Posodobitve in zastarela programska oprema

Modul 5: Naprave, programska oprema in omrežje · Čas branja: 10 minut

Cilj učenja: Po tej lekciji boste znali vzpostaviti politiko posodabljanja za operacijske sisteme, aplikacije, vtičnike, usmerjevalnike in druge naprave ter pojasniti, kaj pomeni "konec podpore" in kaj v tem primeru storite.
Ključni pojmi: ranljivost, popravek (patch), zero-day, samodejne posodobitve, strojna programska oprema (firmware), vtičnik, popis, konec podpore (end of life), robna naprava (edge device)

Posodobitev je ključavnica, ki jo dodate

Programska oprema vsebuje napake. Nekatere napake so le moteče (gumb, ki ne deluje), druge so ranljivost: napaka, s katero lahko napadalec stori nekaj, kar ni bilo predvideno, na primer se prijavi brez gesla ali zažene lastno kodo. Izdelovalec to odpravi s popravkom, ki do Vas pride kot posodobitev.

Zahrbtnost je v vrstnem redu. Takoj ko posodobitev izide, je ranljivost dejansko javno znana. Napadalci primerjajo staro in novo različico, ugotovijo, kaj je bilo popravljeno, in na podlagi tega razvijejo napad. Nato samodejno preiščejo celoten internet in iščejo naprave, ki posodobitve še nimajo. To je prav tista oportunistična oblika napada iz lekcije 1.1: ne iščejo Vas osebno, iščejo vsakogar, ki zaostaja.

Zero-day je ranljivost, ki se že izkorišča, še preden obstaja popravek. Pri tem lahko storite malo, razen da sledite nasvetom izdelovalca in omejite škodo (varnostne kopije, minimalne pravice). Vendar se velika večina vdorov pri malih podjetjih zgodi prek ranljivosti, za katere je posodobitev že dolgo na voljo.

Nekdanji nizozemski Digital Trust Center, ki je zdaj del nizozemskega NCSC, je leta 2024 v svojem preverjanju CyberVeilig Check ugotovil, da več kot ena od treh malih podjetij (36 %) ni imela vklopljenih samodejnih posodobitev na vseh svojih internetnih napravah. Nasvet nizozemskega NCSC je preprost: s posodabljanjem ne odlašajte in kjer je mogoče, vklopite samodejne posodobitve.

Kaj sploh imate? Popis

Ne morete posodobiti nečesa, na kar ste pozabili. Večina podjetij ob besedi posodobitve pomisli na prenosnike in telefone, vendar so najnevarnejše naprave pogosto tiste tihe:

Naprave, ki so neposredno povezane z internetom in dosegljive od zunaj (usmerjevalnik, strežnik VPN, NAS z dostopom na daljavo, kamera), imenujemo robne naprave (edge devices). Te so najpogosteje tarča, ker lahko napadalec do njih pride brez klika zaposlenega. Anonimiziran primer: računovodska pisarna je imela NAS z vklopljenim "dostopom od kjer koli". Izdelovalec je izdal varnostno posodobitev, pisarna je ni namestila, nekaj tednov pozneje pa so bile vse datoteke na NAS šifrirane. Nihče ni kliknil na nič.

Politika posodabljanja v petih dogovorih

Politika ni treba, da je dokument na deset straneh. Za malo podjetje delujejo tile dogovori:

1. Samodejno, kjer je mogoče. Vklopite samodejne posodobitve za operacijske sisteme, brskalnike, aplikacije ter, kjer je mogoče, za CMS in vtičnike ter strojno programsko opremo usmerjevalnika in NAS.
2. Ponovni zagon spada zraven. Veliko posodobitev začne delovati šele po ponovnem zagonu. Dogovorite se, da vsak vsaj enkrat na teden znova zažene napravo, in ponovnega zagona ne odlašajte tedne dolgo.
3. Robne naprave najprej. Pri napravah, ki so dosegljive od zunaj: sami preverite, ali so na voljo posodobitve, na primer enkrat na mesec, in varnostno posodobitev namestite v nekaj dneh. Če izdelovalec ali nizozemski NCSC opozori na aktivno izkoriščanje, pa še isti dan.
4. En odgovoren na napravo. V popisu je pri vsaki vrstici zapisano, kdo napravo posodablja: Vi sami, sodelavec, Vaše IT-podjetje ali izdelovalec spletne strani. Če ni zapisano nihče, tega ne naredi nihče.
5. Kar ni več potrebno, odstranite. Vtičnik, ki ga ne uporabljate, star prenosnik v omari, ki je še vedno priklopljen v omrežje, testno spletno mesto na poddomeni: odstranite, tako Vam ga ne bo treba posodabljati.

Dvomite, ali bo posodobitev kaj pokvarila? Najprej naredite varnostno kopijo (modul 6) in nato posodobite. Neinstaliranje posodobitve iz strahu pred težavami je skoraj vedno večje tveganje.

Konec podpore: ko posodobitev ni več

Vsaka različica programske ali strojne opreme ima svoj končni datum. Po njem izdelovalec ne izdaja več varnostnih posodobitev. To se imenuje konec podpore (end of life, EOL). Naprava še vedno deluje, in prav v tem je zahrbtnost: nihče ničesar ne opazi, medtem ko vsaka nova ranljivost ostane za vedno odprta.

Primeri:

• Windows 10. Redna podpora se je končala 14. oktobra 2025. Po tem datumu so na voljo le še varnostne posodobitve prek programa ESU podjetja Microsoft, s končnimi datumi, ki se razlikujejo glede na posamezen primer. Na spletni strani Microsoft preverite, kaj velja za Vaše naprave, in načrtujte prehod na podprto različico ali drugo napravo.
• PHP in drugi jeziki za spletne strani. Vsaka različica PHP dobi varnostne posodobitve le nekaj let. Če Vaša spletna stran deluje na stari različici, je strežnik morda varen, Vaša stran pa ne.
• Usmerjevalniki, NAS in kamere. Cenejše naprave včasih dobijo posodobitve strojne opreme le nekaj let, včasih nikoli. Nizozemski NCSC svetuje, da pred nakupom preverite, kako dolgo bo izdelovalec napravo podpiral, in da naprave, ki posodobitev ne dobivajo več, zamenjate.
• Vtičniki in teme. Vtičnik, katerega izdelovalec je prenehal z delom, ne dobiva več popravkov. Poiščite nadomestek.

Če nečesa ne morete takoj zamenjati, omejite tveganje: odstranite napravo z interneta, postavite jo v ločeno omrežje (lekcija 5.3) in ji ne dovolite dostopa do pomembnih podatkov.

Varno posodabljanje: samo po uradni poti

Napadalci zlorabljajo tudi besedo "posodobitev". Pojavno okno na spletni strani "Vaš brskalnik je zastarel, prenesite posodobitev tukaj" ali sporočilo "namestite varnostno posodobitev iz priloge" je skoraj vedno zlonamerna programska oprema. Prave posodobitve prihajajo prek operacijskega sistema, trgovine z aplikacijami, funkcije posodabljanja v samem programu ali spletne strani izdelovalca. Nikoli prek povezave v sporočilu ali pojavnega okna na naključni strani.

V praksi: tako je videti

Pri gostiteljskem paketu z DirectAdmin, kot ga ponuja WebOké, izberete različico PHP za Vašo stran prek Select PHP version. Če želite pred posodobitvijo spletne strani ali vtičnikov najprej narediti varnostno kopijo, lahko to storite na primer v Installatron z gumbom Back-up, nato pa pri težavah obnovite prejšnjo različico. Pri drugih ponudnikih deluje podobno: poiščite "različica PHP" ter funkcijo za varnostne kopije ali pripravljalno okolje (staging) Vašega CMS.

Za računalnike in telefone se funkcija posodabljanja nahaja v nastavitvah operacijskega sistema. Za Vaš usmerjevalnik poglejte na upravljalno stran (naslov je naveden v priročniku ali na nalepki usmerjevalnika) ali v aplikaciji Vašega ponudnika.

Povzetek

• Posodobitev zapre znano ranljivost; po njenem izidu napadalci preiščejo internet in iščejo tiste, ki zaostajajo.
• Naredite popis, tudi usmerjevalnika, NAS, tiskalnika, kamer, spletne strani in vtičnikov, z odgovorno osebo za vsako vrstico.
• Posodabljajte samodejno, kjer je mogoče, ponovni zagon spada zraven, robne naprave pa prve in hitro.
• Konec podpore pomeni: ni več varnostnih posodobitev. Zamenjajte napravo ali jo izklopite in zaščitite.
• Posodobitve samo po uradni poti, nikoli prek pojavnega okna ali sporočila.

Kviz

Naloga

Naloga D5.1: Vaš popis posodobitev. Naredite seznam vseh svojih naprav in programske opreme, vključno z usmerjevalnikom, NAS, tiskalnikom, kamerami, spletno stranjo in vtičniki. Za vsako vrstico zabeležite različico, ali so vklopljene samodejne posodobitve, kdo je odgovorna oseba in ali je naprava še podprta. Posodobite, kar zaostaja, in odgovorite na vprašanja za razmislek.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Priročnik DirectAdmin 14.1: Izbira različice PHP (Select PHP version)
• Priročnik DirectAdmin 13.6: Varnostne kopije izdelati in obnoviti v Installatronu
• Nizozemski NCSC, Eno od treh malih podjetij ne uporablja samodejnih posodobitev: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• Nizozemski NCSC, Vzpostavite upravljanje popravkov: https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• Nizozemski NCSC, Osnovni varnostni ukrepi za pametne naprave: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, življenjski cikel Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro