90 günden 30 güne: Google açık bildirim süresini 2028’e kadar kademeli indirecek

Google’ın güvenlik açığı bildiriminden teknik ayrıntıların açıklanmasına kadar tanıdığı süre, 2028’e kadar kademeli olarak 90 günden 30 güne düşecek. Google’ın güvenlik araştırma ekibi Project Zero, yapay zekâ destekli açık keşfi ve istismarının hızlandığı değerlendirmesiyle açıklama politikasını değiştirdi.

Project Zero, 13’ünde yayımladığı ‘Full X’ politikasında, bir güvenlik açığının tedarikçiye bildirildiği tarihten X gün sonra teknik ayrıntıların açıklanacağını duyurdu. X, bildirim ile açıklama arasındaki gün sayısını ifade ediyor; mevcut temel süre 90 gün.

Süre 2 Şubat 2027’de 60 güne, 3 Ocak 2028’de ise 30 güne indirilecek. Bu nedenle 30 günlük süre hemen tüm güvenlik açıkları için geçerli olmayacak.

Project Zero, 2021’den bu yana ‘90+30 gün’ politikasını uyguluyordu. Bu düzende tedarikçilere açığı gidermeleri için en fazla 90 gün tanınıyor, ardından düzeltmenin kullanıcılara dağıtılması için 30 gün daha bekleniyordu.

Yeni politikayla yama yayımlandıktan sonraki ek bekleme süresi kaldırılıyor. ‘Yama boşluğu’, bir düzeltme yayımlandıktan sonra kullanıcıların ilgili güncellemeyi yüklemesine kadar geçen süreyi ifade ediyor. Project Zero, tedarikçilerin hem düzeltme hem dağıtım süreçlerini hızlandırması gerektiğini belirtti.

Project Zero’ya göre büyük dil modelleri (LLM), saldırganların güvenlik açıklarını bulmasını ve istismar etmesini hızlandırdı. Kötü niyetli saldırganlar da dahil olmak üzere farklı tarafların aynı açığı önce keşfetme olasılığı da arttı.

Düzeltme yayımlandıktan sonra yamanın incelenerek açığın nasıl çalıştığının anlaşılması için gereken süre de kısaldı. Project Zero, saldırganların yama üzerinden kusura ilişkin bilgileri neredeyse anında çıkarabildiği bir ortamda, dağıtımın ardından 30 gün beklemenin güvenlik açısından anlamını yitirebileceğini değerlendirdi.

Güvenlik açığı bildirimlerinin sayısı da arttı. Project Zero, geçmişte bazı araştırma alanlarında yılda birkaç açık bulurken artık haftada birkaç açık tespit ettiğini açıkladı.

Önceki politikada açığın giderilip giderilmediği ve ek süre tanınıp tanınmayacağı konusunda tedarikçilerle görüşülmesi gerekiyordu. Project Zero, bu görüşmelerin artmasının politikanın sürekli uygulanmasını zorlaştırdığını belirtti.

Politika değişikliği sırasında bazı büyük tedarikçiler, sürenin aniden kısaltılmasının düzeltilmemiş açıkların yayımlanmasına ve kullanıcılar için riskin artmasına yol açabileceği uyarısında bulundu. Tedarikçiler düzeltme süreçlerini ve tekniklerini değiştirirken saldırganların açığa ilişkin bilgileri önce öğrenebileceği belirtildi.

Tedarikçiler ayrıca kısa sürelerin, düşük önem dereceli kusurların daha ciddi sorunlardan önce ele alınmasına neden olabileceğini savundu. Süreye uymanın gerçekçi olmadığını düşünen bazı tedarikçilerin açıkları düzeltme girişiminden tamamen vazgeçebileceği de dile getirildi.

Project Zero, bu görüşleri dikkate alarak süreyi bir kerede 30 güne indirmek yerine aşamalı bir takvim belirledi. Ekip, takvimin tedarikçilere müdahale süreçlerini iyileştirmek için zaman tanırken düzeltmeleri hızlandırmayı da amaçladığını açıkladı.

Güvenlik açığının önem derecesi, yeni politikadaki açıklama süresini değiştirmiyor. Project Zero, izleme sistemine önemli düzeyde ve kanıtlanmış güvenlik etkisi bulunan açıkları bildirdiğini; önem derecesinin, saldırganların kusuru bulma olasılığından ziyade kullanıcılar üzerindeki zararı gösterdiğini belirtti.

Planlanandan önce açıklama yapılabilecek durumlar şunlar: gerçek kullanıcılara yönelik saldırılarda istismar edilen açıklar, ayrıntıları üçüncü taraflarca zaten yayımlanmış açıklar ve tedarikçinin açıklama talep ettiği açıklar. Gerçek saldırılarda istismar edildiği doğrulanan açıklar Google’ın uygulama güvenliği açıklama politikası kapsamında 7 gün sonra yayımlanıyor; ayrıntıları önceden açıklanmış açıklar ise hemen duyurulabiliyor.

Açıklamanın geniş çaplı kullanıcı zararına yol açabileceği ve ertelemenin zararı önlemeye yardımcı olacağı durumlarda nadiren istisna uygulanabilecek. Project Zero, ayrıntılı açıklama politikasında bu istisnaların kamuya açık kayıtlara geçirildiğini ve son 12 yılda beş kez izin verildiğini bildirdi.

Project Zero, açıkların giderilip giderilmediğini izlemeyi ve tedarikçilerle iletişimi sürdürmeyi planlıyor. Ancak düzeltmenin tamamlanıp tamamlanmaması açıklama tarihini belirleyen bir ölçüt olmayacak. Bildirilen açığın tedarikçisi, ürünü ve bildirim tarihi de şeffaflık sayfasında yayımlanacak.