Son birkaç haftadır herkes bir 'clearinghouse' (takas odası) duyurusu yapıyor gibi görünüyor. Biz de yaptık. Bizimkinin adı Athena ve onu diğerlerinden ayıran en önemli özellik, duyurduğumuzda zaten çalışır durumda olmasıydı. Müşteriler sürekli talep ettiği için aylar önce sessiz sedasız kurulmuş, bulguları alıp düzeltmeler gönderiyordu. Duyuruyu ancak şimdi yaptık çünkü herkes kendi duyurusunu yapmaya başlamıştı ve sessiz kalmak, olmadığımız bir şey gibi görünmemize yol açıyordu. Diğerleri daha gürültülü geldi ve basın bültenlerinin dışında kimse onların gerçekten var olup olmadığını bilmiyordu.
İşte bu duyuruların hiçbirinin size söylemeyeceği kısım: Clearinghouse inşa edilecek en önemsiz şeydir.
Kasıtlı olarak gizli tuttuğumuz bir proje, beş milyar dolarlık bir basın bülteni ve Beyaz Saray birkaç hafta içinde aynı kelimeye sarıldığında, bu bir trend değildir. Trendler isteğe bağlıdır. Bu, bir sorunun herkesin gözü önünde şekil değiştirmesidir. O halde bu şeylerin neden ortaya çıktığını, çoğunun neden önemsiz olacağını ve önemli olan birkaçının neden sessizce kendilerini işsiz bırakmak için yarıştığını açıklayayım.
Clearinghouse sadece veridir
Clearinghouse'lar açık kaynak için yeni değil. Onlarca yıldır varlar.
NVD bir clearinghouse'tur. GitHub Advisory Database de öyle, OSV de ve daha önce çektiğiniz her güvenlik akışı da. Güvenlik açığı portalı olan her satıcı, kendi yazılımına odaklanmış bir tane işletiyor. Hepsi aynı şey: ön kapısı olan bir güvenlik açığı verisi havuzu.
Bu yaz duyurulan 'clearinghouse'lar yeni bir tür değil, ancak yeni bir tür veriyi bir araya getiriyorlar: açık kaynağın uzun kuyruğuna dağılmış, ifşa öncesi güvenlik açıkları. Kimisi kritik projelerde, kimisi kimsenin duymadığı küçük projelerde; kimisi en son sürümde, kimisi çalışan herhangi bir eski sürümde. Bu, şimdiye kadar bir araya getirilmiş en az organize ama en kapsamlı güvenlik araştırma projesi anlamına geliyor. Ve Unix süreç modeli nedeniyle hepsi aynı öneme sahip: En belirsiz bağımlılıktaki bir kusur, onu yükleyen uygulamayla tamamen aynı ayrıcalıklarla çalışır, bu nedenle ağaçtaki en küçük yaprak bile tüm süreci ele geçirebilir.
Havuz yeni değilse, hikaye de havuz değildir.
Havuz hiçbir zaman asıl mesele olmadı
Veri hareketsizdir. Bir veritabanında duran bir bulgu hiçbir şeyi düzeltmemiştir. Değer, her zaman zor olan kısım, harekete geçirmedir: o bulguyu yeniden derlenmiş, test edilmiş, imzalanmış bir yapıta dönüştürmek, gerçekten çalıştırdığınız sürüme geri taşımak ve araçlarınızın zaten işaret ettiği kayıt defterine koymak. 'İşte bir tavsiye, iyi şanslar' değil. Siz aramaya başlamadan önce, onu tüketeceğiniz yerde bir düzeltme.
