اتعملك Hack ولا لسه؟ | بودكاست الويك اند #٣
About this episode
هل أمان تطبيقك مضمون لمجرد إنك بتستخدم أحدث الإصدارات؟ في الحلقة الثالثة من بودكاست الويك اند، محمد الشريف وعمرو طاهر بيناقشوا إزاي الذكاء الاصطناعي بيغيّر سرعة اكتشاف الثغرات واستغلالها، وليه الكود القديم والمشاريع مفتوحة المصدر مش وحدهم المعرّضين للخطر. من تسريب مفاتيح الوصول في Git لحد هجمات سلسلة توريد البرمجيات، الحوار بيركّز على مسؤولية مهندسي البرمجيات وحدود الاعتماد على أدوات الفحص والإصلاح الآلي. كمان بيناقشوا خطوات لتقليل الضرر: إدارة إصدارات المكتبات، استخدام سجلات حزم داخلية، قواعد جدران حماية تطبيقات الويب، وتجهيز خطط للإغلاق الجزئي أو الكامل. وبيطرحوا مبدأ افتراض حدوث اختراق بدل الثقة في حماية مطلقة، مع نقاش عن الأنظمة القديمة، وصعوبة ملاحقة التنبيهات الأمنية، والموازنة بين سهولة استخدام أدوات الشبكات وتعقيد إعدادها بأمان.
Episode notes
• تأثير الذكاء الاصطناعي على سرعة اكتشاف الثغرات، وتوسيع نطاق الهندسة العكسية للبرمجيات مغلقة المصدر.
• تسريب مفاتيح الوصول وملفات البيئة في Git، وفحص سجل التغييرات بحثًا عن أسرار حتى بعد حذفها من النسخة الحالية.
• هجمات سلسلة توريد البرمجيات، ودور سجلات الحزم الداخلية وتثبيت الإصدارات في تقليل التعرض للمخاطر دون ضمان الأمان.
• مخاطر تجميع مفاتيح مزوّدي النماذج خلف بوابات موحّدة، ومناقشة التقارير والادعاءات المتعلقة بـ OpenCode وLiteLLM مع بقاء بعض التفاصيل غير محسومة.
• استخدام أدوات مختلفة لفحص التطبيقات وإصلاحها وإعادة اختبارها، وحدود اعتبار اختفاء التنبيه دليلًا كافيًا على الأمان.
• تطبيق Zero Trust ومبدأ افتراض الاختراق: عزل أجزاء النظام، ووضع القراءة فقط، وخطط إغلاق جزئي وكامل موثّقة ومجرّبة.
• قواعد WAF كتخفيف مؤقت لحين توفر الإصلاح، وتحديات ترقية الأنظمة القديمة ونقل التصحيحات إلى النسخ المعدّلة داخليًا.
• تجاهل تنبيهات Dependabot وفرق الأمن، والحاجة إلى استجابة أسرع من إجراءات المراجعة والنشر المصمّمة للعمل البشري.
• المفاضلة بين سهولة Tailscale وتعقيد إعداد WireGuard، واستخدام الشبكات الخاصة للوصول إلى أجهزة المختبر المنزلي والخدمات الداخلية.