İki kritik web hatası, interneti kırılgan hissettirecek kadar kısa aralıkla ortaya çıktı. TechCrunch'ın cuma günü yayımlanan derlemesi, iki hatanın teknik ayrıntısından çok, bu ikilinin webin biçimi hakkında ne söylediği için okunmaya değer.
İlk ders, webin bağımlılık grafiğinin dengeli dağılmadığı. Az sayıda çalışma zamanı, çerçeve ve kütüphane, sayfa sunan her şeyin çok büyük bir bölümünün altında duruyor. En net örnek PHP: paylaşımlı barındırmadaki küçük işletme sayfalarından bir CMS arkasındaki büyük kurulumlara kadar, sunucu tarafında üretilen sitelerin çoğunluğu hâlâ bu dilin üzerinde duruyor. Bu, dilin eleştirisi değil. Etki alanının tarifi. Birkaç bin özel servisin kullandığı bir bileşendeki hata bir güvenlik olayıdır. Webin çoğunluğunun kullandığı bir bileşendeki hata, üzerine saat iliştirilmiş bir hadisedir.
İkinci ders kuyrukla ilgili. Açıklama bir yarış başlatır ama herkes koşmuyor. Büyük, kadrosu kalabalık kuruluşlar maruziyetlerini envanterleyebilir, yamalı bir sürümü hazırlayabilir, kendi trafiklerinde test edebilir ve dağıtabilir — bazen bir gün içinde. Uzun kuyruk bunu yapamaz. Bir restoranın sitesi, altı yıldır kimsenin dokunmadığı bir eklentiyi bozacağı için yükseltilemeyen, ömrünü tamamlamış bir yorumlayıcı çalıştıran paylaşımlı bir sunucuda durur. Bölgesel bir kurum, devraldığı yığının sahibi olmadığını fark eder. Bu sunucular, düzeltmeyi tamamlanmış gösteren yama istatistiklerinde görünmez. Bir güvenlik açığının duyurudan haftalar sonra hâlâ olay üretmesinin nedeni bunlardır.
Bu haftaki haberlerde Babelwire okurları için özellikle not edilmesi gereken bir ayrıntı var: sadece günler önce kritik bir PHP açığı yama gündemini domine etmişti ve yöneticiler acil yükseltmenin riskini test edilmemiş dağıtımın riskiyle tartıyordu. Yoğunlaşmış altyapının tipik ikilemi budur — güvenli hamle ile acil hamle aynı hamle değildir ve karar, kanıt tamamlanmadan verilmek zorundadır.
Yapısal olarak değişen ve iki hatayı tesadüften fazlası gibi hissettiren şey, karşı taraftaki tempo. Otomatik analiz ve giderek yeteneklenen araçlar, açıklama ile sömürü arasındaki boşluğu sıkıştırıyor. Savunucuların bir zamanlar çalışan bir sömürünün teorik olduğu günleri vardı; şimdi çoğu zaman onun teorik olmadığı saatleri var. Dağıtım hattı, sömürünün geliştirilme süresinden daha uzun bir değişiklik penceresi gerektiren bir kuruluş, tarayıcısı ne bildirirse bildirsin işlevsel olarak yamasızdır.
Pratik yanıtlar gösterişsiz ve çoğunlukla zaten biliniyor; bu yüzden de yapılmıyor. Envanter: listelemeye almadığınız şeyi yamalayamazsınız ve zarar veren bileşenler kimsenin listeye yazmadıklarıdır. Sanal yamalama: sömürü desenini engelleyen bir WAF kuralı, yeniden derlemenin satın alamayacağı zamanı satın alır. Geri alma yolüyle kademeli dağıtım: güvenle geri dönebilme yeteneği, hızlı dağıtımı mümkün kılan şeyin ta kendisidir. Ve erişilebilir her servis için, mevcut ekibden eski olanlar dahil, bir sahip.
Bunların hiçbiri webin temelleri için panik nedeni değil. Yoğunlaşmayı arka plan bilgisi değil, bir tasarım değişkeni olarak ele almak için neden. İki hata yamanacak, uyarılar akışlardan düşecek ve alttaki dağılım — trafiğin çoğunu taşıyan bir avuç bileşen ve geç yamalayan uzun bir kuyruk — bir dahaki sefere tamamen aynı olacak.
İzlenecekler: iki açıktan biri teorik maruziyet yerine doğrulanmış kitlesel sömürü üretecek mi; büyük paylaşımlı barındırma sağlayıcıları ve CMS üreticileri müşterilere güvenmek yerine yönetilen güncellemeler yayımlayacak mı; ve bu haftaki olay, kuruluşların kendi seçmedikleri çalışma zamanlarını envanterleme biçiminde kalıcı bir değişiklik üretecek mi.
