ओपनकोड ने क्या कहा
एसएसटी के पीछे की टीम द्वारा बनाया गया ओपन सोर्स टर्मिनल कोडिंग एजेंट ओपनकोड ने 17 अक्टूबर को एक्स पर एक पोस्ट में एक सेंध की जानकारी दी। यह बयान चार वाक्यों का है और अब तक कंपनी का एकमात्र सार्वजनिक विवरण है।
«कल रात हमारे यहाँ एक सुरक्षा सेंध हुई जो एक बड़े पैमाने के डिस्टिलेशन हमले से जुड़ी थी और जिसने ओपनकोड कंसोल के 1.4 प्रतिशत उपयोगकर्ताओं को प्रभावित किया», उसमें लिखा है। «हमने आज सुबह ई-मेल से उन सभी को सूचित कर दिया है। यदि आपको ई-मेल नहीं मिला तो आप प्रभावित नहीं हुए; यह उन उपयोगकर्ताओं का एक हिस्सा था जिन्होंने बाहरी प्रदाता जोड़े हुए थे। घटना अभी जारी है इसलिए हम इस समय अधिक विवरण साझा नहीं कर सकते, पर हम सुधार के लिए एंथ्रोपिक, ओपनएआई और गूगल के साथ काम कर रहे हैं।»
वह आखिरी वाक्य समस्या का स्वरूप बताता है। ओपनकोड कंसोल उपयोगकर्ता को मॉडल प्रदाताओं पर अपने खाते जोड़ने देता है, जिसका अर्थ है कि मंच ऐसे क्रेडेंशियल रखता है जो किसी और की सेवा के हैं। यह सेंध ओपनकोड के मॉडल की नहीं है; यह उन कुंजियों की है जिन्हें उसके उपयोगकर्ताओं ने दूसरों के मॉडलों की ओर निर्देशित किया था।
«डिस्टिलेशन हमला» सही नाम क्यों है
यह पदबंध बताता है कि चुराई गई प्रदाता कुंजी का मूल्य क्या है। यह मुख्य रूप से डेटा तक पहुँचने का रास्ता नहीं है — यह किसी और के खाते से किसी अग्रणी मॉडल को बहुत बड़ी मात्रा में प्रश्न भेजने की क्षमता है, और किसी व्यावसायिक मॉडल के विरुद्ध डिस्टिलेशन का भुगतान इसी तरह होता है। पीड़ित को पहला संकेत बिल से मिलता है।
उसी दिन प्रकाशित एक विश्लेषण में सुरक्षा कंपनी साइरा ने कहा कि ओपनकोड के सूचना ई-मेल ने इस घुसपैठ का कारण एक पुरानी कंसोल प्रणाली को बताया जिसे कंपनी हटा रही थी, और यह कि उजागर हुए क्रेडेंशियल प्रभावित कंसोल कार्यस्थलों में जुड़ी प्रदाता कुंजियाँ थीं। साइरा के सुधार संबंधी निर्देश ओपनकोड द्वारा बताए गए तीन प्रदाताओं के साथ ओपनराउटर का भी नाम लेते हैं।
जो नहीं बताया गया
इस घोषणा में चार बातें गायब हैं, और वे सभी उस व्यक्ति के लिए मायने रखती हैं जो अपना जोखिम आँकना चाहता है।
पहली, हर। कंसोल उपयोगकर्ताओं का 1.4 प्रतिशत एक अनुपात है, गिनती नहीं, और ओपनकोड ने कुल संख्या प्रकाशित नहीं की। दूसरी, प्रवेश बिंदु: कंपनी ने बताया है कि कौन सी प्रणाली शामिल थी, पर यह नहीं कि हमलावर वहाँ कैसे पहुँचा, या कुंजियाँ वहाँ किस रूप में रखी थीं। तीसरी, क्या किसी उजागर कुंजी का वास्तव में उपयोग हुआ — ओपनकोड ने दुरुपयोग की पुष्टि नहीं की, और घटना को जारी बताया गया। चौथी, जिम्मेदारी: किसी ने सार्वजनिक रूप से यह नहीं बताया कि यह किसने किया।
प्रभावित उपयोगकर्ताओं से क्या कहा गया
सलाह क्रेडेंशियल बदलने की सामान्य प्रक्रिया है, पर इस प्रकार की घटना के लिए एक विशेष बात के साथ। प्रभावित कार्यस्थल में जुड़ी हर प्रदाता कुंजी को रद्द करके नई जारी करें, और यह हर प्रदाता के अपने पैनल से करें, ओपनकोड से या ई-मेल के किसी लिंक से नहीं। उन कुंजियों का उपयोग करने वाले उपकरणों और प्रक्रियाओं को अद्यतन करें और पुष्टि करें कि पुरानी कुंजियाँ निष्क्रिय हैं। ओपनकोड खाते का पासवर्ड बदलें और ओपनकोड कंसोल की कोई भी एपीआई कुंजी फिर से बनाएँ।
विशेष बात बिल की जाँच है। साइरा की सलाह है कि 16 अक्टूबर से आगे प्रदाता के उपयोग और बिल की जाँच करें और उछाल, अपरिचित मॉडल या अजीब समय की गतिविधि देखें — क्योंकि डिस्टिलेशन हमले में नुकसान खपत के रूप में दिखता है, किसी गायब रिकॉर्ड के रूप में नहीं। खर्च की कड़ी सीमाएँ तय करना और कुंजियों को परियोजना के हिसाब से सीमित करना वे नियंत्रण हैं जो इसे बाँधते हैं।
स्थानीय ओपनकोड ऐप्लिकेशन से सीधे उपयोग की जाने वाली कुंजियाँ उपयोगकर्ता की अपनी मशीन पर रखी जाती हैं, कंसोल में नहीं, जिससे वे इस घटना के दायरे से बाहर रहती हैं।
आगे क्या देखना है
ओपनकोड ने घटना बंद होने पर अधिक विवरण देने का वादा किया है। उस रिपोर्ट के उपयोगी हिस्से वही दो हैं जिन्हें उसने रोका है: पहुँच का रास्ता, और क्या कुंजियों का उपयोग हुआ। दूसरा प्रश्न ही बाकी उद्योग को बताएगा कि प्रदाता क्रेडेंशियल रखने वाला कोई डेवलपर उपकरण बड़े पैमाने पर हमला करने लायक आसान लक्ष्य है, या यह केवल अवसरवादी था।
