Linux'da güvende olduğunuzdan nasıl emin olabiliyorsunuz?

Merhabalar, bu sorularım agresiflik olarak algılanmasın. Sadece merak ediyorum işin arka tarafını.

Genelde Linux kullanıcıları "bilgisayarıma Microsoft'u ortak edemem, verilerimi onlarla paylaşamam" mantığıyla Linux'da verilerimizin daha güvende olduğunu söylüyorlar. Peki, Linux'da güvende olduğumuz nereden belli? Belki de geliştirici arkaya telemetri gibi bir hizmet attı, bunu nereden bilebiliriz?

Mesela Microsoft'un veri sızıntısı ortaya çıkarsa; muhattabımız belli, cezayı yiyecek adamlar belli, Microsoft. Adamlar karşımızda canlı canlı duruyor. Peki Linux'da böyle bir şey ortaya çıkarsa muhattabımız kim? Sonuçta dağıtımları küçücük topluluklar hazırlıyor. Hatta bir yerde 2-3 kişinin bile yoğun çalışarak dağıtım hazırlayabileceğini okumuştum. Biz bu dağıtımı kullanırsak, o 2-3 kişiye bel bağlamış olmuyor muyuz, onların insafına kalmış olmuyor muyuz? Bunun Windows kullanmaktan farkı ne? Hatta bir sıkıntı durumunda Windows'da muhattabımız koskoca Microsoft iken Linux'da 10-15 kişilik küçük bir grup mu? Bu daha da tehlikeli olmuyor mu? Beni aydınlatabilir misiniz?

Son olarak dediğim gibi kesinlikle agresiflik algılanmasın, amacım öğrenmek. İki işletim sistemini de mevcut olarak kullanıyorum, yeri geldiğinde ihtiyacı olana doğru OS'u da öneriyorum. Cevaplar için teşekkürler.

Jukac dedi:

Peki, Linux'da güvende olduğumuz nereden belli? Belki de geliştirici arkaya telemetri gibi bir hizmet attı, bunu nereden bilebiliriz?

Genişletmek için tıkla...

Open Source.

Jukac dedi:

Genelde Linux kullanıcıları "bilgisayarıma Microsoft'u ortak edemem, verilerimi onlarla paylaşamam" mantığıyla Linux'da verilerimizin daha güvende olduğunu söylüyorlar. Peki, Linux'da güvende olduğumuz nereden belli? Belki de geliştirici arkaya telemetri gibi bir hizmet attı, bunu nereden bilebiliriz?

Genişletmek için tıkla...

Çalışan servislere bakarak.

Jukac dedi:

Biz bu dağıtımı kullanırsak, o 2-3 kişiye bel bağlamış olmuyor muyuz, onların insafına kalmış olmuyor muyuz?

Genişletmek için tıkla...

İş gerçekte böyle işlemiyor işte.
"Küçücük topluluklar" dediğiniz toplulukların bile genellikle doğru düzgün politikaları bulunuyor.

Jukac dedi:

Bunun Windows kullanmaktan farkı ne?

Genişletmek için tıkla...

Özgür yazılım. Windows'da istesen de bel bağlamış oluyorsun, ama Linux'ta bilgiye sahipsen forklar kendin geliştirir kullanırsın, koduna bakarsın vesaire.

Jukac dedi:

Hatta bir sıkıntı durumunda Windows'da muhattabımız koskoca Microsoft iken Linux'da 10-15 kişilik küçük bir grup mu?

Genişletmek için tıkla...

10-15 kişilik bir grup değil işte. Topluluğu gözünüzde çok küçültüyorsunuz.
10-15 kişilik bir grup topluluk olsaydı çoğu distro ile hata arattığımızda sonuç çıkmazdı, çünkü sonuç çıkacak veriyi yayınlayacak topluluk olmazdı.

Milyonlarca insan Linux kullanıyor, ne kadar muhteşem kullanım istatistikleri aksi varmış gibi gösteriyor olsa bile.

Jukac dedi:

Belki de geliştirici arkaya telemetri gibi bir hizmet attı, bunu nereden bilebiliriz?

Genişletmek için tıkla...

GitHub - torvalds/linux: Linux kernel source tree kernel açık kaynak, böyle birşey olsaydı tespit edilirdi. Hem zamanında minessota üniversitesini banlamışlardı projeden backdoor yaratmaya çalışmaktan. Yani gözünüz arkada kalmasın, Linux güvenlidir güvenli kalacaktır.

Jukac dedi:

Hatta bir yerde 2-3 kişinin bile yoğun çalışarak dağıtım hazırlayabileceğini okumuştum. Biz bu dağıtımı kullanırsak, o 2-3 kişiye bel bağlamış olmuyor muyuz, onların insafına kalmış olmuyor muyuz?

Genişletmek için tıkla...

Bu projeye yaratıcılardan çok topluluk geliştirme yapıyor, milyonlardan bahsediyoruz. Hata raporlarını sunan test edenler, geliştiren kısım derken büyük bir topluluk. Windows'u arkada kaç kişi olduğu belirsiz bir ekip geliştiriyor ve kodları açık değil. Microsoft'a mı güvenelim şu durumda ?

Jukac dedi:

Peki, Linux'da güvende olduğumuz nereden belli? Belki de geliştirici arkaya telemetri gibi bir hizmet attı, bunu nereden bilebiliriz?

Genişletmek için tıkla...

Kaynak açık; istediğiniz gibi inceleyebilir, forklayabilirsiniz. Gerekli koşulları sağlayarak commit ekleyebilir ve geliştirilmesine katkıda bulunabilirsiniz.

Jukac dedi:

Mesela Microsoft'un veri sızıntısı ortaya çıkarsa; muhattabımız belli, cezayı yiyecek adamlar belli,

Genişletmek için tıkla...

Değil, böyle bir durumda hiçbir taraf ceza yemez. Kullanıcı bilinci oluşmadıkça böyle bir durumdan korunmak mümkün değil.

Jukac dedi:

Peki Linux'da böyle bir şey ortaya çıkarsa muhattabımız kim?

Genişletmek için tıkla...

Linux Foundation, commitleri inceliyor ve zararlı eklemelere karşı gözetiyor.

Jukac dedi:

Hatta bir sıkıntı durumunda Windows'da muhattabımız koskoca Microsoft iken Linux'da 10-15 kişilik küçük bir grup mu?

Genişletmek için tıkla...

Siz çok yanlış anlamışsınız, topluluk hiç de küçük değil, sadece kernel'e katkı bulunanlar aşağıda. Şimdi düşünün, Windows kaynak koduna kaç kişinin erişimi var? Bu sayının yanına bile yaklaşamaz. Bir güvenlik açığını saptayacak ve düzeltecek devasa bir topluluk var burada. Windows'taysa kaynak koduna kısıtlı sayıda kişinin erişimi bulunuyor. Sürekli güvenlik açıkları exploitleniyor, milyonlarca kişi zarar görüyor. Hangisi daha güvenli?

CoffeeCake_AoE dedi:

Kernel açık kaynak, böyle birşey olsaydı tespit edilirdi. Hem zamanında minessota üniversitesini banlamışlardı projeden backdoor yaratmaya çalışmaktan.

Genişletmek için tıkla...

Kasıtlı olarak backdoor eklemeyi denediler ve commitleri kabul edildikten sonra böyle bir deney uyguladıklarını itiraf ettiklerinde banlandılar, evet

Demem o ki her kodu kendin okumadığın sürece birilerine bel bağlamış oluyorsun. Yine de her şey ortada olduğu için tek bir karar mekanizması yok. 5 yıl önce eklenen bir kodu bugün herhangi biri okumaya karar verip sorun olup olmadığına karar verebilir.

egoistpizza dedi:

Sürekli güvenlik açıkları exploitleniyor, milyonlarca kişi zarar görüyor. Hangisi daha güvenli?

Genişletmek için tıkla...

Tam tersine Linux çekirdeğinin durumu tam olarak bu. Exploit mitigasyonlarında geriden geliyor, mimari güvenlik zafiyetleri sadece bir bug olarak görülüyor Linux tarafında.

acv dedi:

Kasıtlı olarak backdoor eklemeyi denediler ve commitleri kabul edildikten sonra böyle bir deney uyguladıklarını itiraf ettiklerinde banlandılar, evet

Demem o ki her kodu kendin okumadığın sürece birilerine bel bağlamış oluyorsun. Yine de her şey ortada olduğu için tek bir karar mekanizması yok. 5 yıl önce eklenen bir kodu bugün herhangi biri okumaya karar verip sorun olup olmadığına karar verebilir.

Genişletmek için tıkla...

Bu sözde "araştırma"ya ne kadar sert tepki verildiğini biliyorsunuzdur diye düşünüyorum. Kurum süresiz olarak erişim hakkını kaybetti ve geçmişte eklediği bütün commit'ler incelenmek üzere kaldırıldı. Brad Spengler bile bu kararın aşırı olduğunu ve büyük bir iş yükü oluşturacağını savundu:

Bu içeriği görüntülemek için üçüncü taraf çerezlerini yerleştirmek için izninize ihtiyacımız olacak.
Daha detaylı bilgi için, çerezler sayfamıza bakınız.

Üçüncü taraf çerezlerini kabul et

Araştırma tarafındansa şöyle bir açıklama geldi:

Ayrıca bir SSS yayınladılar.

Olayın arka planı da çok derin.

Kısacası, "araştırma" amacıyla dahi Linux kerneline yapılan zararlı eklemeler sert bir şekilde cezalandırılır. Yapılan bütün eklemeler kaldırıldı ve tek tek incelendi. Böyle bir hassasiyeti herhangi farklı bir toplulukta karşılayamazsınız.

acv dedi:

Tam tersine Linux çekirdeğinin durumu tam olarak bu. Exploit mitigasyonlarında geriden geliyor, mimari güvenlik zafiyetleri sadece bir bug olarak görülüyor Linux tarafında.

Genişletmek için tıkla...

Böyle bir durum mevcut değil. Saptanan bir zafiyet mail ağıyla aynı anda birçok geliştirici ekibe bildiriliyor ve en kısa zamanda düzeltiliyor.

Guvenli isletim sistemi diye bir sey yoktur aslinda. Linux transparan olmasiyla guvenlik aciklarinin tespit edilmesinde ve kapatilmasinda daha pratiktir.

@egoistpizza sert tepki verilmedi demedim ki. "İtiraf" ettikten sonra tepki gördüler. Commit kabul edilmişti halbuki.

egoistpizza dedi:

Böyle bir durum mevcut değil.

Genişletmek için tıkla...

Bu durum gayet de mevcut. Linux çekirdeği uyumluluk ve performans adına güvenlikten feragat edilen, güvenliği arttırmaya yönelik değişikliklerin upstream'den aynı sebeple reddedildiği bir proje. Bugünlerde de güvenlik açıklarını gizli saklı patchlediklerini duydum. Altta eklediğim kaynakları okuyabilirsin.

egoistpizza dedi:

Saptanan bir zafiyet mail ağıyla aynı anda birçok geliştirici ekibe bildiriliyor ve en kısa zamanda düzeltiliyor.

Genişletmek için tıkla...

Yani aklı başında her firma veya topluluğun yapacağı gibi...

Bu içeriği görüntülemek için üçüncü taraf çerezlerini yerleştirmek için izninize ihtiyacımız olacak.
Daha detaylı bilgi için, çerezler sayfamıza bakınız.

Üçüncü taraf çerezlerini kabul et

Bu içeriği görüntülemek için üçüncü taraf çerezlerini yerleştirmek için izninize ihtiyacımız olacak.
Daha detaylı bilgi için, çerezler sayfamıza bakınız.

Üçüncü taraf çerezlerini kabul et

@acv commit'in kabul edilmediğini iddia etmedim, sadece tek bir commit yüzünden toplam 258 farklı commit inceleme altına alındı ve kalıcı yasaklama getirildi. Bu sistem güvenliğine verilen önemi yeterince açıklıyor.

acv dedi:

Bu durum gayet de mevcut. Linux çekirdeği uyumluluk ve performans adına güvenlikten feragat edilen, güvenliği arttırmaya yönelik değişikliklerin upstream'den aynı sebeple reddedildiği bir proje. Bugünlerde de güvenlik açıklarını gizli saklı patchlediklerini duydum. Altta eklediğim kaynakları okuyabilirsin.

Genişletmek için tıkla...

"gizli saklı patchlemek" kavramı güldürdü. Linux, BSD kadar kapalı bir sistem değildir. Performansla güvenlik arasındaki dengeyi sağlamayı amaçlar ve pek tabi başarır da. Güvenlikten feragat edilmesi söz konusu değil.

Linux kernelindeki gözetmen ekip gönüllülerden oluşuyor, bu insanlar aynı zamanda günlük hayatlarında tam zamanlı olarak çalışıyorlar. Commitler hakkında geniş çaplı bir araştırma yapılması mümkün değil fakat bu her isteyenin kolayca zararlı ekleyebileceği anlamına gelmiyor. Yukarıda sözü edilen araştırma 2 doktora öğrencisi ve 1 yardımcı doçent tarafından yürütülmüş.

Kaynaklar bilinen sorunlardan bahsetmiş, sondaki video zaten FOSDEM 2017'den bir alıntı:

Kernel vulnerability'lerine bu kadar takıntılı ve düzeltmek için organize bir topluluğun bulunması ise takdire şayan. Bu açıkların bulunup gözler önüne serilmesi sistemin bloated olduğu anlamına gelmiyor, bunları düzeltmek adına bir hareket olduğu anlamına geliyor. Çoğu güvenlik açığı exploitlenmeden tespit ediliyor ve hiçbirinden aşağıdaki kadar büyük çapta problemler çıkmadı.