Son dönemde gelişen dil modelleri siber saldırıları daha da tehlikeli hale sokuyor. Kullanıcıların oluşturduğu gayrı resmi AUR deposu ciddi sorunlarla boğuşuyor. Zararlı yazılımın bulaştırıldığı paketlerin sayısı 1500'e ulaştığı rapor edildi. Saldırıların hayli gelişmiş olduğu çeşitli mecralarda dile getiriliyor.
Dolayısıyla benim nacizane tavsiyem her hangi depodan yazılım yüklerken mutlaka güvenirliğini inceleyin. "Açık kaynak, FLOSS, Linux, UNIX = güvenli yazılım" tezinin ciddi sorgulanmaya tutulduğu bu dönemde bizler küresel imece ve yardımlaşmanın temsilcileri olarak zaten devasa yük altında bulunan geliştirici ve teknik destek ekiplerine yardımda bulunmamız, gerekirse elimizi taşın altına koymalıyız.
AUR deposu imece ve yardımlaşmayı destekleyen ve teşvik eden bir platform olarak geliştirildi. Kendi bilgisayarında çalıştırdığı resmi depolarda bulunmayan yazılımları diğer kullanıcıların hizmetine sokmaya çalışan katkıcıların emekleri kötü niyetli kişilerin kötü amelleri neticesinde zan altında kalıyor.
Son dönemlerde Açık kaynak katkılarının küfiyeti yüzünden ve çeşitli sorunlar sebebiyle yazılım mühendisi ve mimar olan kaliteli katkı sağlayan uzmanlar günden güne azalıyor. Bu malesef tüm toplulukları etkilemektedir: tüm Linux ve BSD topluluklarında proje yönetimi ve tasarımla ilgili sıkıntılar çekiliyor. Örneğin bir kütüphane çalışanı ablamız en eski dağıtımların birine başına rakipsiz olarak seçildi ve projede geşiltiricilerin yönetimle ilgili yorgunluğunu ve bıkkınlığını ve soğukluğunu açık açık dile getirdi.
Ne yazık ki çok sayıda geliştirici mühendis işinden oldu. Dil modelleri çok sayıda insanın yaptığını çok az sürede yapıyor bu da ıvır zıvır da olmayan ciddi mühendislik konularında dahi istihdamı tehlikeler altına koyuyor. Ne demişler aç ayı oynamaz. Umarım ayılarımız doyurulur!
Türkiye’de açık kaynak ve özgür yazılım kültürüne bakış maalesef çoğu zaman geçici bir hevesten ibaret kalıyor. Yeni kullanıcılar, sistemin olgunlaşması ve gerçek anlamda fayda sağlaması için gereken sabrı göstermiyor. Eski kullanıcılar ise giderek daralan, bir elin parmaklarını geçmeyen bir çekirdek topluluğa dönüşüyor. Bu daralma, projelerin gelişim dinamiklerini de ciddi şekilde sekteye uğratıyor.
Üstelik bu içsel zorluklara, küresel ölçekteki saldırılar da ekleniyor. Art niyetli dış müdahalelerin tamamen tesadüfi olduğunu düşünmek safdillik olur. Son yıllarda özellikle Arch Linux altyapısına yönelik bu tür ataklar, işin ne kadar stratejik boyutlara taşındığını gösteriyor. Kimlerin, hangi hesaplarla bu saldırıları organize ettiğini kestirmek güç ancak verilen zararlar ortada.
Bizler için açık kaynak gönüllülüğü, bir tercihten çok duruşumuzu ifade eden temel bir vazifeydi. Ne var ki forumlar, wiki’ler ve belgelendirme kaynakları hızla eskiyor ya da tamamen yok oluyor. Yeni kullanıcıların projelere maddi destek sağlama eğilimi ise neredeyse sıfır. Bu sadece ülkemize özgü bir durum değil ama burada nadir istisnalar dışında hiçbir zaman yerleşik bir alışkanlık olmadı.
İçerideki bu erozyon, dışarıdan gelen hesapsız darbelerle birleşince Linux ve açık kaynak camiası üzerinde ağır bir baskı oluşuyor. Yine de umudumu kaybetmiyorum, bu camia dayanıklılığını ve ortak aklını her seferinde kanıtlamıştır. Güçlenerek bu sınavları atlatacağımıza inanıyorum.
archman.org - Bizi bilen iyi bilir, bilmeyen de kendi gibi bilir.!
AUR kayıtları açılır açılmaz zararlı yazılım yükleme, bir sürü pakete "güncel dışı" işareti, "sahipsiz bırak", "sil" istekleri, resmi depolardaki yazılımları klonlama ve zararlı yazılım enjekte etme olayları tekrar hortladı.
Son aylardaki Arch Linux, Fedora, Debian topluluklarına koordineli saldırılar masum birkaç aklını bilmezin yaptığı şeyler değildir. Tüm eksiklik ve sıkıntılara rağmen bu topluluklar küresel çapta imece ve yardımlaşma platformudur.
Malesef Küresel salgın krizi ve devamındaki Rusya'nın Ukrayna'ya saldırmasıyla artık Üçüncü dünya savaşının başlamış olduğu aşikardır. Küresel güç savaşı resmen artık patlak verdi. İran ve Orta Doğuda savaşın ve Çin - ABD - Rusya ekseninde olan çatışmanın günümüz özgür yazılım açık kaynak topluluklarında etkisi olmadığını sanmak saflıktır, aptallıktır. Çeşitli devletlerin ve bazı grupların siber orduları olduğunu zaman zaman haber kaynaklarından duymaktayız.
Resmi kaynaktan edinilen yazılımın güvenli olduğu kanısı ne yazık ki doğru değildir. Dağıtım paketçilerinin güvenlik açısından kaynak kodu incelemesinin zor olduğunu ve bu kişilere güvenmediğini bizzat Lennart Poetering dile getirdi. systemd'nin temel tasarımcısı ve günümüz dehalarından olan bir uzman "kaynak kodu incelerken hayli zorlanmaktayım" diye itirafta bulunuyorsa yüzlerce, binlerce paketçinin ürettiği sistemlere gerçekten yüzde yüzde güvenebilir miyiz?
Peki sıradan bizler ne yapa biliriz? Sıradan işini görmeye çalışan, vakti zamanı olunca yararlı birşeyler yapmak isteyenler bu yeni durumda ne yapmalıyız?
1. Eğitim, sürekli eğitim. Son çıkan teknolojinin farkında olmalıyız ve yararlanmayı bilmeliyiz.
2. Kimseye sınırsız güvenmemeliyiz. Bu elbette paranoyak olalım anlamına gelmiyor. Fakat kendimizi ve bizim gibi fedakar topluluk çalışanlarını korumak zorundayız.
Sıradan depodan klonlama ve build çalıştırma farkında olmadan hırsızlığı, arka kapı, trojan gibi yazılım yükleme riskini getiriyor. Malesef bu gerçek bir senaryo! Gerçek geliştirici tamamen suçsuz biçimde yazılımını gelişririrken onu taklit eden zararlı kullanıcı bize zararlı yazılımını yüklettirebilir. Veya gerçek projelere sızmış kötü niyetli kişiler temiz iş yapan emeği heba ettirebilirler.
Dolayısıyla ister AUR olsun, ister resmi depo, isterse falanca depo... Kodu mutlaka incelemeli. paru, yay vs. araçları kurarak ne olduğuna bakmadan kesinlikle körü körüne yazılım kurmamalıyız.
***
"İçerideki bu erozyon, dışarıdan gelen hesapsız darbelerle birleşince Linux ve açık kaynak camiası üzerinde ağır bir baskı oluşuyor. Yine de umudumu kaybetmiyorum, bu camia dayanıklılığını ve ortak aklını her seferinde kanıtlamıştır. Güçlenerek bu sınavları atlatacağımıza inanıyorum."
Ben de inanmak istiyorum...