düşmanca denetim
Tek bir denetim değil. Bir disiplin.
Herkes bir kez güvenlik taraması yapıp yeşil sonucun ekran görüntüsünü alabilir. Asıl zor olan, sisteminiz büyüdükçe ona tekrar tekrar saldırmak ve her seferinde aynı yanıtı almaktır. Son tur: bir 50 ajanlı denetim, düzeltmeleri yayınlandı, ardından her bulgunun sayılmadan önce bir şüpheciden sağ çıkması gereken ayrı bir 14 mercekli saldırgan yeniden denetim. Ayakta kalan, ayakta kalır.
son denetimin kapsadıkları
Önce kapsam, yöntem ve sınırlar. Ajan sayıları sonra.
25 Eylül 2026 tarihli en son çekirdek denetiminden. Ajan sayısı bir denetimin ne kadar yoğun olduğunu gösterir, ne kadar iyi olduğunu değil. Bu yüzden bu denetimin gerçekte ne yaptığını aşağıda anlatıyorum.
- Kod
- Sabit bir commit'teki çekirdek paket, 162 dosya ve 17,362 satır, ayrıca her yolun canlı olup olmadığını anlamak için gereken gateway kodu.
- Erişim
- Kaynak kodun tamamı ve migration'lardan sıfırdan kurulan bir veritabanı. Üretim veritabanı değil; yalnızca üretime özgü ayarlar doğrulanmamış olarak işaretlendi ve sonradan benim tarafımdan kontrol edildi.
- Yöntem
- Dört inceleyicinin her biri bir katmanı baştan sona okudu. Bir baş inceleyici, bir bulgu sayılmadan önce onu dosyayla karşılaştırarak yeniden okudu ve her zamanlama veya örüntü iddiasını çalıştırdı.
- Önem derecesi
- YÜKSEK, canlı bir yolda kaçırılmış bir kriz ya da hizmet reddi, kiracılar arası bir sızıntı veya kaybedilen para anlamına gelir. Orta, açık kalacak şekilde başarısız olan (fail open) bir koruma, yoktan yaratılan bir kredi ya da sessizce kaybolan veri anlamına gelir. Her bulgu ayrıca canlı ya da gizil olarak işaretlenir: bugün üretimde erişilebilir ya da değil.
- Anlaşmazlık
- Baş inceleyicinin yeniden üretemediği bir bulgu ortalamaya katılmadı, çıkarıldı ya da doğrulanmamış olarak işaretlendi.
- Sonuç
- 2 YÜKSEK ve 13 orta düzey bulgu. Hepsi aynı gün düzeltildi, her biri eski kodda başarısız olan bir testle birlikte, ve tüm test takımı CI'da yeniden çalıştırıldı.
- Kapsam dışı
- Çevrilmiş yaklaşık 7,000 satırlık güvenlik metinlerinin doğruluğu, üretim veritabanı, web sunucusu yapılandırması ve hâlâ açık olan 17 düşük bulgu.
Yönlendirdiğim yapay zekâ inceleyicileriyle kendi yürüttüğüm bir denetim, bağımsız üçüncü taraf güvencesi değil.
ritim
Tur üstüne tur yeniden saldırıya uğradı. Aşağıdaki her kiracılar arası bulgu bir müşteri tarafından bildirilmedi, bir denetim tarafından bulundu ve düzeltildi.
✓ kritik varlıklar her turda dayandı: izolasyon · para · yönetişim · SSRF · token alanları
gerçeklerden üçü
YÜKSEK Kiracılar arası konuşma sızıntısı
Sohbet belleği kiracıya göre değil, gönderene göre anahtarlanıyordu; bu yüzden platform üzerinden iki işletmeye mesaj atan bir misafirin birindeki konuşması, diğerinin isteminde (prompt) görünebilirdi. Düzeltildi: geçmiş, depolama katmanında işletmeye göre anahtarlanıyor ve eski anahtar geri gelirse başarısız olan bir test var. Onu bir müşteri bildirmedi, denetim buldu.
HIGH Bir sağlayıcının bir çağıranı tüketmesi
Kiracılar arası araç ekonomisinde bir sağlayıcı, izin verilmiş bir aracın fiyatını bir çağıran onu kullanmaya başladıktan sonra yükseltip çağıranın bakiyesini boşaltabilirdi. Düzeltildi: çağıran, çağrı başına bir fiyata onay verir; hata durumunda kapalı kalır, onay yoksa ücret yok ve bu, tek bir kredi hareket etmeden önce uygulanır.
YÜKSEK Sayacın arkasındaki kriz
Faturalama kontrolü kriz kontrolünden önce çalışıyordu, bu yüzden kredisi bitmiş bir işletmeye mesaj atan sıkıntıdaki bir müşteri kriz hattı yerine "kullanılamıyor" yanıtı alıyordu. Düzeltildi: kriz desteği, her tavan ve ücretten önce, her müşteri yüzeyinde ücretsiz sunulur.
Mercekler şunları kapsıyor: izolasyon · kimlik doğrulama · enjeksiyon · para · yönetişim · rezervasyon · kanallar · otonom resident · veri hakları (GDPR/PECR) · site üreteci · ön yüz · operasyon. Her turda sonuç: açıkta kalan sıfır kritik bulgu; kiracı izolasyonu ve XSS yüzeyi temiz çıktı; canlı kimlik doğrulama atlatması yok: doğrulanan her uç durum düzeltildi ve yeniden deploy edildi.
dürüst rakamlar
Her rakam, yıldız işareti zaten eklenmiş halde.
Çoğu geliştirici abartır. Gerçek olmayan kısımlardan etkilenmenizdense gerçek olan kısımlara güvenmenizi tercih ederim.
Sistem dürüst, çünkü onu tasarlayan kişi dürüst. Bunu en baştan sağladım: sonradan eklenmedi, içine yerleştirildi.
davet
Rakamlar tutuyor. Yıldız işaretleri dahil.
Kimse istemeden kendi işine bu kadar sert saldıran ve sistem büyüdükçe bunu sürdüren bir geliştirici istiyorsanız, konuşalım.
Denetimler hakkında sorun: ne bulundu, ne düzeltildi, hâlâ ne açık.
- Hâlâ açık olan ne?
- Bulunan en kötü şey neydi?
- Bu denetimleri kim yaptı?