29 Ekim Cumhuriyet Bayramımız kutlu olsun. Bilimin, özgür düşüncenin ve birlikte üretmenin yolumuzu aydınlatmaya devam etmesini diliyoruz.
Bir internet sitesi yaptırırken konuşma genellikle teslim tarihinde biter. Site açılır, çalışır, iş tamamlanmış sayılır. Oysa bir sonraki güvenlik açığında telefonu kimin açacağı, ilk sürümü kimin yazdığı kadar önemli bir soru.
21 Ekim’de PHP’deki iki kritik güvenlik açığının açıklanması, bu soruyu görünür hale getirdi. PHP, WordPress ve Drupal gibi sistemlerin arkasında çalışan bir programlama dili; açıklanan açıklar, saldırganların etkilenen sunucularda izin almadan komut çalıştırmasına yol açabiliyordu. (Reuters, ENISA)
Avrupa’daki bazı kamu kurumları ve başka hizmetler, güncellemeler uygulanırken sitelerini önlem olarak kapattı. Bu kapanmaların hepsini başarılı bir saldırının sonucu gibi okumamak gerekiyor; Reuters’ın aktardığı örneklerde sistemleri korumak için erişim durduruldu. (Reuters)
Açığı yazan değil, bulan yapay zeka
Buradaki önemli ayrım şu: Haber, yapay zekanın yazdığı yeni bir uygulamanın bozulması değil. Araştırmacılar, PHP’nin kodunda yıllardır duran açıkları yapay zeka yardımıyla ortaya çıkardı. (Reuters)
Dolayısıyla çıkarılacak sonuç, “yapay zekaya kod yazdırmayın” değil. Daha anlamlı soru, yazılım üretmek kolaylaştığında onu güvenli biçimde işletmenin sorumluluğunun nereye gideceği.
Bir uygulamanın kendi kodu düzgün çalışsa bile, kullandığı başka bir yazılımdaki açık onu etkileyebilir. Avrupa Birliği Siber Güvenlik Ajansı ENISA da PHP’yi arka planda kullanan ürünlerin, kullanıcıları bunun farkında olmasa bile etkilenebileceğini belirtiyor. (ENISA)
Bu durumda ekranda çalışan bir ürün göstermek yeterli ölçüt değil. Arkasında hangi parçaların bulunduğunu, bunların kim tarafından güncellendiğini ve bir sorun çıktığında müdahale edecek kişinin kim olduğunu da bilmek gerekiyor.
Kod teslim edilir. Bakım devam eder.
PHP ekibi 21 Ekim’de güvenlik güncellemelerini yayımladı ve bu iki açık için güncellemenin tek tam çözüm olduğunu belirtti. Bazı geçici önlemler belirli saldırı yollarını daraltıyor, ancak kurulumu bütünüyle güvenli hale getirmiyordu. (PHP güvenlik duyurusu)
Bu ayrım işin ticari tarafını da açıklıyor. Bir düzeltmenin yayımlanmasıyla müşterinin sisteminde uygulanmış olması aynı şey değil. Aradaki işi birinin üstlenmesi gerekiyor: etkilenen sistemleri bulmak, güncellemeyi uygulamak ve hizmetin çalıştığını kontrol etmek.
ENISA’nın çağrısı da yalnızca yeni sürümü indirmekten ibaret değildi. Kuruluşlardan PHP kullanan uygulamalarını belirlemeleri, barındırma ve hizmet sağlayıcılarıyla koordinasyon kurmaları, güncellemeleri uygulamaları istendi. (ENISA)
Yazılımın ilk teslimi tek seferlik bir iş olabilir. Bu sorumluluk ise ürün kullanıldığı sürece devam eder.
Yazılım ucuzlarsa güvenliğin değeri ne olur?
Teknoloji Borsası’nın bu olaydan çıkardığı piyasa sorusu şu: Kod üretmenin bedeli düşerse, yazılım için ayrılan bütçede güvenliğin payı artar mı? Ürünü yapmanın yanında, onu sürekli kontrol etmek ve sorunları gidermek daha önemli bir satın alma gerekçesi haline gelir mi?
Burada izlenmeye değer alan yalnızca saldırıları engelleyen araçlar değil. Yazılımdaki açıkları bulan, düzeltmeleri uygulayan ve sistemleri sürekli izleyen hizmetler de aynı sorunun farklı parçalarına cevap veriyor. Bizim açımızdan bunlar, talebin nasıl değişebileceğini araştırmak için bir başlangıç; henüz kanıtlanmış bir büyüme veya kazanan listesi değil.
Reuters’ın haberinde WordPress.com işletmecisi Automattic, kendi barındırdığı hizmetlerin ve Tumblr’ın bu açıktan etkilenmediğini söyledi. Aynı haber, teknik kaynakları sınırlı küçük site işletmecilerinin daha yüksek riskle karşılaşabileceğini aktardı. (Reuters)
Bu örnek, yalnızca sunucuda yer vermek ile güncellemeyi takip edip uygulamanın aynı teklif olmadığını gösteriyor. Piyasa açısından izlenecek şey, müşterilerin bu fark için ayrıca ödeme yapıp yapmayacağı. Bir diğer soru da güvenliğin ayrı bir ürün olarak mı satılacağı, yoksa barındırma ve yazılım hizmetinin içine mi gireceği.
Aynı araç savunmaya da yardım ediyor
Hikayenin diğer tarafını kaçırmamak gerekiyor. Bu açıkların bulunmasında da yapay zeka kullanıldı; araştırmacılar Calif, Wiz ve PHP ekibiyle birlikte düzeltme sürecini yürüttü. (Reuters)
Bu nedenle geleceği yalnızca daha çok saldırı üzerinden okumak eksik kalır. Yapay zeka, savunmanın da daha hızlı çalışmasına yardımcı olabilir. Daha fazla açığın bulunması, güvenlik şirketlerinin otomatik olarak daha fazla kazanacağı anlamına gelmez; aynı araçlar koruma işinin maliyetini de düşürebilir.
Bu yüzden izlenecek işaret, yalnızca yeni açıkların sayısı değil. Güvenliğin satın alma kararlarında daha fazla ağırlık kazanması, müşterilerin bunun için bütçe ayırması ve hizmet sağlayıcıların bu talebi kalıcı bir işe dönüştürebilmesi önemli olacak.
Yazılım pazarını yalnızca kimin daha hızlı ürün yaptığı üzerinden okumayalım. Ucuzlayan kodun yanında, kimin güvenliği sağlayabildiğine ve müşterinin bunun için ne ödemeye razı olduğuna da bakalım.
Kod ucuzlayabilir. Güvenli kalmanın değeri ise ayrı bir mesele.
Bu ayrım işine yaradıysa, yazılım ve güvenlik pazarını takip eden birine gönder.
Bu içerik yalnızca bilgilendirme amaçlıdır. Yatırım tavsiyesi değildir. Herhangi bir finansal karar vermeden önce bağımsız finansal danışmanınıza başvurmanızı tavsiye ederiz.