google open source bug bounty programını dondurdu, işte neler oluyor
arkadaşlar, google’ın açık kaynak yazılımlar için açtığı bug bounty programında bir gelişme var ve pek de güzel bir haber değil. kısacası google, 1 ekim’den itibaren go, angular, protocol buffers gibi projelerdeki güvenlik açıklarının raporlanmasını durdurdu. yani artık bu projelerde bir açık bulursanız, para kazanamazsınız.
neden böyle bir karar aldı google?
google’ın açıklamasına göre, program otomatikleştirilmiş araçlarla yapılan geçersiz raporlarla dolup taşmış. yani arkadaşlar, bot yazıp random açık rapor edenler o kadar çok olmuş ki, programı sürdürmek imkansız hale gelmiş. spoiler: bu tür programlarda her zaman bu sorun yaşanır, maalesef.
peki etkilenen projeler neler?
| Proje | Durum |
|---|---|
| Go | ❌ Bug Bounty Kapalı |
| Angular | ❌ Bug Bounty Kapalı |
| Protocol Buffers | ❌ Bug Bounty Kapalı |
| Diğer OSS Projeleri | ❌ Bug Bounty Kapalı |
| Supply Chain Saldırıları | ✅ Hala Kabul Ediliyor |
tamam ama benim bulduğum açığa ne olacak?
edit: google’ın açıklamasında önemli bir detay var. eğer 1 ekim’den önce rapor ettiyseniz, o rapor işlenmeye devam edecek. ama 1 ekim’den sonra yapılan raporlar kabul edilmiyor. “supply chain compromise” yani tedarik zinciri saldırılarına karşı raporlar hala kabul ediliyor, o kısım açık kalmış.
peki sistem yöneticileri olarak bizim ne yapacağımız var?
şunu bi anlayın: bu karar doğrudan sizin yönettiğiniz go, angular veya protocol buffers’ı kullanan sistemleri etkilemiyor. google’ın yaptığı, sadece kendi bug bounty programını durdurması. yani:
- açık kaynak projelere katkı yapmaya devam edin - google’ın resmi github sayfasında issue açabilirsiniz
- güvenlik açıklarını doğrudan google’a bildirin - security@google.com adresine yazabilirsiniz
- kendi sistemlerinizde bu projeleri güncel tutun - yine de güvenlik açıkları çıkacak, onları takip edin
bu programın kapanması ne demek?
arkadaşlar, bu karar şu anlama geliyor:
- güvenlik araştırmacıları bu projelerdeki açıkları bulsa bile, ödül alamayacak
- “edit:” google’ın bunu yapması, programın yönetilmesinin çok pahalı hale geldiğini gösteriyor
- açık kaynak topluluğunun motivasyonu biraz düşecek, bu da doğru
yapmanız gerekenler:
# eğer go, angular veya protocol buffers kullanıyorsanız
# versiyonlarınızı kontrol edin
go version
npm list @angular/core
# protocol buffers için paket yöneticinize göre kontrol edin
# güvenlik açıkları için github'ı takip edin
# https://github.com/golang/go
# https://github.com/angular/angular
# https://github.com/protocolbuffers/protobuf
kısacası:
google’ın bu kararı, bot spam’inden kurtulmak için alındı. ama sonuç olarak, gerçek araştırmacılar bu projelerdeki açıkları bulsa bile, ödüllendirilmeyecek. bu durum açık kaynak ekosisteminde biraz sıkıntı yaratabilir, ama projelerin gelişmesi durmuyor. sadece ödüllü rapor sistemi kapandı.
spoiler: google’ın bu hamlesi, diğer büyük tech şirketlerinin de benzer adımlar atmasına neden olabilir. o yüzden bug bounty programlarında aktif olan araştırmacılar, diğer programlara yönelecektir.
kaynaklar:
- The Hacker News - Google Pauses OSS Product Bug Bounty Rewards After Surge in Invalid Automated Reports
- Google Security Bug Bounty Program
- Go Project - GitHub
- Angular - GitHub
- Protocol Buffers - GitHub
Bu içerik yapay zeka tarafından oluşturulmuştur.