Spotify vaatii nyt joitakin Premium Family -jäseniä seisomaan tilin omistajan vieressä ja skannaamaan QR-koodin. Jokainen, joka myöhästyy seitsemän päivän määräajasta, estetään muista Family- ja Duo-tilausmuodoista kahdentoista kuukauden ajaksi.
Spotify sanoo, että se saattaa pyytää "joitakin" jäseniä vahvistamaan, että he asuvat yhdessä tilauksen ylläpitäjän kanssa. Tilauksen ylläpitäjä avaa koodin puhelimellaan, ja jäsen skannaa sen omalla puhelimellaan. Molempien on oltava samassa paikassa.
Koodi vaihtuu muutaman sekunnin välein, joten kuvakaappaus perheen ryhmäkeskustelussa ei riitä. Koodin voi skannata vain mobiilisovelluksella.
Jäsenellä on seitsemän päivää aikaa ilmoituksen saamisesta. Jos hän myöhästyy tästä aikaikkunasta tai vahvistusta ei voida suorittaa loppuun, hän ei voi liittyä toiseen Family- tai Duo-tilaukseen kahteentoista kuukauteen. Spotify ohjaa heidät sen sijaan muihin tilausmuotoihinsa. Rajoitus estää siis heitä käyttämästä muita jaettuja tilausmuotoja, sen sijaan että heidät erotettaisiin palvelusta.
Mainos:
Hintaero selittää, miksi tarkastuksella on merkitystä. Spotify ilmoittaa, että Premium Individual maksaa 149 kruunua kuukaudessa. Family, johon mahtuu jopa kuusi tiliä, maksaa SweClockersin mukaan 249 kruunua.
SweClockers raportoi myös, että Reddit-käyttäjät sanovat läpäisseensä tarkastuksen videopuheluiden välityksellä, kun tilauksen ylläpitäjä on pitänyt koodia kameran edessä.
Yhtiö itse kutsuu tätä rutiininomaiseksi. The Vergen mukaan Spotifyn toinen toimitusjohtaja Alex Norström vastasi asiaa koskevaan kysymykseen sijoittajapuhelun aikana:
— Tässä ei ole niinkään kyse kurinpalautuksesta vaan rutiininomaisesta parannuksesta Family-tilauksen vahvistusmenetelmiimme, sanoo Alex Norström.
Samalla hän myöntää, että "ajan mittaan" tarkastuksista on mahdollista löytää porsaanreikiä.
— Tämä ei ole asia, jolla on päättymispäivää, sanoo Norström.
Satellogicin suunnittelema Merlin-järjestelmä on suunniteltu kartoittamaan koko maapallo päivittäin metrin tarkkuudella. Laitteiston tekoäly havaitsee kohteita ja muutoksia sekä lähettää hälytyksiä.
Vuonna 2022 Satellogic ja Palantir ilmoittivat viisivuotisesta kumppanuudesta, joka kattaa Foundryn ja pääsyn satelliittikuviin Palantirin hallinto- ja kaupallisille asiakkaille MetaConstellationin ja Edge AI:n kautta. Palantirin tekoälyä kantava NewSat laukaistiin samana vuonna.
Merlin on suunniteltu valvomaan miljoonia kohteita, kuten sotilastukikohtia, satamia ja rajanylityspaikkoja. Automaattisia hälytyksiä voidaan seurata yksityiskohtaisemmilla satelliittikuvilla, myös puolustus- ja tiedustelukäyttöön.
Tutkiva toimittaja Whitney Webb varoittaa, että satelliittikuvat, tietokannat ja tekoäly voisivat muuttaa ihmiset kohteiksi ennen kuin he ovat tehneet rikosta — perustuen siihen, mitä algoritmit ennustavat heidän tekevän.
Kuvamontaasi ja kuvitus: Nykysuomi. Muotokuvan lähde: Unlimited Hangout. Logo: Palantir.
Satellogicin kumppanuus Palantirin kanssa kattaa satelliittidatan ja tekoälyanalyysin. Whitney Webb varoittaa siitä, miten teknologiaa voitaisiin käyttää ihmisten käyttäytymisen ennustamiseen.
Satellogic julkisti Merlin-järjestelmän maaliskuussa. Yhtiön suunnitelman mukaan ensimmäinen satelliitti on määrä laukaista lokakuussa 2026, ja koko konstellaation odotetaan olevan toiminnassa vuoden 2027 alkupuoliskolla.
Tavoitteena on siirtyä yksittäisistä, tilauksesta tehdyistä satelliittikuvista miljoonien kohteiden jatkuvaan seurantaan. Asiakkaat voivat valvoa muun muassa sotilastukikohtia, satamia, lentokenttiä, rajanylityspaikkoja ja energialaitoksia eri puolilla maailmaa.
Satellogic pyrkii näin ollen alistamaan koko planeetan päivittäiselle, automatisoidulle kartoitukselle. Tekoäly ei ainoastaan lajittele kuvia, vaan havaitsee muutoksia ja laukaisee hälytyksiä – ominaisuus, jota yhtiö kehittää nimenomaisesti myös puolustus- ja tiedustelukäyttöön.
Tekoäly analysoi jokaisen pikselin
Satellogicin mukaan Merlin yhdistää päivittäisen maailmanlaajuisen kartoituksen yhden metrin tarkkuuteen. Yhtiö kuvailee sitä siirtymäksi jaksottaisesta kuvantamisesta "jatkuvaan tiedusteluun".
Mainos:
Satelliitit on tarkoitus varustaa satelliitissa tapahtuvalla tekoälykäsittelyllä, jotta jokainen pikseli voidaan analysoida luokittelua, kohteiden havaitsemista ja tunnistamista varten. Järjestelmä lähettää sen jälkeen hälytyksiä, kun muutosta pidetään merkittävänä.
Tämä voi tarkoittaa esimerkiksi sen havaitsemista, onko valvottu kohde ilmestynyt tai kadonnut, liikkuvatko ajoneuvot tietyllä alueella tai muuttuvatko lentokenttä ja muu infrastruktuuri. Kun jotain havaitaan, muiden satelliittien on tarkoitus pystyä kohdentamaan toimintansa kyseiseen paikkaan tarkempia kuvia varten.
Satellogic korostaa siviilisovelluksia, kuten maataloutta, metsätaloutta, ympäristön seurantaa ja energiaverkkojen valvontaa. Samalla sama teknologia on suunniteltu nimenomaisesti puolustus- ja tiedustelutehtäviin.
Satellogicin nykyisiä tuotannossa olevia NewSat-satelliitteja. Merlin on erillinen suunniteltu konstellaatio, jonka ensimmäinen satelliitti on yhtiön mukaan tarkoitus laukaista lokakuussa. Kuva: Satellogic
Palantir on työskennellyt satelliittien parissa vuodesta 2021
Palantirin rooli kumppanuudessa kattaa sekä analyysityökalut että asiakkaiden pääsyn Satellogicin kuvamateriaaliin.
Vuonna 2022 yhtiöt ilmoittivat viisivuotisesta kumppanuudesta. Satellogic käyttäisi Palantirin Foundry-tietoalustaa, kun taas Palantirin hallinnolliset ja kaupalliset asiakkaat saisivat pääsyn satelliittiyhtiön kuvamateriaaliin MetaConstellation- ja Edge AI -alustojen kautta.
Kyseisen vuoden huhtikuussa yhtiöt laukaisivat NewSat-satelliitin, jossa oli mukana Palantirin tekoälyteknologiaa. Mallit pystyivät lajittelemaan satelliittikuvia jo kiertoradalla, havaitsemaan muun muassa laivoja, lentokoneita ja rakennuksia sekä valitsemaan relevanteimman materiaalin ennen sen lähettämistä maahan Palantirin vuoden 2022 selonteon mukaan.
Palantirin MetaConstellationia kuvataan nykyään järjestelmäksi, joka kykenee koordinoimaan satoja satelliitteja ja muita sensoreita. Ohjelmisto yhdistää olemassa olevat sensoriverkostot ja valitsee, mitä resursseja käytetään kuhunkin kyselyyn.
Kuvitus esittää, kuinka satelliittikuvia voidaan yhdistää muihin sensorikerroksiin jaetussa analyysijärjestelmässä. Kuvitus: Nykysuomi
Webb varoittaa "ennakkorikollisuudesta"
Tutkiva journalisti Whitney Webb keskittyy ennen kaikkea siirtymään havainnoinnista ennustamiseen. Kun satelliittikuvia yhdistetään muihin tietokantoihin ja tekoälymalleihin, hän varoittaa, että teknologiaa voitaisiin alkaa käyttää arvioimaan, mitä yksilöt tai ryhmät saattavat tehdä tulevaisuudessa.
Varoitus koskee sitä, mitä jatkuvan valvonnan infrastruktuuri voisi mahdollistaa, kun se yhdistetään Palantirin analyysityökaluihin ja valtion turvallisuuskoneistoihin.
Palantir käyttää erilaista kieltä. Yhtiö puhuu siitä, että päätöksentekijöille annetaan nopeita "oivalluksia", annetaan algoritmien löytää kiinnostavia kohteita ja mukautetaan satelliittitehtäviä muuttuviin tarpeisiin. Ero näiden kuvausten välillä liittyy vähemmän teknisiin kyvykkyyksiin kuin siihen, kuka saa määritellä uhan ja mitä seurauksia algoritmisella arviolla tulisi olla.
Trumpin direktiivi laajentaa uhkakuvia
Webb yhdistää tämän kehityksen myös Yhdysvaltain hallituksen laajentuneeseen "kotimaisen terrorismin" metsästykseen. Syyskuussa 2025 presidentti Donald Trump antoi direktiivin NSPM-7, joka määrää liittovaltion virastot kartoittamaan ja purkamaan poliittisen väkivallan takana olevia verkostoja.
Direktiivi kattaa tutkimukset, jotka kohdistuvat yksilöihin, organisaatioihin, rahoittajiin ja toistuviin käyttäytymismalleihin, joiden viranomaiset uskovat voivan viitata tulevaan väkivaltaan.
Yhdysvaltain kansalaisoikeusjärjestö ACLU on varoittanut, että direktiivin laaja sanamuoto voisi avata oven aktivistien, voittoa tavoittelemattomien järjestöjen ja poliittisten kriitikoiden valvontaan silloinkin, kun heidän toimintansa on sanan- ja yhdistymisvapauden suojaamaa.
Teknologia ja poliittinen infrastruktuuri kehittyvät siis rinnakkain. Satellogic rakentaa kapasiteettia koko planeetan päivittäiseen kartoittamiseen, Palantir tarjoaa tekoälyjärjestelmiä, jotka integroivat satelliitteja ja muita sensoreita, ja Yhdysvaltain viranomaiset saavat tehtäväkseen tunnistaa verkostoja ennen pelätyn poliittisen väkivallan tapahtumista.
Jos yhtiön aikataulu pitää kutinsa, ensimmäinen Merlin-satelliitti poistuu maapallolta jo lokakuussa – ja ratkaisevat kysymykset ovat tällöin se, kuka saa käyttää materiaalia, mitä kohteita seurataan ja miten kuka tahansa algoritmin nimeämä voi puolustautua.
Tämän päivän kriittiset PHP-haavoittuvuudet ovat vain yksi osa laajempaa muutosta uhkakuvassa. Myös GitLab ja Node.js ovat saaneet kiireellisiä tietoturvapäivityksiä, kun taas Railway- ja OpenCode-alustat ovat kärsineet tietomurroista, jotka ovat vaarantaneet asiakkaiden avaimet tekoälypalveluihin. Ohjelmistoasiantuntija Theo pelkää tilanteen pahenevan merkittävästi ennen kuin se paranee.
The Nordic Times on raportoinut kahdesta vakavasta virheestä PHP-ohjelmointikielessä ja siitä, kuinka pankit ja valtion virastot sulkivat verkkopalveluitaan, kun miljoonia hyökkäysyrityksiä tallennettiin.
Uhka ulottuu kuitenkin PHP:ta ja tavallisia verkkosivustoja pidemmälle. Kaksi erilaista ongelmaa etenee rinnakkain: tietoturvavirheet ohjelmistoissa, joihin lukemattomat palvelut tukeutuvat, sekä varsinaiset tietomurrot yrityksissä, jotka säilyttävät asiakkaiden avaimia tekoälypalveluihin.
Tietoturvavirheet edellyttävät, että joku asentaa päivitykset ajoissa. Tietomurrot voivat tarkoittaa, että joku muu on jo käyttänyt pääsyäsi.
Mainos:
— Todellisuus on, että kaksi eri asiaa tapahtuu samanaikaisesti juuri nyt, sanoo ohjelmistoasiantuntija Theo, joka työskentelee itse kehittäjänä.
Julkistetut haavoittuvuudet ja raportoidut tietomurrot ovat erilaisia tapahtumia. Myös PHP-haavoittuvuudet ovat joutuneet hyökkäysten kohteeksi, kun taas Railway ja OpenCode ovat kuvanneet erillisiä tietomurtoja. Kuvitus: The Nordic Times.
Kaksi polkua: tietoturvavirheet ja tietomurrot
Toisella puolella ovat paljastuneet tietoturvavirheet, ensisijaisesti PHP:ssa, mutta myös Node.js:ssä ja GitLabissa. Päivityksiä on saatavilla, mutta jokainen, joka ei ole asentanut niitä, on haavoittuvainen.
PHP-virheet ovat jo kohteena: hyökkäysyrityksiä tallennettiin ennen julkista paljastamista, ja virhettä hyödynnetään nyt laajasti Amazon Threat Intelligencen mukaan.
Toisella puolella ovat tietomurrot. Railway, alustayhtiö, jossa kehittäjät ajavat palveluitaan, havaitsi epätavallista toimintaa keskiviikkona 21. lokakuuta järjestelmissä, jotka säilyttävät asiakkaiden ympäristömuuttujia. Ohjelmointityökalu OpenCode ilmoitti tietomurrosta jo 17. lokakuuta edellisen yön murron jälkeen.
Tietoturvavirhe on ovi, joka voidaan murtaa auki. Tietomurto tarkoittaa, että joku on jo päässyt sisään.
Theo itse korostaa, että PHP-virheet ja Railwayn sekä OpenCoden tietomurrot eivät ole sama tapahtuma eivätkä johdu samasta syystä. Niitä yhdistää muuttunut uhkaympäristö, ei yhteinen hyökkääjä.
Miksi tekoälyavaimista on tullut ryöstösaalista?
API-avain on digitaalinen pääsyavain, jonka avulla ohjelma voi käyttää maksullista palvelua, kuten tekoälymallia, omistajan tilin kautta. Se ei ole tavallinen salasana, eikä tilin salasanan vaihtaminen riitä. Jokainen, joka saa avaimen haltuunsa, voi käyttää palvelua jonkun muun kustannuksella.
Railwayn ilmoituksen mukaan luvaton osapuoli on saattanut päästä käsiksi salattuihin ympäristömuuttujiin ja saanut joidenkin niistä sisällön selkokielisenä. Tällaiset muuttujat voivat sisältää API-avaimia ja tietokantojen kirjautumistietoja.
Alustava analyysi osoittaa tiettyyn käyttäjäryhmään, mutta yhtiö kehottaa kaikkia asiakkaita vaihtamaan avaimensa ja tarkistamaan lokit varotoimenpiteenä.
Railway uskoo, että tietomurto on osa alustayhtiöihin kohdistuvien hyökkäysten sarjaa, jonka tavoitteena on päästä käsiksi tekoälypalveluihin, ja se on pyytänyt kyseisten palvelujen tarjoajia mitätöimään avaimet.
OpenCode yhdisti tietomurtonsa siihen, mitä se kutsuu laajamittaiseksi tislausyhteisöhyökkäykseksi (distillation attack). Se vaikutti 1,4 prosenttiin sen Console-palvelun käyttäjistä, tarkemmin sanottuna niihin, jotka olivat yhdistäneet ulkoisia tekoälypalveluiden tarjoajia.
Tislaus tarkoittaa yhden tehokkaan tekoälymallin vastausten käyttämistä toisen mallin koulutusmateriaalina. Theon mukaan tämä selittää, miksi muutamassa tunnissa estettävät avaimet ovat silti arvokkaita: joku, jolla ei ole lupaa ostaa pääsyä johtaviin malleihin, voi tuottaa suuria määriä dataa jonkun muun tilillä ennen kuin avain poistetaan käytöstä.
Hän sanoo, että kärsineet kehittäjät ovat raportoineet, että avaimet käytettiin loppuun nopeasti ja että heidän tileiltään laskutettiin luvattomia tekoälymaksuja.
— Jokainen alusta, joka säilyttää API-avaimia, on kohde, sanoo Theo.
Miksi jopa hyvin kirjoitettu koodi kärsii?
PHP-virheet ovat niin vakavia, koska ne ovat itse kielessä, eivät sillä rakennetuilla verkkosivuilla. Tietoturvayhtiö Wiz, joka löysi virheet, kirjoittaa, että jopa yksinkertainen "Hello World" -ohjelma voi olla haavoittuva.
Ajattele asuinkerrostaloa, jonka pääovessa on vika. Sillä ei ole väliä, kuinka hyvät lukot asukkaat ovat asentaneet omiin huoneisto-oviinsa.
Virheet syntyvät, kun PHP käsittelee kaatumisia, erityisesti silloin, kun muisti loppuu kesken. Roskadataa voi silloin jäädä jäljelle seuraavaan pyyntöön asti. Hyökkääjä voi hyödyntää tätä lukeakseen palvelimen muistia, joka voi sisältää salasanoja, API-avaimia ja sertifikaatteja, tai suorittaakseen omaa koodiaan.
Viime vuosikymmenen haavoittuvat julkaisut, aina PHP 5.4 -versiosta alkaen, kärsivät vähintään yhdestä virheistä. Paikatut versiot 8.5.12, 8.4.27, 8.3.36 ja 8.2.35, jotka julkaistiin 21. lokakuuta, korjaavat ne.
Theo varoittaa tulkitsemasta lukua, jonka mukaan PHP pyörittää noin 70 prosenttia kaikista verkkosivustoista, vahingon mittariksi. Tuo luku sisältää valtavan määrän hylättyjä sivustoja, kun taas vierailluimmat palvelut on usein rakennettu jollain muulla. Ongelmana ovat hänen mukaansa sen sijaan ne sivustot, joita kukaan ei enää ylläpidä.
Myös GitLab ja Node.js paikkasivat
Koodialusta GitLab paikkasi samana päivänä kriittisen virheen, joka tietyissä olosuhteissa voi sallia luvattoman osapuolen suorittaa koodia kirjautumatta sisään. Virheellä on korkein riskipistemäärä, 10,0, ja se vaikuttaa vanhempiin asennuksiin, joita organisaatiot hallinnoivat itse. GitLab.com on jo paikattu.
Node.js, joka sallii JavaScript-ohjelmointikielen käytön palvelimilla, julkaisi myös tietoturvapäivityksiä 21. lokakuuta. Ne käsittelevät muun muassa suojattuja yhteyksiksiä, nimien selvitystä ja pakkausta. Virheet ovat täysin erillisiä PHP:n virheistä.
PHP:n haavoittuva koodi on ollut olemassa yli vuosikymmenen ajan. Sen muuttaminen toimivaksi hyökkäykseksi vaati aiemmin erittäin monimutkaisen ketjun vaiheita. Tekoälytyökalut mahdollistivat hyökkäyksen sovittamisen eri versioihin ja asetuksiin.
"Edistyneimpien tekoälymallien ja oikeiden työkalujen avulla yksi tutkija saavutti viikossa sen, mikä olisi aiemmin vienyt maailmanluokan tiimiltä kuukausia", Wiz kirjoittaa.
Jokainen tietoturvapäivitys paljastaa myös, missä virhe oli. Jokainen, joka vertaa vanhaa ja uutta koodia, saa kartan siitä, missä ne, jotka eivät ole vielä päivittäneet, ovat haavoittuvia.
Theo kutsuu tätä haavoittuvuuden ikkunaksi, joka oli aiemmin suhteellisen vaaton, koska päivitysten löytäminen ja hyödyntäminen vei valtavasti työtä. Nyt tekoälyagentit voivat käydä läpi jokaisen koodimuutoksen ja tunnistaa tietoturvaan liittyvät muutokset.
Amazonin uhkatiedusteluyksikkö, Amazon Threat Intelligence, tallennettiin hyökkäysyritys yhtä Amazonin houkutuspalvelinta vastaan jo 17. lokakuuta, neljä päivää ennen kuin virheet paljastettiin julkisesti. Yksikkö kirjoittaa, että on epäselvää, olisivatko yritykset onnistuneet todellisia järjestelmiä vastaan, mutta virhettä hyödynnetään nyt laajasti.
"Tekoälyavusteinen analyysi tekee päivityksen tai tietoturvatiedotteen muuttamisesta toimivaksi hyökkäykseksi halvempaa. Se antaa useammille toimijoille mahdollisuuden iskeä tuntien tai jopa minuuttien kuluessa", kirjoittaa Amazon Threat Intelligence, joka kehottaa toimiin tuntien kuluessa mieluummin kuin 7–30 päivän kuluessa, jonka monet organisaatiot suunnittelevat.
Miksi Theo uskoo tilanteen pahenevan
Yhdistelmä huolestuttaa häntä. Hyökkäyksiä voidaan rakentaa nopeammin kuin koskaan, kun taas päivitykset on saatava käyttöön miljoonille palvelimille, joita hallinnoivat eri omistajat.
Samaan aikaan kysyntä muuttaa tallennetut tekoälyavaimet kauppatavaraksi Theon mukaan.
— Minulla on epämiellyttävä tunne, että tilanne tulee muuttumaan paljon huonommaksi ennen kuin se paranee, Theo sanoo.
Mitä voit tehdä?
Ihmisillä, jotka vain selaavat verkkoa, ei ole päivitettävää PHP:tä, mutta heidän tulisi pitää selaimensa, käyttöjärjestelmänsä ja sovelluksensa ajan tasalla.
Jokaisen, joka ylläpitää verkkosivustoa, tulisi tarkistaa, että PHP on päivitetty paikattuihin versioihin, mikä Amazon Threat Intelligencen mukaan on ainoa täydellinen ratkaisu. Sama pätee itse ylläpidettyihin GitLab-asennuksiin ja Node.js-palveluihin.
Päivitys pysäyttää uudet hyökkäykset, mutta ei tee jo varastetuista avaimista käyttökelvottomia. Railwayn ja muiden avaimia säilyttävien alustojen asiakkaiden tulisi siksi vaihtaa ne ja valvoa tilejään.
— Varmista, että API-avaimesi on suojattu hyvin, pidetty erillään ja helppo mitätöidä, Theo sanoo.
Kaksi kriittistä tietoturva-aukkoa tekniikassa, joka on suuren osan verkosta taustalla, voivat antaa luvattomien käyttäjien muokata verkkosivustoja ja varastaa tietoja ilman kirjautumista. Korjauspäivitykset julkaistiin keskiviikkona, mutta jonkun on asennettava ne palvelimelle.
Aukot ovat PHP:ssä, ohjelmointikielessä, joka toimii taustalla verkkosivua avattaessa ja rakentaa sen, mitä vierailija näkee. PHP-projekti sanoo, että molemmat aukot saavat arvosanan 9,2 kymmenportaisella asteikolla ja ne on luokiteltu kriittisiksi.
Tekninen termi on etäkoodin suorittaminen (remote code execution): ulkopuolinen voi saada palvelimen ajamaan omia komentojaan. Tietoturvayhtiö watchTowrin mukaan tätä voidaan käyttää verkkosivustojen muokkaamiseen ja tietojen varastamiseen. Verkkosivuston omistajalle pahin skenaario on sivuston sisällön korvautuminen tai palvelimen käsittelemien tietojen päätyminen vääriin käsiin.
Kaikki asennukset, jotka vastaanottavat verkkopyyntöjä, ovat alttiita, ja riski on suurin mod_php-palvelinkonfiguraatiossa PHP-projektin mukaan.
Mainos:
Kuinka suuri riski verkkoon kohdistuu?
Julkaisualusta WordPress pyörittää yli 40 prosenttia maailman verkkosivustoista, WordPress itse raportoi. Luku osoittaa, kuinka laajalti käytetty alusta on, ei sitä, kuinka moni sivusto on todellisuudessa haavoittuva tai hyökkäyksen kohteena. Silti tietoturvayhtiö Wordfence kirjoittaa, että kaikki WordPress-sivustot toimivat palvelimilla, joissa on PHP, ja ne ovat siksi päivityksen piirissä.
WordPressin omat päivitykset eivät korjaa palvelimella olevaa PHP:tä. Web-hotellin tarjoajan tai palvelimen ylläpitäjän on päivitettävä se, ja monet hotellipalvelut tekevät sen automaattisesti. Jokaisen, joka ylläpitää omaa palvelintaan, on tehtävä työ itse.
PHP-projekti julkaisi korjaukset 21. lokakuuta. Ne sisältyvät versioihin PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanhemmat versiot eivät enää saa säännöllisiä päivityksiä, mutta projekti on julkaissut minimaalisia lähdekoodikorjauksia versioille 7.4, 8.0 ja 8.1 niille, jotka rakentavat omat ohjelmistonsa.
EU:n tietotekniikan hätätiimi CERT-EU suosittelee, että organisaatiot, jotka eivät pysty päivittämään välittömästi, harkitsevat julkiseen internetiin suuntautuvien sovellusten eristämistä, kunnes päivitys voidaan asentaa.
Epic Games uudistaa Easy Anti-Cheat -järjestelmänsä tuodakseen lisää moninpelejä Linuxille, alkaen Fortnitesta. Vaatimukset pelaajien tietokoneille tiukentuvat, eikä Valven Linux-pohjainen Steam Deck -käsikonsoli vielä täytä niitä.
Ilmoitus tuli keskiviikkona 14. lokakuuta, kun Epic julkaisi esiversion uudesta pelien käynnistysohjelmastaan Windowsille, macOS:lle ja ensimmäistä kertaa Linuxille. Fortnite ei kuitenkaan ole vielä saatavilla siellä. Epicillä ei ole aikataulua pelin saapumiselle, yhtiön kehitysjohtaja Rick Deist kertoi The Vergelle.
Easy Anti-Cheat on tukenut Linuxille kehitettyjä peliohjelmia vuodesta 2014 ja Windows-pelejä Proton-yhteensopivuuskerroksen kautta vuodesta 2021. Tuki on valinnainen jokaiselle pelille, ja monet kehittäjät ovat jättäytyneet pois, koska suojaus Linuxilla on ollut heikompi kuin Windowsilla, Epicin mukaan.
Epicin mukaan huijaaminen on nykyään miljardien arvoinen markkina, jossa huijausten tarjoajat myyvät tilauksia työkaluihin, jotka vaativat vain vähän teknistä osaamista. Yhtiön toimitusjohtaja Tim Sweeney kirjoitti jo vuonna 2022, että Epiciltä puuttui luottamus kykyynsä "torjua huijaamista laajassa mittakaavassa monenlaisten ytimen konfiguraatioiden alaisuudessa".
Mainos:
Kahdeksan vaatimusta tietokoneellesi
Ratkaisun nimi on EAC Linux v2, ja Epicin mukaan sen tarkoituksena on tuoda suojaus lähemmäs Windowsin tarjoamaa tasoa. Tietokoneessa on oltava käytössä TPM 2.0 ja Secure Boot, mitattu käynnistys (measured boot), ytimen lukitustila (kernel lockdown mode), kexec poistettuna käytöstä ja aktiivinen BPF-tietoturvamoduuli. Kaikissa muissa laitteissa paitsi käsikonsoleissa on oltava käytössä myös IOMMU, jonka tarkoituksena on estää huijauskortteja lukemasta pelin muistia suoraan DMA:n kautta.
Toisin kuin Windowsilla, Epic ei asenna omaa ydinmoduuliaan. Sen sijaan huijauksenesto nojaa ytimen sisäänrakennettuihin tietoturvaominaisuuksiin, systemd-palveluun ja mukautettuihin eBPF-ohjelmiin, jotka valvovat ja rajoittavat pääsyä pelin muistiin. Palvelu on käynnissä vain suojatun pelin ollessa käynnissä, Epic kirjoittaa.
Räätälöity ydin ei toimi
Selkein seuraus on niille, jotka kääntävät oman ytimensä. Suojatun peli-istunnon aikana ytimen ja kaikkien ydinmoduulien on oltava allekirjoitettuja avaimella, joka löytyy Epicin hyväksyttyjen avainten listalta. Lista sisältää tällä hetkellä avaimia muun muassa Ubuntulta, Fedoralta, Debianilta, openSUSElta ja Universal Bluelta. Ytimen ulkopuolisten moduulien, kuten Nvidian näytönohjainajureiden, on täytettävä samat vaatimukset.
Vaatimukset tarkistetaan pelin käynnistyessä ja ne pätevät koko suojatun peli-istunnon ajan. Pelaajilla voi olla erillinen käynnistysvaihtoehto pelaamista varten ja toinen omilla avaimilla kaikkeen muuhun. Ne, joilla ei ole oikeita asetuksia, saavat virheilmoituksen, eivät porttikieltoa, Epicin mukaan.
Epic ylläpitää avainlistaa aluksi itse, mutta sanoo tavoitteena olevan tehdä siitä avointa lähdekoodia. Yhtiö kehottaa jakeluiden ylläpitäjiä ottamaan yhteyttä saadakseen avaimensa hyväksyttyä.
Steam Deck joutuu odottamaan
Steam Deckiltä puuttuvat vaaditut ominaisuudet Epicin mukaan, mutta yhtiö sanoo keskustelevansa Valven kanssa ja toivoo tukevansa käsikonsolia tulevaisuudessa. Epic tutkii myös SteamOS-tukea Deistin mukaan, mutta yhtiöllä ei ole suunnitelmia julkaista ilmaiseksi pelattavaa Fortnitea Steam-kaupassa, yhtiön kauppajohtaja Martin Keelyn mukaan.
Epic aikoo testata uutta suojausta ensin Fortnitessa. Jos se toimii, useammat pelinkehittäjät saavat sen käyttöönsä, jotta heidän moninpelinsä voivat tavoittaa myös Linux-pelaajat. Fortnite julkaistaan Linuxilla Epicin käynnistysohjelman kautta, kun riittävän monet jakelut täyttävät vaatimukset.
Saisivatko Fortnite ja parempi tuki moninpeleille sinut valitsemaan Linuxin pelaamiseen?
