Eğer bir uzaktan erişim istemcileri filonuzu yönetiyorsanız, kâbusunuz bir port taraması değil — zehirlenmiş bir güncellemedir. Saldırganlar giderek güncelleme kanallarını, CI boru hatlarını ve imzalama anahtarlarını hedef alıyor. Bu kılavuz, bir yükleyici filoyla hiç temas etmeden önce otomatikleştirilmeye değer güncelleme-kanalı kontrollerini, kod-imzalama kontrollerini ve ön-yükleme doğrulamalarını listeler.

Güncelleme kanalları neden yüksek riskli yoldur

Güncelleme mekanizmaları, birçok makinedeki kodu hızlıca değiştirmek için vardır. Bu hız bir özellik olduğu kadar bir saldırı vektörüdür: tek bir ele geçirilmiş derleme sistemi veya imzalama anahtarı, meşru bir yükleyiciyi geniş kapsamlı bir arka kapıya dönüştürebilir. Son on yıldan örnekler (SolarWinds, kötü amaçlı npm/PyPI paketleri, CI kaçırmaları) aynı deseni gösteriyor: güncelleme meta verisine güven + otomatik dağıtım = etki alanı.

Uzak erişim araçları için risk daha da büyüktür. Bir oturum bir relay'e düşerse, TLS o relay'de sonlanır; bu nedenle relay'i işleten taraf oturum trafiğini gözlemleyebilir veya yakalayabilir. Bu yüzden güncelleme-kanalı bütünlüğünü birinci sınıf bir güvenlik problemi olarak ele almanız gerekir.

Bir yükleyici filo ile temas etmeden önce çalıştırılacak kontroller

Aşağıda pratik, otomatikleştirilebilir kontroller var. Bunları yönetim platformunuzun (RMM, MDM, Grup İlkesi betiği, paket yöneticisi hook'u) içinde bir ön-yükleme hook'unda çalıştırın ve herhangi bir tutarsızlıkta hızlıca hata verin.

Artifaktın (ikili, paket, yükleyici) kriptografik imzasını doğrulayın.
İndirdiğiniz tam artifaktın checksum'unu (SHA-256) doğrulayın.
İmzacı kimliğini, zaman damgasını ve sertifika zincirini onaylayın; sertifikanın iptal edilmediğinden emin olun.
Güncelleme manifestosunu doğrulayın (imzalı, pinlenmiş) ve beklenen sürüm numaraları ile hash'lerle karşılaştırın.
Yükleyiciyi bir sandbox/canary havuzunda çalıştırın ve geniş dağıtımdan önce çökme/telemetri sinyallerini izleyin.
MitM veya sahte barındırmayı tespit etmek için güncelleme sunucusunun TLS sertifika parmak izini ve DNS adını kontrol edin.
Mümkün olan yerlerde metadata'yı bilinen-güvenilir bir kaynakla (SBOM, build provenance veya şeffaflık günlüğü) karşılaştırın.

Commands and examples — Windows, macOS, Linux

Uç noktadan veya CI runner'dan çalıştırabileceğiniz somut komutlar. Bunları bir ön-yükleme betiğine koyun ve hata durumunda sıfır olmayan çıkış verin.

-- Windows PowerShell: check Authenticode signature and timestamp --
Get-AuthenticodeSignature -FilePath .\installer.exe | Format-List
# Exit non-zero if Status is NotSigned or StatusMessage indicates error

-- macOS: verify code signature and system assessment --
codesign -dv --verbose=4 /path/to/Installer.app  # shows signer, entitlements
spctl --assess --type install /path/to/installer.pkg  # exit code indicates acceptance

-- Linux / tarball: verify detached GPG signature and SHA-256 --
sha256sum installer.tar.gz | awk '{print $1}' > digest.txt
gpg --verify installer.tar.gz.sig installer.tar.gz
# ensure digest matches the expected, and gpg verification succeeds

-- Debian / APT: verify signed repository metadata --
# apt uses InRelease or Release+Release.gpg for integrity; on the client:
sudo apt-get update  # will fail if repo signature invalid
# For manual check: gpg --verify InRelease

-- RPM: check package signature --
rpm --checksig -v package.rpm
# Exit code non-zero if signature invalid

-- TLS fingerprint: check package server cert (SHA-256) --
openssl s_client -connect packages.example.com:443 -servername packages.example.com \
  /dev/null | openssl x509 -noout -fingerprint -sha256
# Compare fingerprint against source of truth (config or PKI)

İmza ve sertifikada neyi kontrol etmelisiniz

Geçerli bir imza tek başına yeterli değildir. Aşağıdakileri inceleyin:

İmzacı kimliği: yayımlayıcı alanı beklediğiniz değer mi?
Zaman damgası: imza zaman damgalı mı? Zaman damgası, sertifika süresi dolduktan sonra güveni korur.
Zincir: sertifika beklediğiniz ve güvendiğiniz bir CA'ya kadar uzanıyor mu? Beklenmeyen ara sertifikalar var mı?
İptal durumu: mevcutsa OCSP veya CRL kontrol edin. Süresi dolmuş sertifikalar veya iptal edilmiş anahtarlar yüklemeleri engellemeli.
İmzacı politikası: anahtar bir build/servis hesabına mı yoksa HSM korumalı bir köke mi ait? Anahtarların çevrimdışı veya HSM'de tutulmasını tercih edin.

Kontrolleri otomatikleştirin ve nereye koyacağınız

Bu kontrolleri ürün kullanıcı uç noktalarına dokunmadan önce çalıştırılacak en basit, bariz yerlere yerleştirin:

Cihaz yönetimi ön-yükleme hook'u (MDM/RMM): dağıtımdan önce imza, checksum ve TLS kontrollerini çalıştırın.
Paket deposu doğrulaması: CI'de imzasız veya uyuşmayan Release dosyalarını reddedin.
CI release işi: imzalama aşaması HSM veya geçici anahtar kullanmıyorsa ve provenance (ör. SLSA attestation veya sigstore girdileri) üretmiyorsa işi başarısız kılın.
İzleme: imza değişiklikleri, yeni imzacı kimlikleri veya sertifika zincirindeki yeni ara sertifikalar için uyarılar oluşturun.

Kademeli dağıtım ve canaryler — işe yarayan sayılar

Kapıları açmayın. Deterministik, kademeli bir dağıtım kullanın ve gerileme veya ihlal göstergesi olan metrikleri izleyin:

Canary aşaması: cihazların %1'i, 24–48 saat. Yükleyiciyi çıkış trafiği engellenmiş olarak çalıştırın (mümkünse), sürecin başladığını doğrulayın, otomatik güncellemeyi devre dışı bırakın ve telemetri raporlarının temiz olduğundan emin olun.
Küçük genişleme: sonraki 48–72 saat için %10; artan çökme oranı, CPU/işlemci bellek gerilemeleri, beklenmeyen ağ bağlantıları arayın.
Geniş dağıtım: eşiklere uyulduktan sonra yalnızca %100; çökme oranı farkı < %0.5, CPU gerilemesi < %5 ve NIDS günlüklerinde anormal giden hedef bulunmamalı.

Dağıtım aracınızda engelleme kurallarını otomatikleştirin: bir canary sağlık kontrollerini geçemezse dağıtımı durdurun ve geri alın. Kararı kaydedin ve geri almanın nedenini denetleyin.

CI, imzalama anahtarları ve anahtar gözetimi

Çoğu ihlal yukarı akışta CI'de veya çalınmış imzalama anahtarları ile başlar. Her ikisini de savunun:

İmzalamada donanım destekli anahtarlar (HSM, sınırlı erişimli Cloud KMS) kullanın. Özel anahtarları CI runner'larda tutmayın.
Kısa ömürlü imzalama anahtarlarını veya release işine sağlanan geçici anahtarları tercih edin ve sıkı erişim günlükleri tutun.
Kim hangi imzayı ne zaman attığını kanıtlayabilmeniz için şeffaflık günlükleri ve artifact provenance kullanın (Sigstore/Rekor, cosign).
CI'yi sertleştirin: üçüncü taraf aksiyonları sınırlayın, branch koruması ve bakımcı hesaplarda 2FA zorunlu kılın, ve mümkünse tekrarlanabilir build girdileri talep edin.
Anahtarları döndürün ve bir anahtar-iptal süreci yayınlayın. İmzalama anahtarını taç mücevherleri gibi koruyun — uygun şekilde koruyun ve izleyin.

Provenance ve tekrarlanabilir derlemeler

Mümkün olduğunca tekrarlanabilir derlemeleri ve artifact provenance'ı benimseyin. SLSA seviyeleri olgunluk yol haritası sağlar; Sigstore ve cosign basit imzalama ve kamuya açık şeffaflık sunar. Eğer derlemeniz kaynaktan yeniden üretilebiliyorsa ve diğer ekipler üretilen artifaktı bağımsız olarak doğrulayabiliyorsa, tek bir ele geçirilmiş CI boru hattının kötü amaçlı kodu sessizce ekleme şansını azaltırsınız.

Güncelleme ve relay altyapısını self-host etmeli miyiz (ne zaman etmemeli)

Relay veya güncelleme sunucusunu self-host etmek ancak yazılı bir gereklilik zorunlu kıldığında doğru seçimdir: düzenleyici kısıtlamalar, sıkı veri yerleşimi veya izole ağ. Aksi halde, yönetilen bir relay ve yönetilen güncelleme altyapısı; 7/24 çağrı, yamalama, anahtar gözetimi, sertifika yenileme ve çok bölge yedekliliği gibi operasyonel maliyetleri hesaba kattığınızda genellikle daha düşük toplam maliyet üretir.

Tenvo'nun yönetilen relay'i burada varsayılan öneridir: macOS, Windows ve Linux için native istemciler, herkese açık beta'da bir tarayıcı istemcisi ve operasyonel yükü azaltan çok bölge yönetilen bir relay. Pricing tiers are Free $0, Lite $2.99/mo and Pro $7.99/mo; the managed relay removes much of the operational risk of running your own relay. Eğer uyumluluk self-host etmeyi zorunlu kılarsa, sertleştirilmiş, belgelenmiş bir playbook izleyin ve ek bakım maliyetini kabul edin.

Self-host yaparsanız, relay'in TLS'yi sonlandırma ve oturum trafiğini inceleme pozisyonunda olduğunu unutmayın. Tehdit modelinizi buna göre tasarlayın ve kimlerin bu relay'leri yönetebileceğini sınırlandırın.

Teknik kontrollerle eşleştirilecek operasyonel kontroller

SBOM'lar: her sürüm için bir yazılım bileşen listesi (SBOM) talep edin ve bunu canary'lerde yüklü paketlerle karşılaştırın.
Denetim günlükleri: sürüm onayları, imzalama olayları ve dağıtım kararlarının değiştirilemez günlüklerini saklayın.
Onay kapıları: imzalama anahtarlarını, CA'ları veya relay uç noktalarını değiştiren sürümler için insan onayı gerektirin.
Olay playbook'ları: test edilmiş bir geri alma ve anahtar-iptal planınız olsun; son iyi artifaktın nereden alınacağını ve bir anahtar ele geçirilirse güvenin nasıl geri çekileceğini bilin.

Hızlı referans: bir ön-yükleme betiği kontrol listesi

# pseudo-script outline (exit non-zero on failure)
# 1. Download installer and detached-signature/manifest
# 2. Verify TLS fingerprint of download host matches known good
# 3. Verify SHA-256 checksum matches manifest
# 4. Verify cryptographic signature (Authenticode, GPG, cosign)
# 5. Check certificate chain, timestamp and revocation status
# 6. Run installer in sandbox/canary; monitor telemetry for 24–48h
# 7. Only then proceed to staged rollout

# Implement each step with platform-specific commands shown above

İleri okumalar — dahili kaynaklar

Eğer uzak-masaüstü tehdit modelleri ve dağıtım uygulamaları hakkında arka plan bilgisine ihtiyacınız varsa, bu makaleler faydalıdır:

Özetle: imzalama anahtarlarını ve CI'yi koruyun, her yüklemede imzaları ve checksum'ları doğrulayın, dağıtımları ölçülebilir eşiklerle kademelendirip yönetilen bir relay'i tercih edin — politika self-host zorunlu kılmadıkça. Bu kontroller güncelleme yollarını tek bir felaket riskinden gözlemlenebilir, geri alınabilir adımlar dizisine dönüştürür.

Tenvo'yu indirip yönetilen relay ve dağıtım seçeneklerimizi değerlendirin: Tenvo'yu indir. İlk dağıtımınızda canary'lerle ve imza doğrulama ile başlayın.

Uzak erişim tedarik zinciri: güncelleme kanalları ve imzalama kontrolleri