Veri ihlalleri artık nadir şoklar değil; sızdırılan müşteri kayıtlarından çalınan kaynak kodlara dek dijital hayatların ifşası haftalık bir ritme dönüştü. Dünyanın büyük bölümdeki bilgisayar kodlarına ev sahipliği yapan çevrimiçi Git barındırma servisleri, ortak yazılım geliştirme için vazgeçilmez olmakla birlikte siber tehditlere karşı özel bir saldırı yüzeyi sunuyor.
GIT HİZMETLERİ RİSKTE
Geçen hafta bilgisayar korsanlarının GitLab’dan yaklaşık 570 GB veri çaldığı bildirildi. Çalınan veriler IBM, Siemens ve ABD hükümet kuruluşlarıyla ilişkilendirildi. 2022 Aralık’ta GitHub depolarında tutulan Okta kaynak kodu da saldırıya uğramıştı. Saldırganlar, geliştiriciden habersiz mevcut projelere kötü amaçlı kod enjekte edebiliyor; ‘yazılım tedarik zinciri’ saldırıları, geliştirme araçları ve güncelleme kanallarını yüksek değerli hedeflere dönüştürüyor.
KARAKTER DÜZEY ŞİFRELEME
Yeni bir konferans bildirisinde, bir araştırma ekibi Git servislerini çok az performans etkisiyle daha güvenli kılacak bir yaklaşım sundu. Signal ve WhatsApp gibi mesajlaşma servislerinde kullanılan uçtan uca şifreleme verileri platformdan korurken, Git servislerinde şimdiye dek pratik bulunmamıştı: Kod sürekli değiştiği için her küçük düzenlemede tüm içeriği yeniden şifreleyip iletmek bant genişliği ve verimlilik açısından maliyetliydi.
Önerilen çözüm, “karakter düzeyinde şifreleme” kullanıyor: Kodda yapılan düzenlemeler, tüm depo yerine yalnızca eklenen/değişen kısım olarak şifreleniyor. Bu, her seferinde yeni sürüm üretmek yerine Word belgesindeki “izlenen değişiklikleri” şifrelemeye benzetiliyor. Böylece güncellenen kod gizli kalırken iletişim trafiği ve depolama ihtiyacı azalıyor.
AÇIK KAYNAK ARAÇ
Yöntem, mevcut Git servisleriyle uyumlu olacak biçimde tasarlandı; barındırma, bant genişliği tasarrufu ve dizinleme gibi sunucu işlevleri etkilenmiyor. Kullanıcılar servisi normalde olduğu gibi kullanmaya devam ederken ekstra güvenlik katmanı arka planda çalışıyor. Araç açık kaynak ve ücretsiz; Git servislerine bir “yama” gibi kolayca kurulup devreye alınabiliyor.
UYUMLULUK VE ŞEFFAFLIK
Araştırma, uçtan uca şifrelenmiş çevrimiçi işbirliğine geçişin yalnızca başlangıcı olarak konumlanıyor. Aynı garantilerin paylaşılan belgeler, e-tablolar ve tasarım dosyalarına genişletilmesi teknik olarak mümkün; ancak sürekli araştırma ve yatırım gerektiriyor. Şifreleme anahtarlarının yönetimi gibi pratik zorluklara, kullanıcı kimlik bilgilerinin güvenli saklanmasını mümkün kılan bulut tabanlı yaklaşımlarla çözüm arandığı belirtiliyor.
Üniversiteler, hastaneler ve kamu kurumlarında veri saklama ve bazı durumlarda yasal erişim yükümlülükleri, güvenliği uyumluluk ve hesap verebilirlikle dengeleme ihtiyacını doğuruyor. Hedef, uçtan uca şifrelemeyi zayıflatmadan, mahremiyete ve hukukun üstünlüğüne saygılı, doğrulanabilir kontroller kurmak.
PRAGMATİK GEÇİŞ YOLU
Araştırmacılara göre yeni bir internete gerek yok; insanların halihazırda kullandığı araçlara, açık ve kanıtlanabilir güvenlik garantileri getiren pragmatik güncellemeler yeterli. Mesajlaşma, uçtan uca şifrelemenin milyarlarca kullanıcıya ölçeklenebildiğini gösterdi. Sırada kod depoları ve bulut dosyaları var; hedefli yatırımla günlük işbirliğinin diğer alanları da bunu izleyebilir. Yakın gelecekte, paylaşılan bir belge üzerinde çalışırken “altın standart” güvenceyle korunmanın getirdiği gönül rahatlığının sıradanlaşması hedefleniyor.
