AÇIK KAYNAK KOD GÜVENLİĞİ: TELTONIKA NETWORKS İÇİN NE ANLAMA GELİYOR?

Ürünlerimizin en önemli özelliklerinden biri yazılımlarıdır. Teltonika Networks'te, OpenWRT tabanlı kendi geliştirdiğimiz yazılımımızı (RutOS) kullanıyoruz ; OpenWRT'nin kendisi de açık kaynak kodludur . Bilgisayar mühendisi değilseniz, "açık kaynak" kodlu olmanın anlamı, kapalı kaynak kodlu kodun gizli ve dolayısıyla erişilemez olmasının aksine, kamuya açık bir şekilde incelenip denetlenebilir olmasıdır.

Teltonika Networks'ün yazılım kodu, temel aldığı OpenWRT'den büyük ölçüde sapmış olduğu ve kodumuzun tamamını kamuya açık olarak paylaşmadığımız ( GNU Genel Kamu Lisansı nedeniyle belirli kısımlarını paylaşıyoruz ) için açık kaynak olarak kabul edilmez. Bununla birlikte, açık kaynaklı bir projeye dayanmak şu soruyu gündeme getiriyor: Kodumuz daha az güvenli mi?

Kısacası – hayır.

AZ ÇOK DEĞİLDİR

Siber güvenlik veya başka türlü güvenlik dünyasında, bilgi genellikle kraldır: Başkalarının ne kadar az bilgisi varsa, o kadar güvendesinizdir. Bu mantığı açık kaynak kodlu yazılım ile kapalı kaynak kodlu yazılım arasındaki tartışmaya uygularsak, temel varsayım, kapalı kaynak kodlu yazılımın siber saldırganlar tarafından doğrudan erişilemediği için daha güvenli olduğudur. Ancak bu varsayım yanlıştır – çünkü saldırganların güvenlik açıklarını bulmak için kaynak koda gerçekten ihtiyaçları yoktur. Bu, kaynak kodun güvenlik tartışmasından çıkarılabileceği anlamına gelmez, sadece sandığınız kadar kritik bir unsur olmadığı anlamına gelir. Ayrıca, yetenekli bir siber saldırgan, gerekirse bilinen birçok araç ve yöntemle kapalı kaynak kodlu bir yazılımı tersine mühendislikle çözebilir; bu da kodu gizli tutmanın tek başına güvenlik garantisi olmadığı anlamına gelir.

Açık kaynaklı olmanın, güvenlik açıklarınızın daha fazla farkında olmak ve güvenliğinizi sağlamak için gerekli adımları atmak anlamına geldiğini de belirtmek önemlidir. Bu güvenlik açıkları kapalı kaynaklı yazılımlarda daha az belirgin olabilir ve mühendislerinin kapalı olmanın kendi başına bir güvenlik önlemi olduğunu ve ek güvenlik önlemlerinin bir gereklilikten ziyade isteğe bağlı olduğunu varsaymaları kolay olabilir. Başka bir deyişle, kapalı kaynaklı yazılımlar kapalı doğasıyla fazla rahat edebilir. İşte tam da bu nedenle, NTT Security Holdings tarafından RutOS üzerinde gerçekleştirilen son test gibi periyodik olarak üçüncü taraf güvenlik değerlendirmeleri yapıyoruz.

DAHA FAZLASI DAHA İYİDİR

Açık kaynak yazılımın, kapalı kaynak yazılımın sahip olmadığı önemli bir güvenlik avantajı vardır: kamu güvenliği. Basitçe söylemek gerekirse, açık kaynak yaygın olarak mevcut ve kullanıldığı için, sektördeki daha fazla insan güvenliğini sürekli olarak sağlamak için teşvike sahiptir. Herkes hazineyi görebildiğinde, onu çalmaya çalışan herkesi izleyen daha fazla göz olur. Gelişmiş Şifreleme Standardı (AES) şifreleme algoritmasının geliştiricisi Vincent Rijmen, açık kaynak yazılımın güvenlik açıklarını daha kolay tespit etme ve düzeltme açısından daha iyi olduğunu şöyle açıklıyor : “Sadece daha fazla insan bakabildiği için değil, daha da önemlisi, model insanları daha açık kod yazmaya ve standartlara uymaya zorladığı için. Bu da güvenlik incelemesini kolaylaştırır.”

Bunun iyi bir örneği , açık kaynak güvenliğini herkes için geliştirmeye kendini adamış, sektörler arası bir kuruluş olan Açık Kaynak Güvenlik Vakfı'dır . Bu tür girişimler, yalnızca kaynak kodunun değil, aynı zamanda güvenliği için gerekli olan araçların, hizmetlerin, eğitimin, altyapının ve kaynakların da açık bir şekilde erişilebilir olmasını sağlar.

KODLARIN ÖTESİNDE ÇABA

Yazılımımızı OpenWRT üzerine kurmamızın nedenlerinden sadece biri güvenlikti. Teltonika Networks Güvenlik Başkanı Deividas Vyšniauskas bunu en iyi şekilde şöyle açıklıyor: “Kararlılık, performans ve esneklik de önemli karar faktörleriydi; ayrıca ağ ve güvenlik mühendisleri arasında olumlu bir itibara sahip olması da önemliydi. Bu başlangıç noktasından hareketle, çok yönlü ve birçok özelliğe sahip, sektörün her türlü ihtiyacını karşılayacak bir yazılım oluşturmak istediğimiz için bu sapma gerekliydi.”

Özetle, açık kaynak yazılımın güvenliği, kodunun açık kaynak mı yoksa kapalı kaynak mı olduğuna bağlı değildir. Her iki kod türü de tek başına hiçbir şeyin garantisi değildir. Aksine, açık kaynak kodunun açık yapısı ve koşulları, güvenliğini sağlamaya yönelik artan kolektif çabaları tetikler. Daha fazla kişi onunla çalışır ve bu nedenle daha fazla kişi onunla ilgilenir.

Bu, bizim için son derece anlamlı çünkü Teltonika Networks, herkesin ilerlemesi için bağlantı kurma ilkesi üzerine kurulmuştur. Yazılımımız açık kaynaklı koda dayanmaktadır ve güvenliğinden sadece emin değiliz, aynı zamanda bununla gurur duyuyoruz.