Wykryta słabość dotyczyła AMMOS Instrument Toolkit (AIT) — narzędzia wykorzystywanego przez NASA do dwukierunkowej wymiany danych z sondami i instrumentami naukowymi poprzez sieci Near i Deep Space Networks. Badacze wskazali, że zestaw błędów bezpieczeństwa stwarzał teoretyczną możliwość wprowadzenia własnych poleceń do aktywnych operacji, gdyby ktoś zdecydował się świadomie wykorzystać podatność.
Podczas analizy szczególna uwaga została skierowana na graficzny interfejs AIT (AIT-GUI). Z ustaleń wynika, że w tym obszarze nie zastosowano kluczowych zabezpieczeń, takich jak obowiązek logowania, tokeny CSRF czy ograniczenia CORS. W ocenie zespołu takie braki mogły otwierać drogę do nadużyć w procesie komunikacji, a w przypadku infrastruktury wykorzystywanej przez NASA potencjalne skutki mogłyby mieć bardzo szeroki zasięg.
Cycode podkreślało, że przeprowadzenie ataku nie musiałoby wymagać ani specjalistycznych narzędzi ani wyjątkowo rozbudowanej wiedzy. Sedno ryzyka polegało na połączeniu kilku znanych słabości bezpieczeństwa sieciowego z wrażliwym elementem kosmicznej infrastruktury. Wystarczyłoby, aby operator korzystający z AIT-GUI wszedł na stronę internetową przygotowaną przez atakującego — i to mogło uruchomić scenariusz nadużycia.
WIDEONagrał zaćmienie Słońca. Niesamowity widok z balkonu w Warszawie
Opis podatności obejmował również kwestię konfiguracji nasłuchu: protokół komunikacji miał być ustawiony na adres 0.0.0.0, co skutkowało udostępnieniem API wszystkim urządzeniom w sieci — niezależnie od szczegółów konfiguracji. Taki mechanizm mógł umożliwiać atak nawet wtedy, gdy system działał lokalnie lub był chroniony zaporą, o ile operator otworzył w przeglądarce zainfekowaną stronę z dostępem do narzędzia. NASA potwierdziła, że po zidentyfikowaniu problemu przygotowała i wdrożyła odpowiednie poprawki bezpieczeństwa.
Sprawa zwraca też uwagę na to, jak rośnie znaczenie sztucznej inteligencji w badaniach nad cyberbezpieczeństwem systemów krytycznych. W tym przypadku AI miała analizować kod i wyłapywać potencjalnie niebezpieczne fragmenty, natomiast weryfikacja, ocena ryzyka i potwierdzanie podatności pozostawały po stronie specjalistów. Cycode obrazowo tłumaczyło, że narzędzie automatyzuje żmudną część pracy — przegląda kod i wskazuje podejrzane wzorce — a badacz decyduje, które tropy są realne i jak je sprawdzić.
Zwrócono także uwagę, że kilka miesięcy wcześniej inna firma, również korzystająca ze sztucznej inteligencji, miała odnaleźć podobną podatność w innym oprogramowaniu NASA. W obu przypadkach usterki zostały naprawione, a według dostępnych informacji nie ma dowodów, by ktokolwiek nieuprawniony próbował z nich skorzystać. W środowisku związanym z sektorem kosmicznym podkreślano znaczenie szybkiej reakcji i współpracy z ekspertami od bezpieczeństwa, co miało pomóc uniknąć potencjalnie groźnych następstw.
Obecnie NASA ma monitorować swoje systemy i deklaruje wdrażanie rozwiązań, które mają ograniczać ryzyko podobnych zdarzeń w przyszłości. Specjaliści wskazują jednocześnie, że przypadek AIT to przykład praktycznej współpracy człowieka z zaawansowanymi narzędziami cyfrowymi, która może podnosić standardy bezpieczeństwa także poza branżą kosmiczną.
Redaktor serwisu WP Tech. Od ponad 10 lat codziennie pisze o astronomii, astrofizyce, kosmologii i eksploracji przestrzeni kosmicznej. Od samego początku stara się zostać prawdziwym kronikarzem pierwszych kroków ludzkości ku gwiazdom. Tak się dobrze złożyło, że przypadło mu żyć w czasach, w których ludzkość dokonuje fenomenalnych odkryć i po raz pierwszy w historii ma szansę zajrzeć na kres wszechświata i postawić stopę na innej planecie. Poza pracą - miłośnik psów i wielokilometrowych spacerów po lasach Wielkopolski.
