Chromium güncellemelerindeki gecikme güvenlik için neden önemli?

Chromium; web siteleri, görseller, yazı tipleri, medya, betikler, uzantılar ve ağ protokollerinden gelen güvenilmeyen girdileri işler. Korumalı alanı ve diğer savunma katmanları kusurun etkisini azaltır; ancak açık içeren derlemeyi süresiz kullanmayı güvenli kılmaz. Chromium’un kendi güvenlik güncellemesi rehberi, neredeyse bütün Chrome güncellemelerinin güvenlik düzeltmesi içerdiğini söyler ve düzeltilmiş açıkların yamasız kurulumlarda daha kolay sömürülebileceği konusunda uyarır.

Bu uyarının Chromium’dan geliştirilen her tarayıcı için önemli sonucu vardır: kod tabanının bakımı, ürün bakımının parçasıdır.

Güncelleme gecikmesi gerçekte neyi ölçer?

İnsanlar çoğu zaman türev tarayıcının yayın tarihini kaynak Chrome yayın tarihiyle karşılaştırır. Bu yararlıdır, fakat eksiktir. Sağlayıcı düzeltmeyi derledi veya yayımladı diye düzeltme etkinleşmiş olmaz.

Pratik güncelleme zaman çizelgesi en az şu kontrol noktalarını içerir:

Kontrol noktası	Saklanacak kanıt
Kaynak proje yayını	İzlenen tam kaynak sürüm, dal, yayın zamanı ve güvenlik bildirimi
Türev ürüne alma	Neyin alındığını gösteren commit veya yama eşdeğerlik kaydı
Aday sürüm hazır	Tekrarlanabilir derleme sonucu, otomatik testler ve güvenlik regresyon sonuçları
Yayın onaylı	İmzalı meta veri, dosya özeti, platform imzası ve onay kaydı
Dosya erişilebilir	Desteklenen her güncelleme kanalına başarılı yayın
Cihaza kuruldu	Sürüm ve platform bazında doğrulanmış kurulum sonucu
Düzeltilmiş derleme etkin	Tarayıcı yeniden başlatmasının veya süreç değişiminin doğrulanması

Cihazın riske açık kaldığı süre ilk değil, son satırda biter. Güncelleme salı günü indirilir ama açık içeren tarayıcı süreci cumaya kadar devam ederse cihaz fiilen üç gün daha gecikme yaşar.

Bu, üç ayrı ölçüm doğurur:

1. Sağlayıcı gecikmesi: İlgili kaynak yayından imzalı türev ürün dosyasına kadar geçen süre.
2. Dağıtım gecikmesi: Türev ürün yayınından başarılı kuruluma kadar geçen süre.
3. Etkinleşme gecikmesi: Kuruluma hazır olmaktan düzeltilmiş tarayıcının etkin süreç hâline gelmesine kadar geçen süre.

Üçünü de raporlayın. Tek ortalama; durmuş yayın kanalını, platforma özel imza hatasını veya hiç yeniden başlatmayan cihazların uzun kuyruğunu gizleyebilir.

Düzeltme yayımlandıktan sonra süre neden daha tehlikeli hâle gelir?

Güvenlik sürüm notları bütün uygulama ayrıntılarını hemen açıklamaz. Chromium, düzeltme kullanıcıların çoğuna ulaşana kadar hata ayrıntılarını kısıtlı tutabileceğini belirtir; güvenlik SSS’si birçok raporun daha sonra açıldığını açıklar. Koordineli açıklama gereksiz riski azaltır; fakat gizliliği sonsuza kadar korumaz.

Yama herkese açıldığında araştırmacılar ve saldırganlar eski ve yeni kodu karşılaştırabilir, testleri inceleyebilir, değişen davranışı gözlemleyebilir ve sürüm meta verilerini araştırabilir. Chromium, düzeltme sonrasında eski kurulumlara yapılan saldırıları n-day sömürüsü olarak tanımlar. Chromium tabanlı tarayıcılar için rehberi, ayrı aylık özellik döngüsünü beklemek yerine her Chrome Stable yayınından sonraki birkaç gün içinde yayın yapmayı önerir.

Chrome Releases arşivi, yalnızca ana sürüme odaklanan politikanın neden yetersiz olduğunu gösterir. Ana sürümler arasındaki kararlı kanal yenilemeleri güvenlik düzeltmeleri taşır; dağıtım sürerken bazı ayrıntılar kısıtlı kalır. Yalnızca büyük dal geçişlerini izleyen türev ürün sağlayıcısı, mevcut kararlı dalda zaten dağıtılmış düzeltmeleri kaçırabilir.

Sürüm numarası bir işarettir, tek başına kanıt değildir

Chromium sürümü, kaynak dalı ve yama düzeyini tanımladığı için güçlü başlangıç göstergesidir. Yine de her soruyu tek başına yanıtlayamaz.

Türev tarayıcı şunları yapabilir:

• güvenlikle ilgili yamayı almadan daha yeni sürüm etiketi taşıyabilir;
• belgelenmiş geriye uyarlamayla eski dalı kullanabilir;
• düzeltmeyi kaynakta içerip bir platforma dağıtamayabilir;
• eski tarayıcı süreci çalışırken yeni dosyaları kurabilir;
• açığı yeniden getiren derlemeye geri dönebilir.

Geriye uyarlamalar, kaynak düzeltmeyi türev değişikliğe ve test kanıtına bağlayan yama eşdeğerlik kaydı gerektirir. Chromium, bazı güvenlik iyileştirmelerinin mimari değişikliklere bağlı olduğunu ve temiz biçimde geriye uyarlanamayacağını belirtir. Sürüm notları da eksiksiz önceliklendirme kaynağı sayılamaz. Chrome güvenlik güncellemesi SSS’si, yalnızca kamuya açıklanmış açıkları değerlendirmeyi beklemek yerine güncellemeleri bütün olarak uygulamayı önerir.

Değerlendiren kişi için doğru soru yalnızca “Bu hangi Chromium sürümü?” değildir. “Bu derleme hangi kaynak güvenlik yayınını kapsıyor ve bu kapsam benim platformumda nasıl doğrulandı?” diye sorun.

Türev üründe gecikme nerede birikir?

Geniş yama envanteri

Chromium’daki her derin değişiklik gelecekte birleştirme işi yaratır. Değişiklik kaynak projedeki yeniden düzenlemeyle çakışabilir, kaldırılmış arayüzlere dayanabilir veya testi geçersiz kılabilir. Maliyet her güvenlik yenilemesinde yeniden ortaya çıkar. Daha küçük, incelenmiş yama envanteri tarayıcı ekibine acil kaynak değişikliklerini almak için alan bırakır.

Yalnızca yama sayısı yeterli ölçüt değildir. Ağ hizmetindeki tek değişikliğin bakımı, birçok bağımsız marka değişikliğinden zor olabilir. Her türev yamanın sorumlusunu, etkilediği güvenlik sınırını, birleştirme çakışmalarını, test kapsamını ve kaldırılma koşullarını izleyin.

Çok geç başlayan test

Güvenlik ve uyumluluk, hazır bir yayın yolunu paylaşmalı. Acil kaynak bildiriminden sonra doğaçlama test başlatmak önlenebilir gecikme yaratır ve güvenli olmayan istisnaları teşvik eder.

Bakımı yapılan süreç; tarayıcı, profil, uzantı, proxy, güncelleme, geri dönüş ve kurtarma testlerini her adayda çalıştırmaya hazır tutar. Kararlı sürüm öncesindeki küçük deneme grubu, kararlı güncelleme gelmeden uyumluluk değişikliklerini ortaya çıkarabilir. Google da kurumsal güncelleme rehberinde aynı ayrımı yapar: aşamalı test otomatik güncellemeyle birlikte kullanılabilir; bekleyen güncellemenin etkinleşmesi içinse tarayıcı yeniden başlatılmalıdır.

İmzalama ve yayın hataları

Derlenmiş ikili dosya, yayımlanabilir güncelleme demek değildir. Platform imzaları, gereken yerde noter onayı, güncelleme meta verileri, dosya özetleri ve kanal manifestoları güvenlik sınırının parçasıdır. Bunlardan biri eksik veya tutarsızsa kullanıcılar eski derlemede kalabilir veya yetkisiz dosya alabilir.

Chromium’un güncelleyici tasarımı, hasar görmüş veya çok eskimiş güncelleyicinin kurtarılmasını kapsar. Türev tarayıcı da kendi dağıtımı için eşdeğer kanıt gerektirir: doğrulanmış dosyalar, güncelleyicinin kendini kurtarması, kesilen güncellemeden kurtarma ve sonraki düzeltmeyi yayımlama imkânını kaybetmeden hatalı dağıtımı durdurma yolu.

Hiç tamamlanmayan aşamalı dağıtımlar

Aşamalı dağıtım regresyon riskini kontrol eder; ancak aşama son hedef değildir. Her dağıtımın açık ilerletme ölçütleri, azami bekleme süresi, durdurma sorumlusu ve risk altındaki kalan cihazları gösteren görünürlüğü olmalı.

Geri dönüş de aynı özeni ister. İşlevsel ama açık içeren derlemeyi geri getirmek kullanılabilirliği kurtarırken bilinen güvenlik boşluğunu açabilir. Yayın kaydı bu sonucu belirtip yerine geçecek derlemeyi tetiklemeli; geri dönüşü sessizce tamamlanmış saymamalı.

Test etmeye değer hata durumları

Tarayıcı güncelleme programı, acil yayın bunlara bağımlı olmadan önce hata yollarını sınamalı:

• kaynak güvenlik bildirimi mesai dışında gelir;
• türev aday hazırlanırken kaynak dal değişir;
• türev yama güvenlik düzeltmesiyle çakışır;
• aday birim testlerini geçer ama yeniden başlatmada mevcut profili bozar;
• imzalama bir platformda başarılı, diğerinde başarısız olur;
• güncelleme meta verisiyle dosya sürümü uyuşmaz;
• indirme kesilir veya depolama dolar;
• güncelleme hazırlandıktan sonra tarayıcı günlerce açık kalır;
• dağıtımı durdurmak bazı cihazları iki farklı açık içeren derlemede bırakır;
• güncelleyici kurtarma eski kurulu sürümden çalışmak zorundadır;
• geri dönüş uygulama açılışını düzeltirken yamalanmış açığı da geri getirir.

Bu testler güvenliği kurtarmaya bağlar. Profil bütünlüğünü doğrulamadan hemen yayınlamak veri kaybına neden olabilir. Sınırları belirli ve gözlemlenebilir süreç olmadan gecikmek riske açık süreyi uzatır. Kalite, baskı altında iki işi de yapabilen yayın sistemi gerektirir.

Gerçek risk süresini gösteren ölçümler

NIST, SP 800-40 Rev. 4’te yama yönetimini önleyici bakım olarak çerçeveler. Tarayıcı için yararlı bakım kanıtları şunlardır:

• kaynak yayından türev ekibin saptamasına kadar geçen süre;
• saptamadan imzalı adaya kadar geçen süre;
• aday onayından her kanalda erişilebilirliğe kadar geçen süre;
• belirli aralıklarda etkin düzeltilmiş sürüm kapsamı;
• cihaz gecikmesinin medyanı, yüzde 95’lik dilimi ve en yüksek değeri;
• güncelleme indirme, doğrulama, kurulum ve yeniden başlatma hata oranları;
• yeniden başlatma bekleyen cihaz sayısı ve bekleme süreleri;
• ilgili her geriye uyarlamanın yama eşdeğerlik durumu;
• dağıtım durdurma ve geri dönüş nedeni, süresi ve etkilenen cihaz sayısı;
• desteklenen en eski kurulu sürümden güncelleyici kurtarma başarısı.

Hedeflerle birlikte ölçüm yöntemini yayımlayın. Süreyi hangi olayın başlattığını, hangisinin bitirdiğini, hangi platformların dâhil olduğunu, çevrimdışı cihazların nasıl ele alındığını ve sayının hedef mi gözlenen sonuç mu olduğunu belirtin. Bu tanımlar olmadan “24 saatte güncelleme” ifadesi kaynak birleştirme, yayımlanmış indirme veya cihazların neredeyse tamamında etkinleşme anlamına gelebilir.

Chromium tabanlı tarayıcı sağlayıcısına sorulacak sorular

1. Hangi kararlı ve genişletilmiş dallar destekleniyor; kurulu her derleme hangisini izliyor?
2. Plansız yayınlar dâhil kaynak güvenlik yenilemelerini kim takip ediyor?
3. Son beş kaynak güvenlik yayınıyla imzalı türev dosyaları arasında kaç gün geçti?
4. Desteklenen cihazların yüzde kaçı 24, 48 ve 72 saat sonra düzeltilmiş derlemeyi çalıştırıyordu?
5. Sürüm numaraları farklı olduğunda geriye uyarlamalar kaynak düzeltmelerle nasıl eşleştiriliyor?
6. Korumalı alanı, profil yaşam döngüsünü, uzantıları, proxy’leri, güncellemeleri ve kurtarmayı hangi testler kapsıyor?
7. Hatalı güncelleyici doğrulanmamış dosya kurmadan kendini onarabiliyor mu?
8. Tarayıcı açık kaldığında bekleyen güvenlik güncellemesine ne oluyor?
9. Geri dönüş bilinen açığı yeniden getirmekten nasıl kaçınıyor?
10. Hangi güncelleme gecikmesi sonuçları ölçüldü, hangileri hâlâ yayın hedefi?

Sağlayıcının hassas açık ayrıntılarını gizli tutması makul olabilir. Yine de süreç kanıtlarını, sürüm kapsamını, imzalı yayın kayıtlarını, hata verilerini ve açıkça sınırlandırılmış ölçümleri gösterebilmelidir.

Güncellik neyi kanıtlamaz?

Hızlı güncellemeler tarayıcının her açıdan güvenli olduğunu göstermez. Türev yamalar yeni açıklar ekleyebilir. Güvensiz uzantılar, ele geçirilmiş işletim sistemi, zayıf imzalama kontrolleri, kötü amaçlı içe aktarımlar veya devre dışı korumalı alan, güncel motoru zayıflatabilir. Güncellik, daha büyük güvenlik modelinde gerekli katmanlardan biridir.

Tersi de doğrudur: marka, gizlilik ayarları ve profil yalıtımı özellikleri eski motoru telafi etmez. Web içeriği, bu ürün farkları yardımcı olamadan Chromium saldırı yüzeyine girer.