Güvenlik Aracında Yanlış Ölçüm: 807'den 612'ye Düşüş

Alexis Romero, geliştirdiği bir güvenlik denetim aracında ciddi bir hata keşfetti ve bunu açıkça yayınladı. Başlangıçta 807 olarak bildirilen bulguların 195'i aslında hata değildi, araç, GitHub Actions'ta sırları güvenli şekilde iletmenin doğru yollarını bir sorun olarak işaretliyordu.

Sorun GATE_RC_4_SECRETO_EXPUESTO adlı kontrol mekanizmasındaydı. Bu kod, `${{ secrets.* }}` değişkenlerinin `env:` bölümünde veya `with:` parametrelerinde kullanılmasını hata olarak rapor ediyordu. Oysa GitHub Actions'ta sırları adım veya iş seviyesinde bu şekilde bildirmek, sırların script gövdesine girmesini engellemenin resmi ve güvenli yöntemidir. Araç, mekanizmayı algılıyor ama bunu gerçek bir sızıntı olarak yanlış sınıflandırıyordu.

Romero, bulguyu sessizce düzeltmek yerine, orijinal yazısının bir addendum'unu yayınladı ve gerçek sayıyı 612'ye indirdi. Bu yaklaşım önemli: yayınlanmış bir rakamı gizlice değiştirmek, onu kasıtlı olarak şişirmekle aynı derecede güvenilmezlik yaratır.

Araçlar geliştirirken, özellikle güvenlik kontrolleri söz konusu olduğunda, yanlış pozitifleri (false positive) ayıklamak başlangıçtaki çalışmanın bir parçasıdır. Önemli olan, hatayı bulduktan sonra onu açıkça ve zamanında düzeltmektir. Kendi aracını sorgulayan bir geliştirici, kullanıcılara daha güvenilir bir sonuç sunabilir.