Selamlar,
eMudhra ara CA özel anahtarlarının zayıf olduğu skandalında tarayıcılar hızla tepki verdi. Sonatype'ın 23 Ekim 2026 yazısı ise asıl soruyu soruyor: kurumunuzdaki diğer araçlar hâlâ etkilenen zincirlere güveniyor mu? Java cacerts, Node, Python, Go, Git ve sistem demetleri ayrı ayrı güncellenmeden "tarayıcı düzeldi" demek yetmez.
Konuda anlatılacaklar
- Neden tek trust store yetmiyor?
- Sonatype Audit and Fix betiği
- Betiğin görmedikleri
- Pratik yol haritası
1. Neden tek trust store yetmiyor?
Bir makinede tarayıcı işletim sistemi deposunu kullanırken JDK kendi cacerts dosyasını, bazı CLI araçları gömülü kökleri kullanır. Birini güncellemek diğerlerini güncellemez. Filippo Valsorda'nın deyişiyle bu, Heartbleed'den büyük bir temizlik işi; IoT, Docker ve unutulmuş Linux kutuları uzun kuyruk oluşturur.
2. Sonatype betiği
Paul Horton'un açık kaynak eMudhra Audit and Fix betiği Unix benzeri makinelerde Java, Node.js, Python, Go, Git ve sistem demetlerini tarar. Desteklenen yerlerde etkilenen ara CA'lara zincirlenen test sunucularına HTTPS isteği atar; kontrol için GitHub'a da bakar. Varsayılan olarak hiçbir şeyi değiştirmez. --no-network yalnızca sürüm kontrolü yapar; --dry-run / --fix isteğe bağlıdır.
3. Betiğin görmedikleri
Uzak sunucular, konteyner imajları, CI ajanları, üretim hostları ve proje bağımlılıkları taranmaz. Geliştirici dizüstü bilgisayar sonucu kurumsal durum demek değildir.
4. Pratik yol haritası
- Önce OS ve tarayıcı güncellemelerini tamamlayın.
- Geliştirici iş istasyonlarında betiği çalıştırıp çıktıyı envantere işleyin.
- CI runner ve temel konteyner imajlarını ayrı süreçle yenileyin.
- Java uygulamalarında cacerts / özel trust store yollarını bulun.
- Tedarikçi yamasını tercihen kullanın; elle sertifika silmeyi test edin.
CI ajanlarınızın trust store durumunu kim izliyor?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar