Článek
Na sociálních sítích vám lidé děkují za bezpečnostní opravy starších verzí PHP. Co přesně jste udělal a komu tím pomohl?
Dlouhodobě poskytuji lidem jednodušší způsob, jak PHP nainstalovat. Zajišťuji přitom podporu i pro starší verze, které už původní vývojáři nepodporují. Opravy určené pro novější verze vezmu a přizpůsobím je těm starším.
Máte představu, kolik webů nebo serverů vaše balíčky používá?
Nerad bych jmenoval, ale používají je i velké nadnárodní firmy. Bavíme se o stovkách tisíc až milionech. Přesný počet je ale obtížné určit. Ve statistikách stažení jsou i jednorázová použití v cloudu, takže z nich nelze jednoduše poznat, kolik skutečných služeb naše balíčky využívá.
Když to vysvětlíme člověku, který o PHP nikdy neslyšel: kde všude se s ním při běžném používání internetu setkává?
V podstatě všude. V Česku jsme při tomto incidentu mohli pozorovat, že byly odstaveny stránky vlády České republiky i Českého hydrometeorologického ústavu, a bylo toho určitě víc.
PHP je jazyk, který se používá na tvorbu webových stránek a je tady s námi už velmi dlouho. Webů napsaných v PHP je opravdu hodně, takže se s ním na internetu potkáte každý den, ať už jdete na zpravodajské portály, nakupovat a podobně.
Co mohli útočníci prostřednictvím těchto chyb způsobit? Mohly být v ohrožení osobní údaje nebo hesla návštěvníků webů?
Opravy řeší nejzávažnější druhy chyb, které umožňují vzdálené spuštění kódu. Když to zjednoduším laicky, znamená to, že útočník může na napadeném serveru dělat prakticky cokoliv. Proto to způsobilo takovou paniku na celosvětovém internetu a všichni se snažili aktualizovat co nejdříve.
Když přijde taková krizová situace, odložím samozřejmě všechno ostatní a věnuji se tomuhle.
U kritických bezpečnostních incidentů je důležitá rychlost. Jak jste se o chybách dozvěděl a kolik času jste měl na přípravu oprav?
Na společnou přípravu byly dny. Já jsem měl potom nějaké hodiny, řekněme den, abych opravil i starší verze, pro které už oficiálně opravy vydány nebyly.
Tady musím pochválit projekt PHP a nadaci PHP Foundation. Správci instalačních balíčků byli pozváni do neveřejné skupiny, kde jsme koordinovali vydání nové verze PHP, aby byly opravy co nejrychleji dostupné.
Statistiky ukazují, jak moc v pondělí stouplo množství stažení balíčků, které Ondřej Surý připravuje.
Proč úřady nebo firmy stále používají staré verze PHP, které nejsou podporované? Jde o peníze, nebo zanedbanou údržbu?
Myslím si, že je to kombinace těchto věcí. Často to nemá prioritu, nebo si nechali připravit web a vůbec nevědí, na čem běží. Koupili si ho od vývojáře a pro lidi, kteří nejsou z IT, může být rozdíl mezi jednotlivými verzemi pod jejich rozlišovací schopnost.
Často za tím není žádný zlý úmysl. Ti lidé prostě nevědí, že používají tak starou verzi PHP. Aktualizace navíc stojí peníze, protože některé změny nejsou zpětně kompatibilní. Aby web fungoval na novější verzi, je potřeba věnovat čas a peníze také jeho úpravám.
Co by provozovatelům starších systémů zbývalo, kdybyste opravy nepřipravil?
Vypnout web? Existují doporučení, jak upravit nastavení PHP, aby se riziko zmenšilo. Bez aktualizace ho ale není možné odstranit. Jedinou opravou je opravdu nasadit opravenou verzi PHP.