Açık kaynaklı kriptografik yazılım kütüphanesi OpenSSL’de çok ciddi bir güvenlik açığı tespit edildiğini dün okuyucularımıza iletmiştik [1]. Bu açık, internetin yapısal risklerinin de yeniden tartışılmasına yol açmış durumda. Analistler OpenSSL’in 1990’larda yaratılan bir yazılım olduğunu ve şimdi ciddi bir güvenlik sorununa neden olan kodlama hatalarının açık kaynaklı kod dünyasındaki kaotik çalışma yapısı nedeniyle gözden kaçmış olabileceğini söylüyorlar.
Yeni keşfedilen ve Hearthbleed bug adı verilen güvenlik açığı, OpenSSL 1.0.1’in g versiyonuna dek olan tüm OpenSSL 1.0.1 sürümlerini kapsıyor ve saldırganların istedikleri bilgisayara ve networke rahatlıkla sızarak X.509 sertifikaları, kullanıcı adları, şifreler, anlık mesajlar, e-postalar, kritik iş belgelerini çalmasına olanak sağlıyor. Apache ve nginx web sunucularının OpenSSL kullanıyor olduğu düşünülürse tüm aktif internet sitelerinin %66’sından fazlası risk altında. Üstelik, saldırganlar istedikleri bilgilere hiçbir iz bırakmadan ulaşabiliyor. Dolayısıyla da bu açık aktif bir biçimde istismar ediliyor mu kestirmek çok zor.
Analistler, bir anda ortaya çıkan bu sorunun temelinde açık kaynak kodun doğası gereği oluşan kaotik yapı olduğunu söylüyorlar. Açık kaynak kod projeleri genellikle gönüllülük temelinde üzerinde pek çok yazılımcının çalıştığı ve karşılıklı kontrol ile yürüyen projelerdir ve bu yüzden kapalı kodlu yazılımlara kıyasla çok daha güvenilir olarak görülür. Bununla birlikte, açık kaynak projeleri gönüllülük usulüyle yürüdüğü için projenin tam olarak bitirilememesi veya 5 yıl sonra destek verecek kimsenin olmaması gibi sorunlar yaşanabiliyor.
Bu durum, şimdi ortaya çıkan OpenSSL açığının da altındaki temel sebeplerden birisi olabilir. Amerikan Sivil Özgürlükler Birliği teknoloji uzmanlarından Christopher Soghoian OpenSSL’in eski bir kod olduğunu ve sorumluluğun kimde olduğunun bilinmemesi nedeniyle güncelleme sıkıntısı yaşanmış olabileceğini açıklıyor. Bu nedenle açık kaynak projelerde yönetici ekiplerin belirlenmesi ve sorumlulukların net bir biçimde tanımlanması son derece önemli.
[1] İnternet’te Ciddi Sorun ; OpenSSL Açığı Keşfedildi
Kaynak : 