Yazılım geliştirme dünyasının olmazından olan Entegre Geliştirme Ortamları, yani kısaca IDE'ler, günümüzde hayatımızın merkezi. Cursor gibi yeni nesil editörlerin veya VS Code tabanlı tüm çatallar (fork) bu güç sayesinde vazgeçilmez hale geldi. Ancak Trendyol CSOC ve Uygulama Güvenliği araştırmaları, geliştirici süreçlerini kökünden sarsabilecek ciddi bir tedarik zinciri saldırısının kapılarını araladığını ortaya koydu.
Bu keşif, IDE'lerin kullandığı açık kaynak ekosistemin (extension) güvenilirliğine dair büyük sorular doğurdu. Microsoft Marketplace gibi dev platformların dışında çalışan alternatif isimler, siber suçlular için ideal bir alan yaratmıştı ve bu durum, saldırganlara kendi kodlarını geliştiricilerin makinesine sessizce yükleme imkanı sunuyordu.
Açık kaynak ekosisteminde paket yöneticileri bazen bir karmaşaya neden olabiliyor. Bu duruma dependency confusion (bağımlılık karışıklığı) deniliyor. 2021 yılında npm dünyasında yaşanan sorunlar, IDE'lerin uzantı sistemine kaymış durumda. Saldırganlar OpenVSX gibi alternatif kayıt ortamlarında geliştiricilerin kullandığı yaygın tanımlayıcıları ele geçiriyorlardı. Birçok editör bu yayınlama mekanizmasını kullanırken, bir saldırganın 'terk edilmiş' veya hiç ilan edilmemiş bir yazar/uzantı adını kaydetmesi yeterliydi.
Bu demek oluyor ki, geliştirici bilgisayarında yüklü olması gereken güvenilir bir yazılım yerine, tam olarak aynı isimle yayınlanmış ama farklı ve kötü niyetli bir uzantıyı sorunsuz bir şekilde kurabiliyor ve çalıştırabiliyordu. Bu durum teorik kalmıyor; ekiplerimiz kendi geliştirme ortamlarında saldırının etkisini bizzat test etti.
OpenVSX tarafındaki kayıtları Microsoft Marketplace'taki tüm uzantılarla karşılaştıran detaylı bir analiz yapıldı. Bu harita, siber tehditlerin ne denli geniş bir alana yayılmış olduğunu gözler önüne serdi.
eylik Uzantılar listesi oldukça büyük olsa da, bazı çarpıcı bulgular dikkat çekiyor:
milyonlarca kullanıcı tarafından kullanılan ve güvenilir olduğu varsayılan uzantı isimleri OpenVSX'te hiç bulunmuyordu. Bu durum, kayıt dışı olan veya boş duran 'namespace' (isim alanı) alanlarının saldırganlar için kolay hedef olması anlamına geliyordu.
bazı önemli isimlerin tam olarak aynı ismi kullanarak farklı bir GitHub hesabına taşındığı tespit edildi. En tehlikeli bulgu ise, tamamen aynı yazar adı ve uzantı kimliğine sahip paketlerin her iki platformda da mevcudu gibi durumuydu. sumneko. lua veya rust-lang. rust gibi sektörde çok güvenilen adlar bile bu saldırıya karşı savunmasız kalıyordu.
Bu tür bir isim taklidi (squatting), yalnızca kayıt üzerinde değil, uzantıların arka plan kodları üzerinden de devam edebiliyor. Geliştiricilerin fark edemediği şekilde zararlı yazılımlar, başlangıçta zararsız gibi davranıp daha sonra korsan edilmiş yayımlayıcı hesaplar aracılığıyla tam kapsamlı bir kötü amaçlı yazılıma dönüşebiliyordu.
Hükümet veya platform bazında güvenlik iyileştirmeleri yapılsa da, son savunma hattı her zaman organizasyonların kendi iç politikaları olmalıdır. Bu tür geniş çaplı bir tedarik zinciri riski karşısında şu adımların atılması hayati önem taşıyor:
waziyete en dayalı uzantılar listesi oluşturmak (allowlist) belli bir süre güncelleme yapma beklemesi koymak (cooldown). uzantıların imza doğrulaması gibi ek güvenlik katmanlarını etkinleştirmek. bu tür harici sistemlerin durumunu düzenli olarak izlemek ve risk analizi yapmak.
Bu alandaki gelişmeler, sadece IDE güvenliğini değil, tüm yazılım geliştirme yaşam döngüsünün bütününü yeniden düşünmeyi gerektiriyor.
Topluluk yargısını şekillendirmek için fikrini tek bir sinyalle belirt.
Henüz yorum yapılmamış. İlk yorumu sen yap!
E-posta adresiniz yayımlanmayacaktır. Gerekli alanlar (*) ile işaretlenmiştir.
