PHP'de bulunan iki kritik açık, internetin büyük kısmını aynı anda savunmasız bıraktı. Fişi çekemeyiz. O zaman soru şu: Kayıtlarımızın değiştirilmediğinden nasıl emin olacağız?
İnternetin yüzde 70'i, 21 Ekim sabahı kapısı kilitsiz bir ev gibi uyandı. Şaka değil.
WordPress siteniz, bankanızın kampanya sayfası, belediyenizin e-hizmet portalı... Hepsinin altında aynı dil çalışıyor: PHP. Ve PHP'nin kalbinde, uzaktan herkesin içeri girmesine izin veren iki açık bulundu. Adı PHP2Shell.
Bu açıkları bir insan bulmadı. Yapay zekâ buldu.
Açıklar kamuoyuna duyurulmadan günler önce ise birileri o kapıyı zorlamaya başlamıştı bile.
Yanlış varsayım
Bütün siber güvenlik anlayışımızı tek bir varsayım üzerine kurduk. Açık bulmak zordur. Zaman alır. Uzman ister. Pahalıdır.
O varsayım artık geçerli değil.
Güvenlik araştırmacılarının bugün yapay zekâyla haftalar içinde bulduğunu, yarın kötü niyetli biri aynı araçlarla günler içinde bulacak. Savunma her seferinde kazanmak zorunda. Saldırganın bir kez kazanması yetiyor.
Fişi çekmek bir çözüm mü?
Böyle bir gecede akla gelen ilk refleks şu: Her şeyi kapatalım, yamalayalım, sonra açalım.
Ama internetin yüzde 70'inin fişini çekemezsiniz. Bankalar, hastaneler, e-devlet, ticaret... Hepsi bu altyapıya bağlı. Fişi çekmek, saldırıdan daha büyük bir hasar olur.
Yani cevap hayır. İnternetin fişini çekmeyeceğiz. Ama şu soruyu ciddi olarak sormak zorundayız: Kapıyı kapatamıyorsak, en azından içerideki kayıtların değiştirilmediğinden nasıl emin olacağız?
Asıl korkutucu soru
Bu tür olaylarda hep aynı soruları sorarız. Site çöktü mü? Veri çalındı mı?
Oysa asıl soru başka: Kapıdan giren biri hiçbir şey çalmadan, sadece bir kaydı değiştirip çıktıysa, bunu kim fark edecek?
Bir tapu kaydı. Bir fatura tutarı. Bir ihracat belgesi. Bir şirketin ortaklık yapısı. Bir diploma.
Bunların neredeyse tamamı bugün merkezi veritabanlarında duruyor. O veritabanına giren biri bir satırı değiştirir, izini siler ve sistem yeni değeri "doğru" kabul etmeye devam eder. Çünkü merkezi bir sistemde gerçeğin tek kaynağı, o veritabanının kendisidir.
Veritabanı yalan söylerse, ona itiraz edebilecek ikinci bir tanık yoktur.
Sisteme güvenin devri bitti
İşte blockchain tam bu noktada devreye giriyor. Kripto paraları, fiyat grafiklerini bir kenara bırakın. Teknolojinin asıl değeri tek bir cümlede saklı:
Zincir saldırıyı her zaman durdurmaz. Ama saldırının saklanmasını imkânsız kılar.
Bir kaydın dijital parmak izi blockchain'e yazıldığında, o kayıt artık binlerce bağımsız bilgisayarın ortak hafızasındadır. Biri sunucudaki kaydı değiştirse bile, parmak izi uyuşmaz. Müdahale anında görünür olur.
Bugün kurumlar bize "sisteme güvenin" diyor. Yarın "kendiniz doğrulayın" diyebilecekler.
Organize sanayi bölgelerindeki menşe sertifikalarından belediye ihalelerine, tapu kayıtlarından ticaret siciline kadar Türkiye'nin değiştirilmemesi gereken her kaydı için bu fark hayati.
Dürüst olalım
Blockchain sihirli değnek değil. PHP2Shell kripto dünyasını da vurmuş olabilir; pek çok borsa sitesi ve uygulama arayüzü de PHP ile çalışıyor. Zincirdeki kayıt güvende kalsa bile kullanıcı sahte bir sayfaya yönlendirilebilir.
Mesele "blockchain kazandı" demek değil. Mesele, hangi verinin tek bir sunucuya emanet edilemeyecek kadar önemli olduğuna karar vermek.
Bir sonraki gece
Bugün yapılacak ilk iş belli: PHP sürümlerini güncellemek.
Ama ikinci iş daha önemli. Sistemlerimizi "hiç sızılmayacak" varsayımıyla değil, "bir gün mutlaka sızılacak" gerçeğiyle tasarlamak. Sızıldığında bile kaydın değişmediği, değişse bile herkesin göreceği bir mimariyle.
Çünkü bir sonraki PHP2Shell'in ne zaman geleceğini bilmiyoruz.
Tek bildiğimiz, geleceği. Ve o gece kayıtlarınızın nerede duracağına bugün karar vermeniz gerektiği.
Eser Karlık — Avalanche Team1 Türkiye Growth Manager
