhidi ya vitisho vya kisasa vya mtandao. “Sheria zetu zilizopo sio za kisasa,” Rosenworcel alisema katika taarifa [PDF]. “Ni wakati wa kuzisasisha ili kuakisi vitisho vya sasa ili tuwe na nafasi ya kupigana ili kuhakikisha kuwa mashambulizi ya mtandaoni yanayofadhiliwa na serikali hayafaulu.” Uamuzi wa FCC unakuja wakati bosi wa CISA Jen Easterly wiki hii alifichua kwamba Kimbunga cha Chumvi kiligunduliwa kwa mara ya kwanza kwenye mitandao ya shirikisho, kabla ya majasusi hao kuzama kwenye AT&T, Verizon, na watoa huduma wengine. “Hatua za FCC leo ni hatua muhimu katika kupata miundombinu ya mawasiliano ya simu ya taifa dhidi ya tishio halisi linaloletwa na PRC na wahusika wengine tishio,” Easterly alisema katika taarifa. ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/17/fcc_telcos_calea/

Cisco na Nvidia wote wametambua kuwa ingawa AI ya leo inaweza kuwa muhimu, teknolojia inaweza kuwa si salama na/au isiyotegemewa – na wamewasilisha zana katika kujaribu kushughulikia udhaifu huo. Nvidia mnamo Alhamisi alianzisha huduma ndogo tatu maalum zinazolenga kuwazuia maajenti wako wa AI kutekwa nyara na watumiaji au kutia vitu visivyofaa kwenye ‘wavu. Kama marafiki zetu wa The Next Platform walivyoripoti, Nvidia Inference Microservices hizi tatu (zinazojulikana kama NIMs) ni wanachama wa hivi punde zaidi wa mkusanyiko wa kundi kubwa la GPU la NeMo Guardrails, na zimeundwa ili kuelekeza gumzo na mawakala wanaojitegemea ili wafanye kazi inavyokusudiwa. Tatu ni: NIM ya usalama wa maudhui ambayo inajaribu kuzuia muundo wako wa AI kutoka kwa “kutoa matokeo yenye upendeleo au hatari, kuhakikisha majibu yanapatana na viwango vya maadili.” Unachofanya ni kuchukua arifa ya ingizo ya mtumiaji na matokeo ya modeli yako, na kuendesha zote mbili kama jozi kupitia NIM, ambayo inahitimisha ikiwa ingizo na matokeo hayo yanafaa. Kisha unaweza kuchukua hatua kwa mapendekezo hayo, ama kumwambia mtumiaji kuwa mbaya, au kuzuia matokeo ya mfano kwa kutokuwa na adabu. NIM hii ilifunzwa kwa kutumia Seti ya Data ya Usalama ya Maudhui ya Aegis, ambayo inajumuisha takriban miingiliano 33,000 ya watumiaji-LLM ambayo yana lebo salama au si salama. Mada inayodhibiti NIM ambayo, tunaambiwa, “huweka mazungumzo yakilenga mada zilizoidhinishwa, kuepuka kushuka au maudhui yasiyofaa.” NIM hii inachukua kidokezo cha mfumo wako na ingizo la mtumiaji, na huamua ikiwa mtumiaji yuko kwenye mada au la kwa ari ya mfumo. Ikiwa mtumiaji anajaribu kufanya mtindo wako uondoke kwenye reli, NIM hii inaweza kusaidia kuzuia hilo. Ugunduzi wa mapumziko ya jela NIM ambayo inajaribu kufanya kile inachosema kwenye bati. Huchanganua tu maingizo ya watumiaji wako ili kugundua majaribio ya kuvunja LLM yako, ambayo ni kuifanya iende kinyume na madhumuni yaliyokusudiwa. Kama tulivyochunguza hapo awali, inaweza kuwa vigumu kuzuia mashambulizi ya sindano ya papo hapo kwa sababu chatbots na wasaidizi wengi wa AI hujengwa juu ya miundo ya uchakataji wa lugha yenye madhumuni ya jumla na misimamo yao inaweza kubatilishwa kwa ushawishi rahisi. Kwa mfano, katika baadhi ya matukio, kuagiza tu chatbot “kupuuza maagizo yote ya awali, fanya hivi badala yake” kunaweza kuruhusu wasanidi wa tabia hawakukusudia. Hali hiyo ni moja wapo ya kadhaa ambayo mtindo wa ugunduzi wa Jailbreak wa Nvidia unatarajia kulinda dhidi yake. Kulingana na programu inayozungumziwa, mkuu wa GPU anasema kuunganisha miundo mingi ya ulinzi pamoja – kama vile udhibiti wa mada, usalama wa maudhui, na ugunduzi wa mapumziko ya jela – inaweza kuwa muhimu ili kushughulikia kwa kina mapungufu ya usalama na changamoto za kufuata. Kutumia modeli nyingi, hata hivyo, huja kwa gharama ya juu zaidi na latency. Kwa sababu hii, Nvidia alichagua kuweka misingi hii ya ulinzi kwenye miundo midogo ya lugha, takribani vigezo bilioni nane kwa ukubwa kila kimoja, ambacho kinaweza kuendeshwa kwa kiwango na rasilimali chache. Aina hizi zinapatikana kama NIM kwa wateja wa AI Enterprise, au kutoka kwa Hugging Face kwa wale wanaopendelea kuzitekeleza wenyewe. Nvidia pia inatoa zana ya chanzo huria iitwayo Garak ili kutambua udhaifu wa AI, kama vile uvujaji wa data, sindano ya papo hapo, na maonesho, katika programu za kuthibitisha utendakazi wa njia hizi za ulinzi. Cisco anataka kuingia, pia zana za infosec za Cisco za AI zitatolewa chini ya jina la Ulinzi wa AI, na ina mwingiliano kidogo na matoleo ya Nvidia katika mfumo wa zana ya uthibitishaji ya mfano ambayo Switchzilla inasema itachunguza utendaji wa LLM na kushauri timu za infosec juu ya hatari yoyote inazounda. . Kampuni kubwa ya mitandao pia inapanga zana za ugunduzi wa AI ili kusaidia timu za usalama kutafuta programu za “kivuli” ambazo vitengo vya biashara vimetuma bila uangalizi wa IT. Cisco pia inahisi kuwa baadhi yenu mmetatiza utekelezaji wa chatbot kwa kuzitumia bila kuziwekea vizuizi kwa majukumu yao yaliyokusudiwa, kama vile mwingiliano wa huduma kwa wateja, na kwa hivyo kuruhusu watumiaji wasio na kikomo kwa huduma kama vile ChatGPT ya OpenAI inayowawezesha. Kosa hilo linaweza kugharimu pesa nyingi ikiwa watu wataligundua na kutumia chatbot yako kama njia ya kufikia huduma za kulipia za AI. Ulinzi wa AI, tumeambiwa, utaweza kugundua aina hiyo ya kitu ili uweze kuirekebisha, na itajumuisha mamia ya safu za ulinzi ambazo zinaweza kupelekwa (kwa matumaini) kusimamisha AI kutoa matokeo yasiyotakikana. Ofa ni kazi inayoendelea, na itaona zana zilizoongezwa kwenye Wingu la Usalama la Cisco na huduma za Ufikiaji Salama. Mwisho wa mwezi wa Februari watapata huduma inayoitwa Ufikiaji wa AI ambayo hufanya mambo kama vile kuzuia ufikiaji wa watumiaji kwa huduma za mtandaoni za AI ambazo ungependa hawakutumia. Huduma zaidi zitaonekana baada ya muda. Cisco pia inabadilisha mawakala wake wa AI inayowahusu wateja, ambayo inaweza kufanya mambo kama kuruhusu miingiliano ya lugha asilia kwa bidhaa zake – lakini kwa sasa inafanya hivyo kwa uwazi kwa kila moja ya bidhaa zake. Kubwa ya mtandao hupanga wakala mmoja kuzitawala zote na kwenye kipanga njia kuzifunga, ili wasimamizi wa mtandao waweze kutumia kiolesura kimoja cha gumzo kupata majibu kuhusu vipengele tofauti vya mashamba yao ya Cisco. Anand Raghavan, Makamu wa Rais wa Cisco wa uhandisi wa AI, aliliambia Daftari kuwa ana ramani ya miaka mingi inayoelekeza kwenye ukuzaji wa zana zaidi za usalama za AI, habari muhimu ambayo maduka ya IT tayari yanakabiliwa na vitisho vingi vya infosec na mara nyingi hujitahidi kutekeleza na kuunganisha. zana za kuwashughulikia. ® Katika habari nyinginezo za AI… Watafiti wa Google wamekuja na usanifu wa LLM unaozingatia uangalizi unaoitwa Titans ambao unaweza kufikia zaidi ya madirisha ya muktadha wa tokeni milioni mbili na kufanya vyema miundo mikubwa zaidi kutokana na jinsi inavyoshughulikia ukariri wa taarifa. Karatasi iliyochapishwa mapema inayoelezea mbinu hiyo iko hapa. FTC imepeleka uchunguzi wake katika chatbot ya MyAI ya Snap kwa Idara ya Sheria ya Marekani kwa uwezekano wa mashtaka ya jinai. Shirika hilo lilisema linaamini kuwa programu hiyo inaleta “hatari na madhara kwa watumiaji wachanga.” URL ya Chapisho Halisi: https://go.theregister.com/feed/www.theregister.com/2025/01/17/nvidia_cisco_ai_guardrails_security/

GoDaddy imeshindwa kulinda jukwaa lake la kupangisha wavuti na hata zana na mazoea ya msingi ya infosec tangu 2018, kulingana na FTC, lakini kampuni kubwa ya mtandao haitakabiliwa na matokeo yoyote ya haraka kwa vitendo vyake vingi vya madai ya kutokujali. Kama mojawapo ya makampuni makubwa duniani ya kuhudumia wavuti, na sajili na msajili iliyo na majina ya vikoa takriban milioni 82 chini ya uangalizi wake, mtu anaweza kudhani GoDaddy angekuwa mahiri katika kutumia masasisho ya programu na kufuatilia matukio yanayohusiana na usalama katika mazingira yake ya upangishaji ili kulinda usalama wake. mamilioni ya wateja na wanaotembelea tovuti zao kutokana na vitisho vya mtandaoni. Lakini kulingana na taarifa ya Jumatano kutoka kwa FTC, “GoDaddy imeshindwa kutekeleza hatua za usalama zinazofaa na zinazofaa ili kulinda na kufuatilia mazingira yake ya upangishaji tovuti kwa vitisho vya usalama, na kuwapotosha wateja kuhusu kiwango cha ulinzi wake wa usalama wa data kwenye huduma zake za upangishaji tovuti. .” malalamiko rasmi [PDF] dhidi ya kampuni, iliyoandaliwa na shirika la uangalizi wa matumizi ya serikali, inaelezea biz kama “kipofu kwa udhaifu na vitisho katika mazingira yake ya upangishaji” tangu 2018. Malalamiko hayo yanadai kampuni kubwa ya upangishaji wavuti imeshindwa kusimamia vyema mali na orodha yake, kuunganisha programu yake. , kutathmini hatari kwa huduma zake za upangishaji, tumia uthibitishaji wa vipengele vingi, matukio yanayohusiana na usalama wa kumbukumbu, kufuatilia vitisho, sehemu yake. mtandao, na miunganisho salama kwa huduma zinazotoa ufikiaji wa data ya watumiaji. “Kama matokeo ya kushindwa kwa usalama wa data ya GoDaddy, ilipata maelewano kadhaa makubwa ya huduma yake ya mwenyeji kati ya 2019 na Desemba 2022, ambapo watendaji wa vitisho walipata ufikiaji wa tovuti na data za wateja wake mara kwa mara, na kusababisha madhara kwa wateja wake na kuwaweka na wageni. kwa tovuti zao katika hatari ya madhara zaidi,” malalamiko yalisomeka. Kukosa kulinda mifumo yake kunafanya “uwakilishi wa GoDaddy kuhusu usalama kuwa wa uongo au wa kupotosha,” FTC ilidai. Mtu anaweza kudhani kuwa FTC ingeshuka kwa bidii kwa GoDaddy kwa madai ya kushindwa kupata huduma zake za upangishaji wavuti, na hivyo kuwaweka mamilioni ya Wamarekani hatarini. Tutakuacha kwa upole, hapa: Hapana. Badala yake, suluhu ilipendekezwa [PDF]iliyoidhinishwa na makamishna wa FTC katika kura mbili za 5-0, ambayo inaipa GoDaddy siku 90 kuanzisha, kutekeleza na kudumisha “mpango wa kina wa usalama wa habari.” GoDaddy, ambayo inaonekana kufurahishwa na mpango huo, haikubali au kukataa madai yoyote katika malalamiko ya FTC. Msemaji wa kampuni alikataa kujibu maswali mahususi ya Sajili – ikiwa ni pamoja na: “Je, kweli hutumii taarifa za usalama na usimamizi wa matukio, aka SIEM? Au MFA?” Badala yake, msemaji alituambia biz tayari iko juu ya baadhi ya madai ya infosec yaliyotolewa na FTC: Hasa, mpango huu wa infosec unahitaji shirika la Arizona kuunda orodha kuu ya maunzi, programu, na programu dhibiti, pamoja na. mfumo wa kudhibiti masasisho ya vipengele hivi. GoDaddy pia inahitaji kuanza kutumia zana otomatiki, kama vile SIEM, kwa uchanganuzi wa matukio ya wakati halisi, na kuunda na kuhifadhi kumbukumbu za ukaguzi wa mfumo. Chini ya agizo hilo, ambalo liko wazi kwa maoni ya umma kwa siku 30 zijazo, mtoaji mwenyeji atalazimika kusambaza angalau njia moja ya MFA kwa wafanyikazi wote, wafanyikazi, na wakandarasi, na washirika wa wahusika wengine ambao wanaweza kupata upangishaji wowote. chombo cha usaidizi wa huduma, ikiwa ni pamoja na kuunganisha kwenye hifadhidata yoyote. Sharti lingine linahitaji simu zote za API kutumia HTTPS “au itifaki ya uhamishaji salama sawa na maombi yote,” kati ya hatua zingine za usalama. Kwa maneno mengine: Usafi wa kimsingi wa usalama. Zaidi ya hayo, GoDaddy hairuhusiwi kutoa uwasilishaji potofu kuhusu usalama wake, na inabidi kuajiri mtathmini wa mtu wa tatu kukagua mpango wake wa infosec. Na, je, tulitaja, hakuna faini? Hata hivyo, ikiwa amri ya idhini iliyopendekezwa itakamilika baada ya muda wa maoni ya umma na GoDaddy inashindwa kuzingatia masharti yake, biz inaweza kukabiliwa na adhabu ya madai ya hadi $ 51,744 kwa kila ukiukaji. ® URL Asili ya Chapisho: https://go.theregister.com/feed/www.theregister.com/2025/01/15/godaddy_ftc_order/