Homebrew Güvenli mi? BT Ekipleri için Güvenlik İncelemesi

Kısa cevap: Homebrew, iyi yönetilen ve güvenlik bilinci yüksek bir açık kaynak projesidir. Uzun cevap ise — geliştirici Mac'lerinden oluşan bir filodan sorumluysanız asıl önemli olan cevap — şudur: "Araç güvenli mi?" ile "Bizim bu aracı kullanma şeklimiz güvenli mi?" birbirinden çok farklı sorulardır. Homebrew'un mühendisliği sağlamdır. Ancak çoğu şirkette bu aracın etrafındaki yönetişim için aynı şeyi söylemek mümkün değildir.

Homebrew'un Doğru Yaptıkları

Hakkını teslim etmek gerekir; Homebrew'un arkasında gerçek bir güvenlik mühendisliği vardır:

• Sağlama (checksum) doğrulamalı indirmeler. Her formula, indirdiği kaynak kod veya bottle için bir SHA-256 özeti sabitler. Üzerinde oynanmış bir arşiv bu doğrulamadan geçemez ve kurulum iptal edilir.
• Kontrollü altyapıdan gelen hazır derlenmiş bottle'lar. Kurulumların büyük çoğunluğu, Homebrew'un kendi CI altyapısında derlenen ve kendi konteyner kayıt defterinden (registry) sunulan bottle'lar olarak gelir — rastgele yansı (mirror) sunucularından değil.
• Herkese açık ve incelemeden geçen formula'lar. Formula değişiklikleri, herkese açık depolarda, proje yürütücülerinin (maintainer) incelemesinden geçen pull request'lerle yayına alınır. homebrew-core'a anonim bir yükleme yolu yoktur.
• Varsayılan olarak root yetkisi yok. Modern Mac'lerde Homebrew, tamamen oturum açmış kullanıcının yetkileriyle çalışır. Günlük kullanım için yönetici (admin) yetkisi istemez ve buna ihtiyaç da duymaz.

Bireysel bir geliştirici için bu gerçekten iyi bir güvenlik duruşudur — üstelik Homebrew ellerinden alındığında geliştiricilerin döndüğü yöntemden, yani üretici sitelerindeki kurulum betiklerini curl ile indirip doğrudan çalıştırmaktan çok daha iyidir. Bu dinamiği Homebrew'u Engellemek Güvenlik Duruşunuzu Neden Zayıflatır? yazısında ayrıntılı ele almıştık.

Gerçek Riskler Nerede?

Yukarıdakilerin hiçbiri, güvenlik ekiplerinin asıl uykusunu kaçıran risklere çare olmaz; çünkü o riskler bambaşka bir katmanda yaşar.

Kaynak projenin (upstream) ele geçirilmesi. Homebrew, binlerce bağımsız geliştiricinin yazdığı yazılımları dağıtır. Bir kaynak proje ele geçirildiğinde — XZ Utils arka kapısı bunun ders kitabı örneğidir — sağlama toplamları, zararlı sürümü de aynı sadakatle doğrular. Özet (hash) tutar, ama zararlı yük de gerçektir. Hiçbir paket yöneticisi, ele geçirilmiş bir kaynağın önüne sağlama toplamıyla geçemez.

Üçüncü taraf tap'ler. homebrew-core dışındaki her şey tap'lerden gelir: Sahibinin uygun gördüğü (ya da hiç uygulamadığı) bir inceleme süreciyle işleyen, rastgele Git depoları. brew install some/tap/tool komutu, bir yabancının yazdığı Ruby kodunu çalıştırır. Çoğu şirket, filosundaki cihazlarda hangi tap'lerin ekli olduğuna dair en ufak bir fikre sahip değildir.

Kurulu kalmaya devam eden bilinen zafiyetler. Bir paketi kurmak bir anlık iştir; onu çalıştırmak ise bir ömür sürer. Kurulduğu gün tertemiz olan bir formula, güvenlik araştırmaları ilerledikçe CVE biriktirir. Sürekli tarama olmadan bir Mac filosu; OpenSSL, curl, Node ve geliştiricilerin on sekiz ay önce kurduğu diğer her şeyin açıklı sürümlerini sessiz sedasız biriktirir.

Sıfır merkezi görünürlük. İşin asıl büyük kısmı budur. Standart Homebrew kimseye rapor vermez. Neyin nerede kurulu olduğuna dair bir envanter, kimin ne kurduğuna dair bir denetim izi, neye izin verildiğini söyleyen bir politika yoktur. Denetçilerinizin önemsediği her uyumluluk çerçevesi — SOC 2, ISO 27001 — yönetilen yazılımlar için tam olarak bu görünürlüğü bekler; Homebrew ise bunların hepsinin dışında durur.

Dürüst Bir Risk Değerlendirmesi

Endişe	Gerçekçi risk	Homebrew'un kendisi çözüyor mu?
Aktarım sırasında değiştirilmiş indirme	Düşük	Evet — sağlama toplamları
homebrew-core'da zararlı formula	Düşük	Büyük ölçüde — herkese açık inceleme
Ele geçirilmiş kaynak (upstream) sürümü	Gerçek; düşük sıklık, yüksek etki	Hayır
İncelemesiz üçüncü taraf tap'ler	Gerçek; filodan filoya değişir	Hayır
Kurulu paketlerdeki bilinen CVE'ler	Zaman geçtikçe yüksek	Hayır
Envanter, denetim ve politika yokluğu	Kesin — varsayılan durum budur	Hayır

Örüntü çok net: Homebrew, bir paket yöneticisinin çözebileceği riskleri çözüyor. Geriye kalan satırlar ise birer yönetişim problemidir ve onların sorumluluğu size aittir.

BT Ekipleri Gerçekte Ne Yapabilir?

İşe yarayan cevap aracı yasaklamak değildir; diğer tüm yazılım kanalları için zaten beklediğiniz kontrolleri Homebrew'un etrafına da örmektir:

1. Önce envanter. Göremediğiniz şeyin riskini değerlendiremezsiniz. Kurulu paketlerin cihaz bazında, canlı bir envanteri, "Sanırız geliştiricilerimiz Homebrew kullanıyor" cümlesini somut veriye dönüştürür. MDM entegrasyonu sayesinde bu cihazlar, halihazırda yönettiğiniz cihaz gruplarına eşlenir.
2. Kurulum anında politika. İzin listeleri, engelleme listeleri, lisans kuralları ve minimum sürümler; bir wiki sayfasına yazılıp uyulması umulan kurallar olarak değil, brew install çalıştığı anda sunucu tarafında uygulanır.
3. Zafiyet kontrolleri — hem de sürekli. Kurulu paketler ve yeni kurulum talepleri, erişilebilir en iyi zafiyet verisiyle sürekli karşılaştırılır; aktif olarak istismar edildiği bilinen zafiyetler ise doğrudan engellenir. Hiçbir tarayıcı her şeyi yakalayamaz — "eksiksiz kapsama" vadeden her üretici iddiasını bir alarm işareti olarak görün — ama "sürekli kontrol edilen" ile "hiç kontrol edilmeyen" arasındaki fark, kendini tam da güvenlik olaylarında gösteren farktır.
4. Ayakta kalan bir denetim izi. Her kurulum gerçek bir kullanıcıya ve makine adına (hostname) bağlanır; SIEM'inize aktarılabilir ve denetçilerinizin istediği uyumluluk raporlarına dökülebilir.

EnterpriseBrew'un uyguladığı model tam olarak budur: Geliştiriciler alıştıkları sade brew install akışını aynen kullanmaya devam eder; BT ise standart Homebrew'un hiçbir zaman sunmak üzere tasarlanmadığı envanter, politika, tarama ve denetim katmanına kavuşur. Mimarinin genel resmini Kurumsalda Homebrew Güvenliği yazısında ele alıyoruz.

Sonuç

Peki, Homebrew güvenli mi? Yönetilmeyen bir yazılım kanalının olabileceği kadar güvenli — yani bir birey için yeterince güvenli, bir organizasyon içinse tasarımı gereği hesap verebilirlikten yoksun. Asıl risk hiçbir zaman aracın kendisi olmadı. Asıl risk, geliştirici filonuzdaki en büyük yazılım hattını envantersiz, politikasız ve denetim izi olmadan çalıştırmaktır. Bunu düzelttiğinizde Homebrew, risk kayıtlarınızdaki bir soru işareti olmaktan çıkar.