Hatice ŞİMŞEK

Bağımsız güvenlik araştırmacısı Ali Yabuz’un, Apple’ın temel sistem bileşenlerinden libxpc‘de tespit ederek şirkete bildirdiği güvenlik açığı, Apple tarafından doğrulanarak CVE-2024-0258 kimliğiyle kayıt altına alındı. Apple’ın güvenlik bültenine göre söz konusu açık, bir uygulamanın güvenlik sınırlarını aşarak sandbox dışına çıkmasına veya belirli yükseltilmiş ayrıcalıklarla kod çalıştırmasına imkân tanıyabiliyordu. Şirket, iOS, iPadOS, macOS, tvOS ve watchOS için yayımladığı güvenlik güncellemeleriyle açığı giderirken, resmi Security Acknowledgements sayfasında Yabuz’u güvenlik açığını bildiren araştırmacı olarak kredilendirdi. Yabuz, aylar süren teknik analiz sürecini ve Apple ile yürüttüğü Responsible Disclosure sürecini ICT Media’ya anlattı.

Apple’ın güvenlik güncellemesiyle giderdiği açık, Yabuz’un libxpc bileşeni üzerinde yürüttüğü uzun soluklu tersine mühendislik (reverse engineering) ve sistem seviyesi analizler sırasında ortaya çıktı. Araştırmacı, özellikle çalıştırılmak istenen uygulamaların dijital imzalarını doğrulayarak yalnızca güvenilir yazılımların çalışmasını sağlayan Apple Mobile File Integrity Daemon (amfid) servisine odaklandı.

Hazırladığı test senaryolarından birini çalıştırırken beklemediği bir sonuçla karşılaştığını anlatan Yabuz, ilk etapta yalnızca test uygulamasının etkilenmesini beklediğini ancak bunun yerine işletim sisteminin yeniden başladığını gördüğünü söyledi. Bunun sıradan bir uygulama hatası olmadığını fark eden araştırmacı, bellek yönetimini, süreçler arası iletişim (IPC) mekanizmalarını ve sistem davranışını farklı senaryolar altında yeniden analiz etti. Bulgularını doğruladıktan sonra ise Apple mühendislerinin yeniden üretebileceği ayrıntılı bir teknik rapor hazırlayarak şirketin Product Security ekibine iletti.

Keşfin en kritik anını anlatan Yabuz, yaşadıklarını şu sözlerle aktardı:

“Hazırladığım test senaryolarından birini çalıştırdığımda yalnızca test uygulamasının etkilenmesini bekliyordum. Ancak uygulama yerine işletim sisteminin tamamının beklenmedik şekilde çökerek yeniden başladığını gözlemledim. O anda bunun yalnızca uygulama seviyesinde kalan sıradan bir hata olmadığını anladım. Hiçbir ek yetki veya özel izin gerektirmeden, uygulamanın sınırlarının ötesinde sistem bileşenlerini etkileyen bir davranışla karşı karşıya olduğumu gördüm. Bu benim için araştırmanın en kritik dönüm noktasıydı.”

Apple ile teknik doğrulama süreci

Hazırladığı raporda güvenlik açığının yeniden üretim adımlarını, teknik analizlerini ve olası güvenlik etkilerini ayrıntılı şekilde paylaştığını belirten Yabuz, Apple güvenlik mühendislerinin süreç boyunca ek teknik bilgiler talep ettiğini ve yapılan incelemelerin ardından güvenlik açığının doğrulandığını söyledi. Güvenlik araştırmalarında Responsible Disclosure yaklaşımının büyük önem taşıdığına dikkat çeken Yabuz, güvenlik açıklarının kamuoyuna açıklanmadan önce üretici firmayla koordineli şekilde paylaşılmasının milyonlarca kullanıcının korunmasını sağladığını vurguladı.

Responsible Disclosure sürecinin önemine ilişkin değerlendirmelerde bulunan Yabuz, şunları söyledi:

“Responsible Disclosure yaklaşımının en önemli tarafı, güvenlik açığının kamuoyuna açıklanmadan önce üretici firma tarafından kapatılmasıdır. Böylece milyonlarca kullanıcı herhangi bir risk oluşmadan korunmuş olur. Bu nedenle güvenlik araştırmalarında teknik bilgi kadar etik sorumluluk da büyük önem taşıyor.”

Sürecin kendisi için en anlamlı çıktısının, tespit ettiği güvenlik açığının CVE-2024-0258 kimliğiyle kayıt altına alınması, National Vulnerability Database (NVD)‘de yayımlanması ve Apple’ın resmi Security Acknowledgements sayfasında güvenlik açığını bildiren araştırmacı olarak adına yer verilmesi olduğunu belirten Yabuz, bunun bağımsız çalışan bir Türk güvenlik araştırmacısı için önemli bir motivasyon kaynağı olduğunu ifade etti.

Yeni araştırmalar yolda

Apple ile yürüttüğü sürecin ardından uluslararası şirketlere yönelik güvenlik araştırmalarını sürdürdüğünü belirten Yabuz, hâlen biri Apple, diğeri Ubisoft olmak üzere iki ayrı Responsible Disclosure sürecinin devam ettiğini söyledi.

Teknik ayrıntıları koordineli açıklama politikaları nedeniyle paylaşamayacağını belirten Yabuz, macOS platformundaki bir istemci uygulamasına ilişkin hazırladığı teknik raporu, yeniden üretim adımlarını, Proof of Concept (PoC) çalışmasını, analizlerini ve çözüm önerilerini ilgili güvenlik ekiplerine ilettiğini, süreçlerin değerlendirme aşamasında olduğunu ifade etti. Gerekli güvenlik güncellemelerinin yayımlanmasının ardından bu araştırmaları da kamuoyuyla paylaşmayı planladığını dile getirdi.

Araştırmalarındaki temel amacın herhangi bir şirketi eleştirmek değil, kullanılan yazılımların daha güvenli hâle gelmesine katkı sunmak olduğunu vurgulayan Yabuz, çalışmalarını işletim sistemi güvenliği, bellek yönetimi, süreçler arası iletişim mekanizmaları, tersine mühendislik ve yapay zekâ destekli güvenlik analizleri üzerine sürdürdüğünü söyledi.

Yapay zekânın güvenlik araştırmalarında önemli kolaylıklar sağladığını ancak özellikle sistem seviyesindeki analizlerde analitik düşünce, teknik tecrübe ve metodolojinin belirleyici olmaya devam ettiğini ifade eden Yabuz, Türkiye’nin bu alanda uluslararası başarı hikâyeleri çıkarabilecek güçlü bir potansiyele sahip olduğuna inandığını sözlerine ekledi.

“En büyük eksik bilgi değil, sabır ve metodoloji”

Araştırmalarını sürdürürken deneyimlerini genç araştırmacılarla paylaşmayı da önemseyen Yabuz, Türkiye’de siber güvenlik alanında önemli bir insan kaynağı bulunduğunu ancak işletim sistemi güvenliği ve düşük seviyeli yazılım güvenliği gibi alanlarda çalışan araştırmacı sayısının henüz istenilen düzeyde olmadığını söyledi. Genç araştırmacılara tavsiyelerde bulunan Yabuz, teknik bilgiye ulaşmanın günümüzde eskisine kıyasla çok daha kolay olduğunu ancak başarı için sabır, disiplin ve doğru metodolojinin belirleyici olduğunu ifade etti.

Bu alanda çalışmak isteyen genç araştırmacılara önerilerde bulunan Yabuz, sözlerini şöyle sürdürdü:

“Bence gençlerin en büyük eksiği bilgiye ulaşamamak değil; sabır ve metodoloji. Günümüzde teknik kaynaklara ulaşmak oldukça kolay. Ancak sistem seviyesinde araştırma yapabilmek için binlerce satır kod okumayı, aynı problemi günlerce analiz etmeyi ve başarısız denemelerden yılmamayı kabul etmek gerekiyor.”

İyi bir yazılım altyapısının önemine de değinen Yabuz, bir sistemi geliştirebilen kişilerin o sistemin çalışma mantığını ve olası zafiyetlerini daha iyi analiz edebildiğini belirterek, gerektiğinde kendi analiz araçlarını geliştirebilmenin araştırmacılara önemli avantaj sağladığını ifade etti. Türkiye’den daha fazla uluslararası başarı hikâyesi çıkmasının, ülkenin siber güvenlik ekosistemine önemli katkılar sunacağına inandığını sözlerine ekledi.