در تحولی مهم، سناتور ران وایدن از اورگان رسماً از کمیسیون تجارت فدرال (FTC) درخواست کرده است تا تحقیقی را در مورد مایکروسافت آغاز کند و این غول فناوری را به «سهلانگاری فاحش در امنیت سایبری» متهم کرده است. این سناتور معتقد است که تنظیمات پیشفرض این شرکت در ویندوز و سایر محصولات، آسیبپذیریهایی ایجاد میکند که مستقیماً به حملات ویرانگر باجافزاری به زیرساختهای حیاتی آمریکا منجر میشود. 🏛️
کاتالیزور این فراخوان برای اقدام، حمله بزرگ باجافزاری سال ۲۰۲۴ به سیستم بیمارستانی Ascension است. این حادثه که کارمندان وایدن با صحبت با پرسنل Ascension و مایکروسافت آن را بررسی کردند، به عنوان «نمونهای کامل» از عواقب دنیای واقعی سیاستهای امنیتی مایکروسافت برجسته شده است. این حمله منجر به سرقت اطلاعات حساس شخصی، سوابق پزشکی، جزئیات پرداخت و حتی شناسنامههای دولتی بیش از ۵.۶ میلیون بیمار شد. 🏥
حمله چگونه رخ داد؟
بر اساس تحقیقات، نفوذ زمانی آغاز شد که یک پیمانکار در حال کار بر روی لپتاپ Ascension، هنگام استفاده از مرورگر پیشفرض مایکروسافت، Edge، و موتور جستجوی آن، Bing، روی یک لینک فیشینگ کلیک کرد. این یک کلیک به بدافزار اجازه داد تا لپتاپ را آلوده کرده و متعاقباً در سراسر شبکه Ascension پخش شود. سپس هکرها از یک محصول مایکروسافت به نام Active Directory برای به دست آوردن کنترل مدیریتی بر سیستم سوءاستفاده کردند و آنها را قادر ساختند تا باجافزار را در هزاران کامپیوتر در سراسر سازمان مستقر کنند.
نقص فنی: یک استاندارد رمزنگاری منسوخ
سناتور وایدن در نامه خود به FTC به یک تکنیک هک خاص به نام «Kerberoasting» اشاره کرد. این روش از یک ضعف حیاتی در سیستم مایکروسافت بهرهبرداری میکند: پشتیبانی پیشفرض مداوم آن از یک فناوری رمزنگاری منسوخ از دهه ۱۹۸۰ به نام RC4. برای بیش از یک دهه، کارشناسان امنیت سایبری – از جمله برخی در خود مایکروسافت – هشدار دادهاند که RC4 به طور خطرناکی ناامن است. 🔐
علیرغم این هشدارها و در دسترس بودن جایگزینهای مدرن و امن مانند استاندارد رمزنگاری پیشرفته (AES)، مایکروسافت RC4 را به طور پیشفرض فعال نگه داشته است. وایدن استدلال میکند که این تصمیم، «مشتریان خود را بیهوده در معرض باجافزار و سایر تهدیدات سایبری قرار میدهد.» آژانسهای دولتی مانند CISA، FBI و NSA بارها هشدارهایی در مورد دشمنان خارجی مانند ایران صادر کردهاند که به طور فعال از همین آسیبپذیری برای هدف قرار دادن شرکتهای آمریکایی سوءاستفاده میکنند.
دفاع مایکروسافت و مسیر پیش رو
در پاسخ، سخنگوی مایکروسافت اظهار داشت که RC4 یک استاندارد قدیمی است که آنها استفاده از آن را توصیه نمیکنند و کمتر از ۰.۱٪ از ترافیک آنها را تشکیل میدهد. با این حال، آنها ادعا میکنند که غیرفعال کردن کامل آن «بسیاری از سیستمهای مشتریان را از کار میاندازد.» این شرکت به کاهش تدریجی استفاده از آن متعهد شده و قصد دارد RC4 را به طور پیشفرض در نصبهای جدید Active Directory از سهماهه اول سال ۲۰۲۶ غیرفعال کند. غیرفعالسازی گستردهتر در «نقشه راه» آنها قرار دارد اما بدون جدول زمانی مشخص.
وایدن همچنان قانع نشده و تأکید میکند که بار امنیت باید بر دوش شرکت چند تریلیون دلاری باشد، نه مشتریانش. او اشاره میکند که در حالی که سازمانها میتوانند این تنظیمات پیشفرض را تغییر دهند، اکثر آنها این کار را نمیکنند. مایکروسافت با انتخاب پیشفرضهای ناامن، عملاً برای میلیونها کاربر تصمیمگیری میکند و بخشهای حیاتی مانند مراقبتهای بهداشتی را آسیبپذیر میسازد.
این وضعیت سوالات مهمی را در مورد مسئولیت شرکتها در عصر دیجیتال مطرح میکند. آیا غولهای فناوری باید در قبال امنیت تنظیمات پیشفرض خود پاسخگو باشند، به ویژه زمانی که این تنظیمات از خدمات ضروری محافظت میکنند؟ تصمیم FTC در مورد تحقیق یا عدم تحقیق، لحظهای تعیینکننده در این بحث مداوم خواهد بود.
منبع برای یادگیری بیشتر: cyberscoop.com