تقول NVIDIA إن نشاطًا غير مصرح به على منصة التطوير السحابية Brev ربما كشف معلومات مخزنة عليها، منها مفاتيح SSH مرتبطة بأجهزة العملاء. وذكر موقع Tom’s Hardware أن إشعارًا للعملاء حدد فترة النشاط بين October 4 وOctober 20، من دون أن يذكر السنة.
مفتاح SSH بيانات اعتماد رقمية تُستخدم للاتصال بجهاز كمبيوتر أو خادم. والمفاتيح المعنية أعدّتها Brev واستُخدمت للوصول إلى الأجهزة الافتراضية (VMs) الخاصة بالعملاء، وهي أجهزة كمبيوتر تعمل برمجيًا في السحابة. وقد يؤدي انكشاف المفتاح إلى خطر الوصول غير المصرح به، لكن NVIDIA تقول إنها لم تجد دليلًا على إساءة استخدام المفاتيح.
ما الذي فعلته NVIDIA؟
تقول NVIDIA إنها غيّرت المفاتيح المتأثرة، أي استبدلتها بأخرى جديدة، وحدّثت نُسخ العملاء بالمفاتيح البديلة. ويُفترض أن يمنع هذا التغيير استخدام بيانات الاعتماد القديمة للاتصال بتلك الأجهزة. وجاء في إشعار الشركة أن معلومات العملاء على شبكة Brev «ربما تكون قد تأثرت».
ولم توضح الشركة، وفق التفاصيل التي أوردها Tom’s Hardware، كيف بدأ النشاط غير المصرح به، أو الحسابات التي شملها، أو ما إذا كان أحد قد نسخ بيانات محددة للعملاء أو اطلع عليها. كما لم تذكر عدد العملاء الذين تلقوا إشعارات. وتُصعّب هذه المعلومات الناقصة تقدير نطاق الحادثة استنادًا إلى ما هو متاح.
ما الذي لا يزال غير واضح؟
إن قول NVIDIA إنها لم تجد دليلًا على إساءة الاستخدام لا يعني أن المفاتيح لم تُستخدم قطعًا؛ بل يصف ما تقول الشركة إن تحقيقها توصل إليه. ولا يشرح الإشعار الذي أُفيد به ماهية النشاط الذي رصده المحققون أو كيفية تحريهم عن إساءة الاستخدام.
وبالنسبة إلى عملاء Brev، فإن الإجراء المؤكد هو أن NVIDIA استبدلت المفاتيح التي ربما تأثرت وحدّثت النُسخ. ولا يتضمن الإشعار الذي أُفيد به خطوات إضافية للعملاء، ولا يذكر ما إذا كان عليهم تغيير بيانات اعتماد أخرى. كذلك لا يورد أي انقطاع للخدمة أو وصول مؤكد إلى الأجهزة الافتراضية للعملاء.
لماذا يهم
قد يرغب عملاء Brev في معرفة ما إذا كانت أجهزتهم أو بياناتهم السحابية قد انكشفت، لكن الإشعار الذي أُفيد به عن NVIDIA لا يحدد الحسابات المتأثرة ولا يؤكد الوصول إلى الأجهزة الافتراضية للعملاء. وتقول الشركة إنها استبدلت المفاتيح ولم تجد دليلًا على إساءة استخدامها، لكن لم يُذكر ما إذا كان على العملاء اتخاذ أي خطوات أخرى.
