Nezdá sa, že AI Deepseek nemá zavedené robustné opatrenia, ktoré by zabránili útokom Man-in-the-Stuple (MITM). Zatiaľ čo konkrétne podrobnosti o stratégiách prevencie MITM spoločnosti Deepseek nie sú v dostupných informáciách výslovne uvedené, zdôraznilo sa niekoľko bezpečnostných obáv a zraniteľných miest:
1. Problémy šifrovania: Zistilo sa, že aplikácia pre iOS spoločnosti DeepSeek zakáže zabezpečenie zabezpečenia APP Transport Security (ATS), čo je ochrana na úrovni platformy, ktorá zabraňuje odosielaniu citlivých údajov cez nešifrované kanály [4]. To znamená, že údaje sa môžu prenášať bez šifrovania, čo je zraniteľné voči odpočúvaniu. Aj keď sú niektoré časti údajov selektívne šifrované, aplikácia používa neistý a zastaraný šifrovací algoritmus nazývaný 3DES a šifrovací kľúč je pevne kódovaný do aplikácie [4].
2. Expozícia údajov: Existujú prípady, keď databázová infraštruktúra spoločnosti Deepseek nebola riadne zabezpečená, čo viedlo k verejnému vystaveniu citlivých informácií, ako sú história chatu a backend poverenia [1] [2] [4]. Tento nedostatok bezpečnosti by mohol potenciálne uľahčiť útoky MITM tým, že umožní útočníkom ľahšie prístup k údajom alebo manipulovať s údajmi.
3. Zraniteľnosti všeobecnej bezpečnosti: Deepseek sa ukázalo ako veľmi citlivé na rôzne bezpečnostné hrozby vrátane algoritmických útekrupingových techník a rýchlych eskalačných techník [1] [2]. Útočníci by mohli využívať tieto zraniteľné miesta na vykonávanie útokov MITM alebo iných foriem počítačových hrozieb.
Aby sa účinne zabránili útokom MITM, sa vo všeobecnosti odporúča používať silné šifrovacie mechanizmy, ako sú HTTP, a zabezpečiť, aby boli všetky prenosy údajov šifrované. Okrem toho implementácia robustných mechanizmov autentifikácie a autorizácie môže pomôcť chrániť pred neoprávneným prístupom. Na základe dostupných informácií sa však zdá, že Deepseek nie je primerane uprednostňovaný týmto bezpečnostným opatreniam.
Vzhľadom na tieto obavy by organizácie a jednotlivci mali pri používaní AI DeepSeek postupovať opatrne a zvážiť implementáciu ďalších bezpečnostných opatrení, ako napríklad použitie zabezpečených webových brán alebo firewall na blokovanie prístupu k službám DeepSeek [6]. Okrem toho môže použitie aplikácií na odosielanie správ End-to-end a vyhnúť sa zdieľaniu citlivých údajov prostredníctvom nezabezpečených kanálov môže pomôcť zmierniť riziká [5].
Citácie:
[1] https://www.esentire.com/blog/deepseek-ai-what-chat-security-leaders-need-to-know-ot-about-about-its-security-sks
[2] https://www.cshub.com/threat-defense/articles/cyber-security-implications-deepseek-ai
[3] https://www.appdome.com/dev-sec-blog/how-enterprises-can-defend-against-deepseek-ai-mobile-security-reats/
[4] https://krebonsecurity.com/2025/02/experts-flag-security-privacy-reps-indeepseek-aip/
[5] https://www.securityweek.com/deepseek-exposes-major-cybersecurity-blind-spot/
[6] https://ironscales.com/blog/deepseek-ai.-what-it-security-leaders-need-to-know
[7] https://blogs.cisco.com/security/evaluating-security- riSk-in-deepseek-and-other-other-frontier-reasoning-models
[8] https://www.radware.com/blog/threat-intelligence/deepseek-s-cybberattack-a-wake-up-call-call-for-ai-security/
[9] https://www.rapid7.com/funmamentals/man-in-the-middle-atacks/
[10] https://sbscer.com/blog/deepseek-ai-dangers