Google, açık kaynak yazılımların tedarik zinciri saldırılarına karşı korunmasına yardımcı olacak yeni bir girişim olan OSS Rebuild projesini duyurdu. Şirket, bu projeyle birlikte yazılım güvenliğinde şeffaflığı artırmayı ve geliştiricilere daha güçlü kontrol imkânı sunmayı hedefliyor.
Açık Kaynak Saldırılarında Artış Güven Sorununu Derinleştiriyor
Açık kaynak yazılımlar, dijital dünyanın temel yapı taşlarını oluşturuyor. Günümüzde kullanılan uygulamaların yaklaşık yüzde 77’si açık kaynak bileşenlerle geliştiriliyor. Ancak bu durum, söz konusu yazılımları saldırganların gözünde değerli bir hedef hâline getiriyor. Son yıllarda artan tedarik zinciri saldırıları, özellikle geliştirici topluluklarında güven sorununu büyütüyor.
solana/webjs örneğinde olduğu gibi, kötü niyetli kişiler npm hesabı ele geçirerek projeye arka kapı yerleştirdi. Bunun sonucunda kullanıcıların kripto cüzdan anahtarları çalındı. tj-actions/changed-files adlı GitHub eylemi, saldırganların gizli bilgilere erişmesine neden oldu. xz-utils ise sisteme uzaktan erişim imkânı sağlayan karmaşık bir arka kapıyla gündeme geldi. Tüm bu örnekler, açık kaynak dünyasının ne denli kırılgan olduğunu ortaya koyuyor.
Google tarafından geliştirilen OSS Rebuild, açık kaynak paketlerinin doğrulanabilir şekilde yeniden inşa edilmesini sağlıyor. Böylece bir yazılım bileşeninin nasıl üretildiği açıkça görülebiliyor. Proje, Supply-chain Levels for Software Artifacts (SLSA) kapsamında Seviye 3 gerekliliklerini geliştirici müdahalesi olmadan karşılıyor. Bu sayede hem yazılımların güvenilirliği artıyor hem de geçmiş sürümler için güvenlik belgeleri oluşturulabiliyor.
Proje, hem güvenlik ekipleri hem de yazılım geliştiriciler açısından önemli avantajlar sunuyor. Güvenlik ekipleri, kaynak kod dışı dosyaları, şüpheli derleme ortamlarını ve görünmeyen arka kapıları tespit etme fırsatı buluyor. Ayrıca yazılımlara ait meta veriler zenginleşiyor ve güvenlik açıklarına müdahale süreci hızlanıyor. Geliştiriciler ise projelerine duyulan güveni artıracak bağımsız doğrulamalarla destekleniyor. Daha önce yayınlanmış paketler de bu sistem sayesinde geriye dönük olarak güvenlik belgeleriyle donatılabiliyor.
Şu an için OSS Rebuild; Python (PyPI), JavaScript/TypeScript (npm) ve Rust (Crates.io) ekosistemlerini destekliyor. Google, önümüzdeki dönemde diğer açık kaynak platformlarının da projeye dahil edileceğini belirtti. Kullanıcılar, komut satırı üzerinden paketleri doğrulayabiliyor, yeniden inşa edilmiş sürümleri inceleyebiliyor ve ihtiyaç duyduklarında bu paketleri yeniden oluşturabiliyor.
