GitHub, son aylarda npm ekosistemini hedef alan ve geniş kapsamlı etkiler yaratan tedarik zinciri saldırılarına yönelik kapsamlı güvenlik önlemleri paketini uygulamaya koyuyor. Ağustos ayı sonunda tespit edilen “s1ngularity”, Eylül başındaki “GhostAction” ve geçtiğimiz hafta ortaya çıkarılan “Shai-Hulud” saldırıları, npm paketlerine sızarak binlerce kullanıcı hesabını ve özel depoyu etkisi altına aldı. Bu saldırılar, kritik verilerin ele geçirilmesine ve yüksek miktarda iyileştirme maliyetine yol açtı.
Yazılım Ekosisteminde Daha Katı Önlemler Alındı
GitHub, yaşanan güvenlik olaylarına verdiği hızlı tepkilere rağmen, asıl çözümün proaktif önlemlerde olduğunu açıkça beyan etti. Platform, riskleri minimize etmek amacıyla aşağıdaki adımları kademeli olarak hayata geçireceğini duyurdu:
- Yerel paket yayınlama işlemleri için İki Faktörlü Kimlik Doğrulama (2FA) zorunlu hale getirilecek.
- Maksimum yedi gün ömre sahip, dar kapsamlı erişim token’ları kullanılacak.
- Güvenilir Yayıncılık (Trusted Publishing) özelliğinin benimsenmesi aktif olarak teşvik edilecek.
- Klasik token’lar ve TOTP tabanlı 2FA yöntemi kullanımdan kaldırılacak.
- Yayın token’larının geçerlilik süreleri daha da kısaltılacak.
- Varsayılan yayın erişimi, token kullanımını engelleyecek şekilde yapılandırılacak.
- Yerel yayıncılık sırasında 2FA’yı atlama seçeneği tamamen kaldırılacak.
GitHub, npm paketlerini yöneten geliştiricileri acilen Güvenilir Yayıncılık sistemine geçiş yapmaya davet ediyor. Bu sistem, geliştiricilerin build sistemlerinde API token’larını elle yönetme zorunluluğunu ortadan kaldırıyor. Aynı zamanda, geliştiricilerin yayın ve yazma işlemleri için 2FA’yı etkinleştirmesi ve zaman tabanlı tek kullanımlık şifreler (TOTP) yerine daha güvenli bir standart olan WebAuthn’ı kullanması öneriliyor.
Söz konusu güvenlik güncellemeleri, mevcut iş akışlarını en az düzeyde etkileyecek şekilde kademeli olarak uygulanacak. GitHub, kullanıcıların bu geçiş sürecini sorunsuz atlatabilmeleri için detaylı dokümantasyon ve geçiş rehberleri sağlayacak. Platform, ekosistem güvenliğinin kolektif bir sorumluluk olduğunun altını çizerek tüm geliştiricileri mevcut güvenlik seçeneklerini en üst düzeyde kullanmaya çağırıyor.
Ruby paket ekosistemi RubyGems de son dönemde artan güvenlik tehditleriyle karşı karşıya kaldı. Sistem, 275 bin defa indirilme sayısına ulaşan 60 zararlı paketin yanı sıra, popüler Fastlane projesinin adını taklit eden sahte yazılım saldırılarından etkilendi.
Bu güvenlik açıkları, ekosistemin yönetim organı Ruby Central’ı yeni önlemler almaya yöneltti. Kuruluş, paket yönetim sisteminin idari kontrolünü sıkılaştırma kararı aldı. Yeni yönetişim modeli ve ilgili politikalar belirlenene kadar sistem yönetici erişimleri yalnızca Ruby Central çalışanlarıyla sınırlandırıldı.
Kuruluş, bu geçici düzenlemenin ardından daha şeffaf ve topluluk katılımına dayalı yeni bir yönetim modeline geçiş sözü verdi. Topluluk üyelerinden gelen tepkiler üzerine, Ruby Central’ın bugün gerçekleştireceği açık oturumda bu değişikliklerin detaylarını paylaşması ve katılımcıların sorularını yanıtlaması bekleniyor.
