Ενημερώσεις και ξεπερασμένο λογισμικό

Ενότητα 5: Συσκευές, λογισμικό και δίκτυο · Χρόνος ανάγνωσης: 10 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να οργανώσετε μια πολιτική ενημερώσεων για λειτουργικά συστήματα, εφαρμογές, plugins, routers και άλλες συσκευές, και να εξηγήσετε τι σημαίνει "τέλος υποστήριξης" και τι κάνετε σε αυτή την περίπτωση.
Βασικές έννοιες: ευπάθεια, patch, zero-day, αυτόματες ενημερώσεις, firmware, plugin, απογραφή, τέλος υποστήριξης (end of life), περιφερειακή συσκευή (edge device)

Μια ενημέρωση είναι μια κλειδαριά που προσθέτετε

Το λογισμικό περιέχει σφάλματα. Μερικά σφάλματα είναι απλώς ενοχλητικά (ένα κουμπί που δεν λειτουργεί), άλλα είναι μια ευπάθεια: ένα σφάλμα με το οποίο ένας επιτιθέμενος μπορεί να κάνει κάτι που δεν προβλεπόταν, όπως να συνδεθεί χωρίς κωδικό πρόσβασης ή να εκτελέσει δικό του κώδικα. Ο κατασκευαστής το διορθώνει με ένα patch, το οποίο φτάνει σε εσάς ως ενημέρωση.

Το δηλητηριώδες στοιχείο βρίσκεται στη σειρά των γεγονότων. Μόλις κυκλοφορήσει μια ενημέρωση, η ευπάθεια γίνεται ουσιαστικά δημόσια. Οι επιτιθέμενοι συγκρίνουν την παλιά με τη νέα έκδοση, βλέπουν τι διορθώθηκε και χτίζουν πάνω σε αυτό μια επίθεση. Στη συνέχεια σαρώνουν αυτόματα ολόκληρο το internet για συσκευές που δεν έχουν ακόμη την ενημέρωση. Αυτή είναι ακριβώς η ευκαιριακή επίθεση από το μάθημα 1.1: δεν ψάχνουν εσάς συγκεκριμένα, ψάχνουν όποιον έχει μείνει πίσω.

Μια zero-day είναι μια ευπάθεια που ήδη εκμεταλλεύεται πριν υπάρξει patch. Εκεί δεν μπορείτε να κάνετε πολλά, εκτός από το να ακολουθήσετε τις συμβουλές του κατασκευαστή και να περιορίσετε τη ζημιά (αντίγραφα ασφαλείας, ελάχιστα δικαιώματα). Όμως η συντριπτική πλειοψηφία των παραβιάσεων σε μικρές επιχειρήσεις συμβαίνει μέσω ευπαθειών για τις οποίες η ενημέρωση ήταν ήδη διαθέσιμη εδώ και πολύ καιρό.

Το πρώην Digital Trust Center, που πλέον αποτελεί μέρος της ολλανδικής Εθνικής Αρχής Κυβερνοασφάλειας (NCSC), διαπίστωσε το 2024 στον δικό του έλεγχο CyberVeilig Check ότι περισσότερες από μία στις τρεις μικρές επιχειρήσεις (36%) δεν είχαν ενεργοποιημένες αυτόματες ενημερώσεις σε όλες τις συσκευές τους που συνδέονται στο internet. Η συμβουλή της ολλανδικής NCSC είναι απλή: μην καθυστερείτε τις ενημερώσεις, και ενεργοποιήστε τις αυτόματες ενημερώσεις όπου είναι δυνατόν.

Τι έχετε στην πραγματικότητα; Η απογραφή

Δεν μπορείτε να ενημερώσετε κάτι που έχετε ξεχάσει. Οι περισσότερες επιχειρήσεις σκέφτονται, όσον αφορά τις ενημερώσεις, τα laptop και τα τηλέφωνα, αλλά οι πιο επικίνδυνες συσκευές είναι συχνά οι σιωπηλές:

Τις συσκευές που συνδέονται απευθείας στο internet και είναι προσβάσιμες από έξω (router, διακομιστής VPN, NAS με απομακρυσμένη πρόσβαση, κάμερα) τις ονομάζουμε περιφερειακές συσκευές (edge devices). Αυτές αποτελούν πιο συχνά στόχο, επειδή ένας επιτιθέμενος μπορεί να τις προσεγγίσει χωρίς κλικ από κάποιον εργαζόμενο. Ένα ανωνυμοποιημένο παράδειγμα: ένα λογιστικό γραφείο είχε ενεργοποιημένη σε ένα NAS την επιλογή "πρόσβαση από παντού". Ο κατασκευαστής κυκλοφόρησε μια ενημέρωση ασφαλείας, το γραφείο δεν την εγκατέστησε, και λίγες εβδομάδες αργότερα όλα τα αρχεία στο NAS ήταν κρυπτογραφημένα. Κανείς δεν είχε κάνει κλικ σε τίποτα.

Μια πολιτική ενημερώσεων σε πέντε συμφωνίες

Μια πολιτική δεν χρειάζεται να είναι ένα έγγραφο δέκα σελίδων. Για μια μικρή επιχείρηση λειτουργούν αυτές οι συμφωνίες:

1. Αυτόματα όπου είναι δυνατόν. Ενεργοποιήστε τις αυτόματες ενημερώσεις για λειτουργικά συστήματα, browser, εφαρμογές, και όπου είναι εφικτό για το CMS και τα plugins καθώς και για το firmware του router και του NAS.
2. Η επανεκκίνηση είναι απαραίτητη. Πολλές ενημερώσεις λειτουργούν μόνο μετά από επανεκκίνηση. Συμφωνήστε ότι όλοι θα επανεκκινούν τουλάχιστον μία φορά την εβδομάδα, και μην αναβάλλετε μια επανεκκίνηση για εβδομάδες.
3. Περιφερειακές συσκευές πρώτα. Για συσκευές προσβάσιμες από έξω: ελέγχετε οι ίδιοι αν υπάρχουν ενημερώσεις, για παράδειγμα μία φορά τον μήνα, και εγκαταστήστε μια ενημέρωση ασφαλείας μέσα σε λίγες ημέρες. Αν ο κατασκευαστής ή η Εθνική Αρχή Κυβερνοασφάλειας προειδοποιεί για ενεργή εκμετάλλευση, τότε την ίδια μέρα.
4. Ένας υπεύθυνος ανά συσκευή. Στην απογραφή αναγράφεται ανά γραμμή ποιος την ενημερώνει: εσείς οι ίδιοι, κάποιος συνάδελφος, η εταιρεία πληροφορικής σας ή ο κατασκευαστής του ιστότοπού σας. Αν δεν αναγράφεται κανείς, τότε δεν το κάνει κανείς.
5. Ό,τι δεν χρειάζεται πια, φεύγει. Ένα plugin που δεν χρησιμοποιείτε, ένα παλιό laptop στο ντουλάπι που εξακολουθεί να συνδέεται στο δίκτυο, ένας δοκιμαστικός ιστότοπος σε ένα subdomain: αφαιρέστε το, έτσι δεν χρειάζεται ούτε να το ενημερώνετε.

Αμφιβάλλετε αν μια ενημέρωση θα χαλάσει κάτι; Κάντε πρώτα ένα αντίγραφο ασφαλείας (ενότητα 6) και μετά προχωρήστε στην ενημέρωση. Το να μην εγκαταστήσετε μια ενημέρωση από φόβο για προβλήματα είναι σχεδόν πάντα ο μεγαλύτερος κίνδυνος.

Τέλος υποστήριξης: όταν δεν έρχονται πλέον ενημερώσεις

Κάθε έκδοση λογισμικού ή firmware έχει μια ημερομηνία λήξης. Μετά από αυτήν ο κατασκευαστής δεν προσφέρει πλέον ενημερώσεις ασφαλείας. Αυτό ονομάζεται τέλος υποστήριξης (end of life, EOL). Η συσκευή εξακολουθεί να λειτουργεί κανονικά, και αυτό ακριβώς είναι το ύπουλο στοιχείο: κανείς δεν παρατηρεί τίποτα, ενώ κάθε νέα ευπάθεια παραμένει μόνιμα ανοιχτή.

Παραδείγματα:

• Windows 10. Η κανονική υποστήριξη έληξε στις 14 Οκτωβρίου 2025. Μετά από αυτό έρχονται μόνο ενημερώσεις ασφαλείας μέσω του προγράμματος ESU της Microsoft, με ημερομηνίες λήξης που διαφέρουν ανάλογα με την περίπτωση. Δείτε στον ιστότοπο της Microsoft τι ισχύει για τις συσκευές σας, και σχεδιάστε τη μετάβαση σε μια υποστηριζόμενη έκδοση ή σε άλλη συσκευή.
• PHP και άλλες γλώσσες ιστότοπων. Κάθε έκδοση PHP λαμβάνει ενημερώσεις ασφαλείας για μερικά χρόνια. Αν ο ιστότοπός σας τρέχει σε παλιά έκδοση, ο διακομιστής ίσως είναι ασφαλής, αλλά ο ιστότοπός σας όχι.
• Routers, NAS και κάμερες. Οι φθηνές συσκευές λαμβάνουν ενίοτε ενημερώσεις firmware μόνο για λίγα χρόνια, μερικές φορές ποτέ. Η ολλανδική Εθνική Αρχή Κυβερνοασφάλειας συνιστά να εξετάζετε πριν από την αγορά για πόσο χρόνο ο κατασκευαστής υποστηρίζει τη συσκευή, και να αντικαθιστάτε τις συσκευές που δεν λαμβάνουν πλέον ενημερώσεις.
• Plugins και themes. Ένα plugin του οποίου ο κατασκευαστής έχει σταματήσει τη δραστηριότητά του δεν λαμβάνει πλέον διορθώσεις. Αναζητήστε μια εναλλακτική λύση.

Αν δεν μπορείτε να αντικαταστήσετε κάτι άμεσα, περιορίστε τον κίνδυνο: αποσυνδέστε το από το internet, τοποθετήστε το σε ξεχωριστό δίκτυο (μάθημα 5.3), και μην του δίνετε πρόσβαση σε σημαντικά δεδομένα.

Ασφαλής ενημέρωση: μόνο μέσω της επίσημης οδού

Οι επιτιθέμενοι εκμεταλλεύονται επίσης τη λέξη "update". Ένα αναδυόμενο παράθυρο σε έναν ιστότοπο "Ο browser σας είναι παλιός, κατεβάστε εδώ την ενημέρωση" ή ένα email "εγκαταστήστε την ενημέρωση ασφαλείας στο συνημμένο" είναι σχεδόν πάντα κακόβουλο λογισμικό. Οι πραγματικές ενημερώσεις έρχονται μέσω του λειτουργικού συστήματος, του καταστήματος εφαρμογών, της λειτουργίας ενημέρωσης μέσα στο ίδιο το πρόγραμμα ή τον ιστότοπο του κατασκευαστή. Ποτέ μέσω συνδέσμου σε email ή αναδυόμενου παραθύρου σε τυχαίο ιστότοπο.

Στην πράξη: πώς μοιάζει αυτό

Σε ένα πακέτο φιλοξενίας με DirectAdmin, όπως στην περίπτωση του WebOké, επιλέγετε την έκδοση PHP του ιστότοπού σας μέσω της επιλογής Select PHP version. Αν θέλετε πρώτα ένα αντίγραφο ασφαλείας πριν ενημερώσετε τον ιστότοπο ή τα plugins σας, αυτό μπορεί να γίνει για παράδειγμα στο Installatron με το κουμπί Back-up, μετά από το οποίο, σε περίπτωση προβλημάτων, μπορείτε να επαναφέρετε την προηγούμενη έκδοση. Σε άλλους παρόχους η διαδικασία είναι παρόμοια: αναζητήστε "έκδοση PHP" και τη λειτουργία αντιγράφων ασφαλείας ή staging του CMS σας.

Για υπολογιστές και τηλέφωνα, η λειτουργία ενημέρωσης βρίσκεται στις ρυθμίσεις του λειτουργικού συστήματος. Για το router σας, ανατρέξτε στη σελίδα διαχείρισης (η διεύθυνση αναγράφεται στο εγχειρίδιο ή στο αυτοκόλλητο του router) ή στην εφαρμογή του παρόχου σας.

Σύνοψη

• Μια ενημέρωση κλείνει μια γνωστή ευπάθεια· μετά την κυκλοφορία της, οι επιτιθέμενοι σαρώνουν το internet για όσους έχουν μείνει πίσω.
• Δημιουργήστε μια απογραφή, συμπεριλαμβανομένων του router, του NAS, του εκτυπωτή, των καμερών, του ιστότοπου και των plugins, με έναν υπεύθυνο ανά γραμμή.
• Αυτόματη ενημέρωση όπου είναι δυνατόν, η επανεκκίνηση είναι απαραίτητη, περιφερειακές συσκευές πρώτα και γρήγορα.
• Τέλος υποστήριξης σημαίνει: δεν υπάρχουν πλέον ενημερώσεις ασφαλείας. Αντικαταστήστε, ή αποσυνδέστε και απομονώστε.
• Ενημερώσεις μόνο μέσω της επίσημης οδού, ποτέ μέσω αναδυόμενου παραθύρου ή email.

Κουίζ

Άσκηση

Άσκηση D5.1: Η καταγραφή ενημερώσεών σας. Δημιουργήστε μια λίστα με όλες τις συσκευές και το λογισμικό σας, συμπεριλαμβανομένων του router, του NAS, του εκτυπωτή, των καμερών, του ιστότοπου και των plugins. Καταγράψτε ανά γραμμή την έκδοση, αν είναι ενεργοποιημένες οι αυτόματες ενημερώσεις, ποιος είναι ο υπεύθυνος και αν εξακολουθεί να υποστηρίζεται. Ενημερώστε ό,τι έχει μείνει πίσω και απαντήστε στις ερωτήσεις αναστοχασμού.

Περαιτέρω ανάγνωση

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους η διαδικασία είναι παρόμοια.

• Εγχειρίδιο DirectAdmin 14.1: Η επιλογή της έκδοσης PHP (Select PHP version)
• Εγχειρίδιο DirectAdmin 13.6: Αντίγραφα ασφαλείας δημιουργία και επαναφορά στο Installatron
• Ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), Μία στις τρεις μικρές επιχειρήσεις δεν κάνει αυτόματες ενημερώσεις: https://www.ncsc.nl/nieuws/een-op-de-drie-kleine-bedrijven-doet-geen-automatische-updates
• Ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), Οργανώστε τη διαχείριση ενημερώσεων (patch management): https://www.ncsc.nl/wat-kun-je-zelf-doen/weerbaarheid/beschermen/basismaatregelen-cybersecurity/richt-patchmanagement-in
• Ολλανδική Εθνική Αρχή Κυβερνοασφάλειας (NCSC), Βασικά μέτρα ασφάλειας για έξυπνες συσκευές: https://www.ncsc.nl/edge-devices/basisbeveiligingsmaatregelen-slimme-apparaten
• Microsoft, κύκλος ζωής των Windows 10: https://learn.microsoft.com/nl-nl/lifecycle/products/windows-10-home-and-pro