Truffle Security, yaklaşık 1,4 milyon sızmış ve hâlâ çalışan gizli anahtarı iptal etmek için ücretsiz program başlattı
Bildirimlerin işe yaramadığını söyleyen şirket, anahtar sahiplerini beklemeden iptal yetkisini ihraç edenlere veriyor; Hugging Face, Notion, Vercel ve Twilio dahil on altı ihraççı programa katıldı.
Truffle Security, herkese açık ortamlarda açığa çıkmış ve hâlâ geçerli olan yaklaşık 1,4 milyon kimlik bilgisini hedefleyen ücretsiz bir Gizli Anahtar İptal Programı başlattı. Şirket, sahiplerini bilgilendirmenin yetersiz kaldığını savunuyor: geçen yıl bildirdiği anahtarların yüzde 81'i altı ay sonra hâlâ geçerliydi.
Program kapsamında ihraççılar iki yoldan birini seçebiliyor. Ya bir iptal uç noktasını kullanacaklar ya da doğrulanmış anahtarları webhook ile alıp 14 gün içinde iptal edecekler. Programa şu ana kadar Hugging Face, Notion, Vercel, Resend, RubyGems ve Twilio dahil on altı ihraççı katıldı.
Truffle, tek taraflı iptalin işe yaradığına Google'ın Haziran 2024'te sızmış Google Cloud hizmet hesabı anahtarlarını varsayılan olarak devre dışı bırakmaya başlamasını örnek gösteriyor. Bu otomatik devre dışı bırakma sonrasında, açığa çıkmış gizli anahtarların hâlâ aktif kalma oranı yüzde 72'den yüzde 11'e düştü.
Neden önemli
Sızmış bir anahtar, sahibi haberdar olmadan kullanılmaya devam edebiliyor; bugüne kadar bildirim yolu bu açığı kapatmada yetersiz kaldı. Programa katılan ihraççılar için iptal, artık sahibin harekete geçmesine bağlı olmayan bir süreç hâline geliyor. Anahtar kullanan geliştiriciler açısından ise bir anahtarın sızdığı ve bir ihraççı tarafından iptal edildiği anlamına geliyor. Google örneği, ihraççılar tarafından uygulanan otomatik devre dışı bırakmanın etkisinin ölçülebilir olduğunu gösteriyor.
Önemli mi, abartı mı?
Bu haber gerçekten önemli mi, yoksa abartı mı? Başkalarının ne dediğini görmeden önce sen oy ver.