Linux çekirdeği güvenlik ekibi nefes kesen bir hafta sonu geçirdi. Pazar ve Pazartesi günleri arasında 432 güvenlik açığı kaydedildi.Bu rakam, işletim sisteminin yakın tarihindeki eşi benzeri görülmemiş bir durum. Çoğu küçük hata olsa da, bu kadar büyük miktarda hatanın ortaya çıkması, Linux'un sayısız sunucu ve kritik sistemin temelini oluşturduğu Avrupa genelindeki yöneticileri ve şirketleri alarma geçirdi.
Bu yoğunluğun ardında büyük bir denetim veya koordineli bir saldırı değil, biriken bir iş yükü var. Çekirdek geliştiricilerinden Greg Kroah-Hartman, altı hafta üst üste süren konferanslar ve tatillerin, incelemelerin kamuya açık sıraya alınmasını geciktirdiğini açıkladı.Faaliyetler yeniden başladığında, bekleyen tüm raporlar aynı anda yayınlandı. Yapay zekâ da rol oynadı: Otomatik analiz araçları, daha önce yıllarca gizli kalabilecek hataları ortaya çıkararak uyarı sayısını artırdı.
Eşi benzeri görülmemiş bir iş birikimi
Sadece 48 saat içinde yayınlanan 432 CVE tanımlayıcısı, tüm sistemlerin eşit derecede risk altında olduğu anlamına gelmez. Bu hataların çoğu belirli sürücüleri, nadiren kullanılan işlevleri veya çok özel yapılandırmaları etkiler.Ancak, hangi altyapıların gerçekten tehlikeli olduğunu ayıklama görevi neredeyse imkansız hale geldi. Kroah-Hartman, ekibin tüm partiyi işlemek ve düzeltmek için 18 aya kadar zamana ihtiyacı olabileceğini belirtti; bu süreyi, çekirdeğin normal çalışma hızı göz önüne alındığında normal kabul ediyor.
Geliştirici ayrıca, güvenlik açıklarının çoğunun C dilinde klasik türden olduğunu açıkladı: bellek sızıntıları, arabellek taşmaları ve işaretçi hataları. Bunlar özellikle karmaşık hatalar değil, daha ziyade sürekli manuel kaynak yönetimi gerektiren bir dilde geliştirme yaparken ortaya çıkan sorunlardır.Bu bağlamda yapay zeka, bu hataları daha hızlı tespit etmeye yardımcı oluyor, ancak aynı zamanda insan inceleyicilerin zorlukla sindirebileceği bir rapor yığını da oluşturuyor.
Yapay zekâ: müttefik ve meydan okuma
Çekirdek kodunu analiz etmek için yapay zeka araçlarının kullanımı, oyunun kurallarını değiştirdi. Yıllarca gizli kalan hatalar artık birkaç hafta içinde gün yüzüne çıkıyor.Bu durum uzun vadede güvenliği artırıyor ancak kısa vadede bakımcıları bunaltıyor. Kroah-Hartman, güvenlik e-posta listesindeki gönderi sayısının "tamamen yönetilemez" hale geldiğini ve süreç değişiklikleri olmadan mevcut hızın sürdürülemeyeceğini zaten belirtmişti.
Akamai Technologies'in baş güvenlik mimarı Jan Schaumann, The Register'a yaptığı açıklamada, CVE sisteminin güvenlik değişikliklerini izlemek için en iyi yöntem olmadığı konusunda hemfikir olduğunu belirtti. "Bu büyük değişiklik kümesini bir Hukuk Yüksek Lisansı (LLM) programıyla işlemeye çalışıp önceliklendirmelerini isteyebilirsiniz, ancak size bugün bir düzine, ertesi gün de 25 tane verirlerse, pek bir şey kazanmış olmazsınız."Schaumann, mantıklı yaklaşımın, belirli bir zaman dilimi içindeki tüm değişiklikleri kapsayan otomatik, düzenli ve sık güncellemeler uygulamak olduğunu açıkladı; ancak bunun birçok büyük kuruluş için zor olduğunu da kabul etti.
Önceliklendirme ve yamalama zorluğu
432 güvenlik açığının birikmesi, geleneksel bireysel yama uygulama modelinin artık geçerli olmadığını göstermiştir. Kroah-Hartman, şirketlerin güncellenen çekirdek sürümlerini kullanmalarını ve güncellemeleri yayınlamadan önce test eden dağıtımlara güvenmelerini önermektedir.Ayrıca, manuel inceleme gerektiren durumların sayısını azaltmak için değiştirilmiş dosyalar ve kurulu bileşenler arasındaki karşılaştırmanın otomatikleştirilmesini de önermektedir.
Schaumann ise, önümüzdeki haftalarda hangi sorunların gerçekten ciddi olduğunu görmek için beklememiz gerektiğini vurguluyor. "Tüm bu güvenlik açıkları ortaya çıkmadan önce bile her şeyi tek tek yamalamak son derece zordu."Hatırlattığına göre, tek mantıklı yaklaşım sık ve kapsamlı güncelleme yapmaktır; ancak uzun güncelleme döngülerine ve sıkı doğrulama süreçlerine alışmış birçok Avrupa kuruluşu için bu değişimin önemli bir örgütsel zorluk teşkil ettiğini de kabul ediyor.
Mevcut durum, Linux'un daha az güvenli olduğu anlamına gelmiyor; aksine, bakım şeklinin yeni bir keşif hızına uyum sağlaması gerektiği anlamına geliyor. Yapay zekâ, zaten var olan sorunları gün yüzüne çıkarıyor ve ekosistemin bilgi hacmini yönetmek için daha çevik süreçlere ihtiyacı var.Bu arada, İspanya ve Avrupa'nın geri kalanındaki sistem yöneticileri, güncellemeleri önceliklendirmeli ve gerekli yamaları entegre etmek için halihazırda çalışan dağıtımlara güvenmelidir.
