ابق على اطلاع بالتحديثات المجانية
فقط قم بالتسجيل في قطاع التكنولوجيا ملخص myFT – يتم تسليمه مباشرة إلى صندوق الوارد الخاص بك.
الكاتب أستاذ في جامعة تافتس ومؤلف كتاب ““سياسة التأمين السيبراني”
من المسؤول عن انقطاع برنامج CrowdStrike الذي تسبب في تعطل ملايين أجهزة الكمبيوتر في مختلف القطاعات الصناعية في مختلف أنحاء العالم الأسبوع الماضي؟ كما هي الحال غالبًا مع حوادث الأمن السيبراني، هناك الكثير من اللوم الذي يمكن أن يقع على عاتق الجميع. فشلت CrowdStrike في فحص ملف القناة الذي أرسلته إلى عملائها بشكل صحيح، مما أدى إلى تعطل أجهزة الكمبيوتر التي تعمل بنظام Windows، ويبدو أيضًا أنها طرحت هذا الملف للجميع دفعة واحدة، بدلاً من البدء بعدد صغير من العملاء لتحديد أي مشاكل قبل إصدار التحديث على نطاق واسع.
وفي الوقت نفسه، سمحت مايكروسوفت لشركة CrowdStrike وغيرها من المطورين من جهات خارجية بالوصول إلى مستوى النواة لنظام التشغيل Windows الخاص بها. تتمتع نواة نظام التشغيل بالتحكم في الكمبيوتر بالكامل. وبدون هذا المستوى من الوصول، ربما لم يكن لتحديث CrowdStrike أن يحدث نفس التأثير. ومن المؤكد أنه كان من الأسهل إصلاحه دون إعادة تشغيل جميع الأنظمة المتأثرة يدويًا.
إن منح شركات البرمجيات هذا النوع من الوصول إلى نظام التشغيل أمر خطير – فهذا يعني أنك قد تفقد السيطرة على جهاز الكمبيوتر الخاص بك بسرعة إذا ارتكب أي من موفري البرامج الذين تعتمد عليهم خطأً أو تعرضوا للخطر. ولهذا السبب بدأت شركة Apple في إبلاغ مطوري الطرف الثالث في عام 2020 بأنها لن تمنحهم بعد الآن حق الوصول على مستوى النواة إلى نظام التشغيل MacOS (وربما يكون هذا هو السبب أيضًا وراء عدم تأثير مشكلة CrowdStrike على أجهزة Apple).
ولكن الخطأ لا يقع كله على عاتق مايكروسوفت. فقد أبرمت الشركة اتفاقية مع المفوضية الأوروبية في عام 2009 تلزمها بمنح المطورين الخارجيين نفس القدرة على الوصول إلى نظام التشغيل ويندوز التي يتمتع بها برنامجها الأمني الخاص. وكانت الفكرة تتلخص في تمكين شركات البرمجيات الأخرى من التنافس مع مايكروسوفت من خلال ضمان توافق العديد من منتجاتها وخدماتها مع برامج وأدوات خارجية. وهذا هدف جدير بالاهتمام، والعديد من الأحكام الواردة في الاتفاقية معقولة تماماً، مثل اشتراط دعم برنامج أوت لوك لتنسيقات الأحداث والمواعيد التقويمية المشتركة.
ولكن الاتفاق الذي تم التوصل إليه في عام 2009 كان معيباً إلى حد كبير، حيث طالب مايكروسوفت بإتاحة كافة واجهات برمجة التطبيقات، أو وظائف البرمجة، التي تستخدمها منتجاتها البرمجية الأمنية الخاصة، لمصنعي منتجات برمجية أمنية تابعة لجهات خارجية. وهذا هو البند الذي يلزم مايكروسوفت بمنح شركات مثل كراود سترايك إمكانية الوصول إلى مستوى النواة. وإلى أن يتم تغيير هذا البند، فليس من الواضح ما إذا كانت مايكروسوفت قادرة على تنفيذ الدرس الرئيسي من هذه الكارثة والبدء في التخلص التدريجي من إمكانية الوصول، كما فعلت أبل قبل أربع سنوات.
وبعيداً عن تغيير اتفاقيتها مع مايكروسوفت، يتعين على المفوضية ــ مثلها كمثل الهيئات التنظيمية الأخرى ــ أن تفكر في المخاطر المترتبة على التضحية بالأمن باسم المنافسة. فقد حذرت شركات التكنولوجيا منذ فترة طويلة من أن فتح قدر كبير للغاية من أنظمتها البيئية أمام المطورين الخارجيين قد يأتي على حساب الأمن. وفي بعض الأحيان يتم رفض هذه المخاوف باعتبارها ذريعة للسلوك المناهض للمنافسة، ولكن هناك بعض التنازلات المشروعة بين الأمن والمنافسة.
قالت المفوضية الأوروبية الشهر الماضي إن شركة أبل، من أجل الامتثال لقانون الأسواق الرقمية بالاتحاد الأوروبي، يجب أن تجعل من السهل الوصول إلى البرامج المتوفرة خارج متجر التطبيقات الرسمي الخاص بها وتنزيلها. وهذا من شأنه أن يفتح المجال أمام المزيد من المنافسة للتطبيقات، ولكن هذا قد يعني أن المستخدمين سوف يقومون بتنزيل برامج غير آمنة لم يتم فحصها من قبل شركة أبل.
إن تشجيع المنافسة بهذه الطريقة يتطلب بالتأكيد إغلاق أنظمة التشغيل قدر الإمكان، لأننا قد ننتهي إلى تنزيل برامج من العديد من المطورين غير المعروفين وغير الموثوق بهم. ولهذا السبب قدمت شركة أبل تدابير أمنية جديدة لنظام التشغيل المحمول الخاص بها في يناير/كانون الثاني للحد من الأضرار المحتملة الناجمة عن الكود غير المدقق الذي تم تنزيله على أجهزة آيفون. ولهذا السبب يتعين على الجهات التنظيمية أن تفكر بعناية في مستوى الوصول الذي تصر شركات التكنولوجيا على منحه للمنافسين والمطورين من جهات خارجية.
ربما نكون على استعداد للتضحية ببعض الأمن في سبيل المزيد من المنافسة، ولكن لا ينبغي لنا أبدًا، تحت أي ظرف من الظروف، التضحية بنواة أجهزة الكمبيوتر الخاصة بنا.
