بمب ساعتی دیجیتال ما
در تاریخ 2038-01-19 ساعت 03:14:08 UTC، میلیونها سیستم کامپیوتری صنعتی و تعبیهشده حساس در سراسر جهان ناگهان شروع به رفتار غیرقابل پیشبینی خواهند کرد، مگر اینکه اکنون اقدام هماهنگ انجام دهیم. و بدتر از آن، با پروتکلهای زمانی ناامن، مهاجمان نیازی به صبر کردن تا سال 2038 ندارند.
⏰ Y2K38 یک باگ نیست، بلکه یک آسیبپذیری بسیار گسترده است
توضیح مشکل Epochalypse برای کسانی که به اندازه کافی سن دارند تا مشکل سال ۲۰۰۰ را به یاد داشته باشند، بسیار آشناست. سرریز اعداد صحیح علامتدار ۳۲ بیتی که سیستمهای *nix برای ذخیره تعداد ثانیههای گذشته از آغاز «عصر یونیکس» در ۱ ژانویه ۱۹۷۰ استفاده میکنند، در ۱۹ ژانویه ۲۰۳۸ رخ خواهد داد. تمام سیستمهای بهروزرسانی نشده به سال ۱۹۷۰ بازمیگردند که تأثیرات غیرقابل پیشبینی بر عملکرد آنها خواهد داشت.
تفاوت کلیدی با سال ۲۰۰۰ در مقیاس است. تعداد سیستمهایی که باید بهروزرسانی شوند، چندین مرتبه بیشتر از تعداد کامپیوترهای قرن بیستم است. به نظر میرسد زمان زیادی، بیش از ۱۲ سال، باقی مانده است. اما احتمالاً این زمان کافی نیست، بهویژه با توجه به اینکه هیچ گروه دولتی یا بینالمللی متمرکزی که این مشکل را حل کند، تاکنون وجود ندارد.
پژوهشگران امنیت اطلاعات اشاره میکنند که برای بهرهبرداری از اثرات سرریز نیازی به انتظار تا سال ۲۰۳۸ نیست. سیستمهایی که زمان آنها را میتوان بهطور مستقیم یا از طریق جایگزینی دادههای پروتکل NTP یا جعل GPS دستکاری کرد، آسیبپذیر خواهند بود. نمونههای زندهای در سیستمهای کنترل صنعتی وجود دارد: CVE-2025-55068 (CVSS4-B 8.8) در سیستمهای کنترل از راه دور سوختگیری Dover ProGauge MagLink منجر به اختلال در خدمات میشود. انتظار داریم در سالهای آینده CVEهای مشابه بسیار بیشتری ببینیم.
فکر کردن به مشکل ۲۰۳۸ به عنوان یک آسیبپذیری، فایده عملی دارد — میتوان از روشهایی که برای اولویتبندی و رفع آسیبپذیریها ایجاد شدهاند، استفاده کرد. این بسیار مفید است، زیرا احتمالاً نمیتوان Y2K38 را در همه جا به طور کامل رفع کرد. از ابتدا شروع میکنیم: فهرستبرداری داراییها با ذکر نسخههای *nix و نرمافزار. فراموش نکنیم IoT و IIoT 🤗
مشکل مشابه ۲۰۳۶ بر اساس سرریز در برخی پیادهسازیهای NTP است. Y2K36 در ۷ ژانویه ۲۰۳۶ رخ خواهد داد.
زمانی ناامن، مهاجمان نیازی به صبر کردن تا سال 2038 ندارند.
این یک داستان علمی تخیلی نیست. این یک آسیبپذیری فنی واقعی است که سیستمهایی را که روزانه به آنها متکی هستیم - از تجهیزات بیمارستانی گرفته تا شبکههای برق، از سیستمهای بانکی گرفته تا شبکههای حمل و نقل - تحت تأثیر قرار میدهد. این آسیبپذیری در معماری بنیادی زیرساختهای دیجیتال ما نهفته است.
چرا باید اهمیت بدهید؟
بدون آمادگی مناسب، با اختلالات گستردهای از جمله موارد زیر مواجه خواهیم شد:
تجهیزات بیمارستانی زمان مصرف دارو را نادرست نشان میدهند
سیستمهای بانکی در پردازش پرداختها با مشکل مواجه هستند
نقص سیستمهای کنترل ترافیک
ناپایداری شبکه برق باعث قطعی برق میشود
اختلالات سرویس اینترنت
سیستمهای امنیتی که آلارم کاذب تولید میکنند
در دنیای به هم پیوسته ما، این خرابیهای فنی میتوانند اثرات آبشاری داشته باشند. خرابیهای بحرانی سیستم میتواند جان انسانها را به خطر بیندازد، اقتصاد را مختل کند و خدمات ضروری را به خطر بیندازد. و بدتر از آن، عوامل تهدید مخرب میتوانند در بسیاری از موارد پروتکلهای همگامسازی زمان را دستکاری کنند تا این آسیبپذیری را در زمان دلخواه خود فعال کنند. این موضوع به ویژه با توجه به توجه کم بسیاری از شبکهها به امنیت پروتکل زمان شبکه (NTP) خود نگرانکننده است.
💡اگر این متن دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
🏭 کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام :
https://t.me/ICSCERT_IR
ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2
گروه تخصصی واتس اپ:
https://chat.whatsapp.com/BZu1yr1aeHpCDxiIXotzyW?mode=ac_t
به انجمن تخصصی AI.Sec بپیوندید:
https://chat.whatsapp.com/KRPUA6WM4f6AdS727vRBmM?mode=ems_copy_t
Forwarded fromIACS
Telegram
IACS
کانال تخصصی امنیت اتوماسیون و کنترل صنعتی با رویکرد آگاهی رسانی،آموزش ومشاوره درحوزه مخاطرات امنیتی درزیرساختهای حساس وحیاتی بامعماری:ICS، SCADA، DCS، OT فعالیت میکند.
برای اخذ مشاوره خصوصی بامن تماس بگیرید:
@Pedram_kiani
www.VCOACH.ir
1November 4, 2025 629 8
