Progress moli da ugasite servere. Ozbiljno.

Nije prijetnja iz budućnosti, nije scenarij iz cyberpunk trilera koji ste gledali dok ste jeli čips. Ovo je ponedjeljak ujutro za nekog IT administratora koji je otvorio mail i shvatio da mu je jedina opcija isključiti stroj iz struje. Progress Software, firma koja stoji iza ShareFile-a, poslala je svojim korisnicima poruku koja je u normalnom svijetu ekvivalent telefonskom pozivu u tri ujutro: "Ugasi sve, odmah, vjerodostojna je prijetnja." I dok vi razmišljate o tome kako je to jebeno nezgodno za one koji su svoje poslovanje, arhive, ugovore i povjerljive podatke strpali u Storage Zone Controllere, ja razmišljam o nečem drugom. Razmišljam o tome kako smo došli do točke da je najsigurniji potez koji itko u IT-ju može napraviti — povući kabel.

Jer evo što se dogodilo u proteklih, recimo, pet godina. Svaki put kad netko otkrije rupu u softveru koji koristi pola svijeta, reakcija je ista. Ne, ne mislim na onu očekivanu — "izdali smo patch, molimo korisnike da ga instaliraju". Mislim na onu drugu. Na onu koja dolazi nakon što se patch pokazao beskorisnim, ili je došao prekasno, ili je otvorio tri nove rupe dok je zatvorio jednu. Tada dolazi faza "ugasi sve dok ne smislimo što dalje". To je priznanje poraza. To je trenutak kad programeri, arhitekti i CEO-ovi koji su desetljećima uvjeravali svijet da je njihov softver siguran poput sefa u švicarskoj banci — dignu ruke i kažu: "Znaš što, bolje da ga isključiš."

Nije drago. Nije slučajno. Nije greška.

To je simptom sistemskog problema koji se zove "previše slojeva, premalo razumijevanja". Svaka nova iteracija softvera donosi nove značajke, nove API-je, nove načine da se podaci dijele, sinkroniziraju i pohranjuju. I svaka ta nova značajka je potencijalna ulazna točka za nekoga tko ima više vremena i strpljenja nego što ga imaju testeri koje je firma unajmila. A kad se te rupe nagomilaju do točke da ni sami autori ne znaju gdje su sve ostavili otvorena vrata, jedino što preostaje je povući ručnu kočnicu. Doslovno. Fizički isključiti server.

Zamislite scenu u podatkovnom centru negdje u Njemačkoj, ili Nizozemskoj, ili možda u Rijeci — jer, vjerujte mi, i ovdje ima firmi koje koriste ShareFile za razmjenu osjetljivih dokumenata. Netko dobije mail. Pročita ga. Zatim pogleda u rack s blinkerima koji veselo trepere. I onda, umjesto da napiše ticket, umjesto da sazove sastanak, umjesto da pita chat podršku što da radi — jednostavno pritisne power button. I sve utihne. Nema sinkronizacije. Nema pristupa. Nema "trenutno smo u održavanju, pokušajte kasnije". Ima samo tišina i hlađenje ventilatora koji se polako zaustavljaju.

To je onaj trenutak kad shvatiš koliko je tvoj digitalni svijet zapravo krhak. I ne mislim samo na one koji su izgubili pristup podacima na sat ili dva. Mislim na cijelu infrastrukturu povjerenja koja se gradi na ideji da je netko drugi odgovoran za tvoju sigurnost. Progress je napravio ono što je trebao — upozorio je korisnike. Ali pitanje koje ostaje visjeti u zraku, poput dima nakon što je server ugašen, glasi: kako smo došli do točke da je ugasiti server najbolja opcija?

Odgovor je, naravno, u prirodi modernog softvera. On više nije proizvod. On je živi organizam koji se hrani podacima, raste kroz update-e i mijenja oblik brže nego što ga itko može dokumentirati. Svaka linija koda koju netko doda u bazu je potencijalna bomba. Svaka biblioteka treće strane koju uvezeš je nepoznanica. I svi ti slojevi, sve te ovisnosti, svi ti "quick fixevi" koje su programeri ubacivali u petak poslijepodne — oni se gomilaju. I jednog dana, netko u nekoj sobi, u nekoj firmi, pronađe način da ih sve aktivira odjednom.

I dok se IT administratori diljem svijeta bore s posljedicama, ja se sjećam vremena kad je sigurnost značila zaključati vrata server sobe i znati tko ima ključ. Danas, sigurnost znači imati plan za trenutak kad ti netko kaže: "Ugasi sve, pa ćemo vidjeti." I taj plan ne smije uključivati nadu da će patch stići na vrijeme. Jer neće. Nikad ne stigne.

Progress nije iznimka. On je pravilo. Isto se dogodilo s Log4j, s MOVEit, s desecima drugih alata koje smo bez razmišljanja ugradili u svoje sustave. Ista priča: otkrije se rupa, izda se upozorenje, krene panika. Razlika je u tome što je ovaj put upozorenje došlo s instrukcijom koja je toliko radikalna da zvuči kao šala — ugasi server. Nije "zakrpi", nije "ažuriraj", nije "ograniči pristup". Ugasi. Kao da gasiš pećnicu jer je počela dimiti. Kao da gasiš auto jer ti je upalila se kontrolna lampica motora. Kao da gasiš cijeli kurac jer više nemaš povjerenja ni u jednu njegovu komponentu.

A najgore od svega je što je to jedina ispravna odluka. Jer u svijetu gdje je svaka komponentna sumnjiva, gdje je svaka biblioteka potencijalna prijetnja, gdje je svaki update možda zadnji koji ćeš instalirati — jedino što možeš učiniti je povući se. Povući struju. I čekati. Čekati da netko pametniji od tebe smisli kako da popravi sranje koje su napravili.

I dok čekaš, razmišljaš o tome kako smo zamijenili fizičke brave digitalnim ključevima, a sad nam netko govori da su ti ključevi kopirani i da je jedina sigurna opcija — ne zaključati vrata, nego srušiti cijelu kuću.

Pas mater.

Izvor: bleepingcomputer.com