Kameradan Sızan GitHub Token'ı IoT'nin Sabit Kodlu Sır Sorununu Gösteriyor

Hanwha markalı bir güvenlik kamerasının web tabanlı giriş sayfasını inceleyen bir kullanıcı, orada asla bulunmaması gereken bir şeyle karşılaştı: sayfanın istemci tarafı kodunun içinde apaçık duran, çalışır durumda bir GitHub yönetici token'ı. Hacker News'te "My security camera shipped a GitHub admin token in its login page" başlığıyla paylaşılan bu bulgu, bağlantılı cihaz endüstrisinin en yaygın ve en kolay önlenebilir güvenlik hatalarından birinin küçük bir örneği: yalnızca bir sunucuda kalması gereken bir sır, tarayıcının "kaynağı görüntüle" seçeneğine tıklayan herkesin bulabileceği bir yere sızıyor.

Bunun nasıl olduğu genellikle sıra dışı değil, oldukça sıradan bir hikâyedir. Geliştirme aşamasında mühendisler, canlı servislere karşı hızlıca test yapabilmek için betiği, derleme araçlarını veya hata ayıklama yardımcı programlarını gerçek kimlik bilgileriyle bağlarlar — özel bir depodaki içeriği çekmek için bir GitHub token'ı, bir bulut panosuna erişmek için bir API anahtarı, test verisi oluşturmak için bir veritabanı şifresi. Sorun, bu aynı kod kimlik bilgileri hâlâ üzerindeyken üretime giden pakete karışmasıyla başlar — bir yazılım imajı, bir mobil uygulama ya da bu örnekte olduğu gibi, kameranın giriş yaptığınızda tarayıcınıza sunduğu JavaScript koduyla.

Ortada bırakılan bir GitHub yönetici token'ı önemsiz bir şey değildir. Kapsamına bağlı olarak, özel kaynak kodu depolarına okuma ve yazma erişimi verebilir, yeni commit'ler gönderme, webhook yönetme, CI/CD yapılandırmasını değiştirme, hatta işbirlikçi ekleyip çıkarma yetkisi tanıyabilir. Bir donanım üreticisi için bu depo erişimi yalnızca "birileri kodumuzu okuyabilir" anlamına gelmez — şirketin sevk ettiği her cihazda çalışan yazılımı derleyen ve imzalayan sistemlere açılan bir kapıdır.

Sızan bir GitHub token'ını sıradan bir mahcubiyetten bir tedarik zinciri riskine yükselten de tam olarak budur. Bir saldırgan bir yazılım deposuna kod gönderebilir ya da derleme hattına müdahale edebilirse, artık tek bir kamerayı değil, ileride bir güncelleme indirecek her cihazı hedef alıyor demektir. Meşru güncelleme altyapısının kötü amaçlı kod dağıtmak için kullanıldığı bu türden tedarik zinciri ihlalleri, yalnızca tüketici elektroniğinde değil, birçok sektörde son on yılın en yıkıcı güvenlik olayları arasında yer aldı.

Sabit kodlanmış sırların sevkiyata giden ürünlerde tekrar tekrar ortaya çıkmasının nedeni, kazara değil yapısaldır. Geliştirme ekipleri teslim tarihi baskısı altında çalışır, IoT yazılımları ve eşlik eden web arayüzleri birer ürün olarak satılsa da iç araçların gayriresmî alışkanlıklarıyla inşa edilir ve hedef kitle bir cihazla birlikte gelen bir giriş sayfası olduğunda "bu koda kimse bakmaz" varsayımı kolayca yerleşir. Oysa istemci tarafı JavaScript, mobil uygulama dosyaları ve yazılım imajlarının hepsi, sıradan bir teknik meraka sahip herkes tarafından tamamen çıkarılabilir — kod sunucudan ayrıldığı andan itibaren "gizli" bir sır diye bir şey kalmaz.

Bu tür bulgular genellikle birkaç tanıdık yoldan biriyle gün yüzüne çıkar: bir araştırmacı ya da meraklı, salt merakla tarayıcının geliştirici araçlarını açar; biri çıkarılmış bir yazılım imajına karşı "strings" komutunu çalıştırır; ya da GitHub'ın hem herkese açık hem de özel depolarda kendisinin çalıştırdığı otomatik sır tarama araçları, bir token deseni herkese açık hâle gelmeden önce ya da sonra bunu işaretler. Hacker News gibi topluluk platformları bu tür ifşalar için yaygın bir mecra hâline geldi, çünkü tek bir ilgili kullanıcının tarayıcı inceleme paneli, resmî bir denetimin gözden kaçırabileceği şeyi bulabiliyor.

Sabit kodlanmış bir token keşfedildiğinde, acil olayla ilgili çözüm nettir, ama acildir: sızan kimlik bilgisini hemen iptal etmek veya yenilemek, tam olarak neye erişimi olduğunu denetlemek ve beklenmedik bir şekilde kullanılıp kullanılmadığını gözden geçirmek. Daha zor olan soru ise token'ın ne kadar süre fark edilmeden orada kaldığı ve kötüye kullanılmış olsaydı zararın sınırlı kalacağı kadar dar bir kapsamda tanımlanıp tanımlanmadığıdır — ki bu, çoğu kuruluşun tam olarak yanlış yaptığı tasarım kararıdır.

Sorumlu uygulama basit bir ilkeden başlar: bir uç cihaza ya da kullanıcının tarayıcısına ulaşan hiçbir şey, iç sistemlere geri erişebilecek bir kimlik bilgisi içermemelidir. Bu, kimlik bilgilerini sunucu tarafında saklamak için özel sır yönetimi araçları veya kasalar kullanmak, bunları derleme zamanında değil çalışma zamanında servislere enjekte etmek ve geliştirme sırasında kullanışlı olduğu için geniş yetkili bir yönetici token'ını tekrar tekrar kullanmak yerine, mümkün olan en dar görev için mümkün olan en dar yetki kapsamına sahip token'lar vermek anlamına gelir.

Özellikle güvenlik kamerası üreticileri için bahis daha da yüksektir. Bu cihazlar, açıkça satın alan kişileri koruma vaadiyle satılır ve genellikle evlere, işyerlerine doğrudan bir bakış sunar. Bu özel olayda sabit kodlanmış kimlik bilgisi hatası kamera görüntülerini ifşa etmiyor, ama sektördeki diğer olaylarda canlı video akışlarını, varsayılan şifreleri ve şifrelenmemiş yerel ağları ifşa eden aynı temel dikkatsizliği gösteriyor — bu da "akıllı" güvenlik donanımını istisna değil, güvenlik araştırmalarının sürekli konusu hâline getiren bir örüntü.

Bunun önlenmesi sıra dışı bir mühendislik gerektirmiyor. Bir commit birleşmeden önce onu engelleyen sır tarama araçları, özellikle "bu bir kimlik bilgisine dokunuyor mu" diye soran kod inceleme kontrol listeleri ve müşteriye sevk edilen hiçbir şeyin — yazılım, uygulama ya da web sayfası — müşterinin kendisinden daha fazla erişime güvenilmemesi gerektiğine dair genel bir kural, bunun gibi vakaların büyük çoğunluğunu yakalardı. Söz konusu kamera tek bir olay, ama temsil ettiği örüntü, sır yönetimi bir derleme sürecinin diğer her kalemi kadar rutin hâle gelene dek her bağlantılı cihaz üreticisinin karşılaşmaya devam edeceği bir örüntüdür.