Yapay zeka, açık kaynak yazılımda güvenlik açığının saklanabileceği süreyi kısaltıyor

Bitcoin Core geliştiricileri, yapay zeka modellerinin basit bir istemle yeniden bulabileceği güvenlik açıklarının uzun süre gizli tutulması yerine, düzeltme ve güvenlik duyurusunun daha hızlı yayımlanmasını öngören bir politika değişikliğini kabul etti. Geliştiricilerin değerlendirmesine göre yapay zeka, bazı hata türlerinin bulunmasını ciddi biçimde kolaylaştırıyor. Yapay zekanın kod yazma becerisinden öte asıl mesele, yazılım güvenliğinde bilginin ne kadar süre gizli tutulabileceğinin değişmesi. Eskiden bir güvenlik açığını keşfetmek belirli bir uzmanlık ve zaman gerektiriyordu. Bu süre, geliştiricilere açığı düzeltmek ve kullanıcıların sistemlerini güncellemesini sağlamak için bir avantaj sunabiliyordu. Yapay zeka bu keşif süresini kısalttığında, aynı gizlilik stratejisi artık aynı korumayı sağlamayabilir. Ancak daha hızlı açıklama yapmak da risksiz değil. Kullanıcılar yamayı yükleyene kadar saldırganlar açığın varlığını öğrenebilir. Ayrıca hızlı yayımlanan düzeltmelerin yeterince test edilmesi gerekiyor. Açık kaynak projelerinde güvenliğin yeni ölçütü yalnızca kaç açığın bulunduğu değil, açığın bulunmasından kullanıcıların korunmasına kadar geçen sürenin ne kadar kısaltılabildiği olacak. Bu konu sadece Bitcoin için değil; ödeme altyapıları, açık kaynak kütüphaneler ve finansal teknoloji sistemleri için de önemli. Kurumlar artık güvenlik ekiplerinin yapay zeka ile daha hızlı açık bulmasını sağlarken, yamaları dağıtma ve sistemleri güncel tutma kapasitelerini de aynı hızda geliştirmeli...

Müşteri parasını korumak, yalnızca cüzdan güvenliği meselesi değil

İrlanda Merkez Bankası, Coinbase'in İrlanda birimine müşteri fonlarının korunması ve dış kaynak kullanımına ilişkin ihlaller nedeniyle 3,25 milyon avro para cezası verdi. Düzenleyici, bazı dönemlerde müşteri fonlarının doğru biçimde ayrıştırılmasını doğrulayacak kontrollerin yeterli olmadığını belirtti. Coinbase ise sorunların giderildiğini ve müşterilerin parasını kaybetmediğini açıkladı. Benim açımdan bu olayın önemli tarafı, kripto borsalarının güvenliğinin sadece siber saldırılara karşı korunmakla sınırlı olmaması. Bir platformun cüzdanları teknik olarak güvenli olabilir. Ancak müşteri varlıklarının hangi tüzel kişilik adına tutulduğu, hesap bakiyelerinin günlük olarak nasıl doğrulandığı ve dış hizmet sağlayıcıların nasıl denetlendiği de en az teknik güvenlik kadar önemli. Özellikle birden fazla ülkede faaliyet gösteren şirketlerde, küresel altyapının kullanılması yerel sorumluluğu ortadan kaldırmıyor. Bir kurum, operasyonlarını dışarıdan hizmet alarak yürütebilir; fakat müşteriye karşı yükümlülükleri devam eder. Dijital varlık sektöründe kurumsal güven, yalnızca saldırıya uğramamış olmakla ölçülemez. Şirketin müşteriye ait varlıkları her an doğru biçimde hesaplayabilmesi, ayrıştırabilmesi ve gerektiğinde iade edebilmesi de gerekir. Bu nedenle kripto platformları için iç kontrol, mutabakat, dış kaynak denetimi ve müşteri varlıklarının günlük doğrulanması, büyümenin ardından gelen idari işler değil; iş modelinin temel parçaları olmalı...

Bir borsanın “hacklenmedik” açıklaması, zincir üstü hareketleri açıklama yükümlülüğünü ortadan kaldırmıyor

Hindistan'ın büyük kripto borsalarından CoinDCX, blockchain araştırmacılarının borsayla bağlantılı adreslerden yaklaşık 16 milyon dolarlık şüpheli çıkış tespit etmesinin ardından aktif cüzdanlarının saldırıya uğradığı iddiasını reddetti. Şirket, hareketlerin bir saldırıdan kaynaklanmadığını savundu. Burada kesinleşmiş bir saldırı haberi ile henüz açıklığa kavuşmamış zincir üstü hareketleri birbirinden ayırmak gerekiyor. Şüpheli transfer, tek başına saldırının kanıtı değildir. Fakat yalnızca şirketin açıklaması da teknik incelemenin yerini tutmaz. Benim farklı baktığım nokta, kripto piyasasında güvenin giderek daha fazla kanıtlanabilir açıklama üzerinden kurulması gerektiği. Geleneksel finans kuruluşları da operasyonel sorunlarla karşılaşabilir. Dijital varlık piyasasında transferlerin halka açık bir zincirde izlenebilmesi, olayın nasıl açıklanacağına dair beklentiyi yükseltiyor. Böyle bir durumda platformun kullanıcıları bilgilendirmesi, etkilenen adresleri açıklaması, transferlerin niteliğini ortaya koyması ve bağımsız incelemeye imkan vermesi önem taşıyor. Aynı zamanda doğrulanmamış iddiaları kesinleşmiş saldırı gibi sunmamak da gerekiyor. Kripto piyasasında şeffaflık, yalnızca işlemlerin blockchain üzerinde görülebilmesi değil; sıra dışı hareketlerin kurum tarafından anlaşılır, tutarlı ve doğrulanabilir biçimde açıklanabilmesi demek...

Bir buzdolabının yazılımı, yüzlerce mağazanın finansal riskine dönüşebilir

Fransa'daki yüzlerce süpermarket, ticari soğutma sistemlerini kontrol eden eski OT yazılımlarına yönelik bir siber saldırıdan etkilendi. Saldırganlar bazı sistemlerin çalışma biçimini değiştirerek soğutma ve dondurma ünitelerinin sıcaklığını yükseltti; bunun sonucunda ciddi ürün kayıpları yaşandı. Sıradan bir siber saldırı olarak değerlendirmek basite kaçmak olur çünkü burada dijital sistemdeki bir açık, doğrudan fiziksel varlıkları ve işletmenin gelirini etkiliyor. IoT ve endüstriyel kontrol sistemleri çoğu zaman arka planda çalıştığı için kurumların teknoloji envanterinde yeterince görünür olmayabiliyor. Oysa bir mağazadaki soğutma sistemi, fabrikadaki üretim hattı veya binadaki enerji kontrolü devre dışı kaldığında sonuç yalnızca veri kaybı değil. Bu tür sistemlerde eski yazılımlar, üreticiye bağımlılık ve bakım sorumluluğunun dış kaynaklara devredilmesi riski artırabilir. Siber güvenlik bütçesi hazırlanırken yalnızca sunucular ve çalışan bilgisayarları değil, şirketin fiziksel faaliyetlerini sürdüren tüm bağlantılı cihazları da hesaba katmak gerekiyor. Bir cihazın güncellemesinin ertelenmesi, yalnızca teknik bir eksiklik değildir. İş sürekliliği, sigorta maliyeti ve operasyonel dayanıklılık meselesidir...

Dijital kimlikte ortak standartlar oluşmadan, sınır ötesi uyum pahalı kalacak

Sumsub, Fireblocks ve 40'tan fazla kuruluşun yer aldığı Open Transaction Layer (OTL) girişimine katıldı. Girişimin hedefi, dijital varlık ekosisteminde kimlik doğrulama, karşı taraf keşfi ve işlem uyumu için ortak standartlar oluşturmak. Ben bu gelişmeyi yeni bir sektör ortaklığı olarak değil, dijital finansın ölçeklenmesini engelleyen görünmez bir maliyete yönelik çözüm arayışı olarak görüyorum. Bugün farklı platformlarda faaliyet gösteren kuruluşlar, karşı tarafın kimliğini doğrulamak ve mevzuatın gerektirdiği bilgileri paylaşmak için ayrı entegrasyonlar geliştirebiliyor. Her yeni bağlantı, teknoloji maliyeti ve uyum yükü yaratıyor. Ortak standartlar bu tekrarları azaltabilir. Fakat bunun için yalnızca teknik uyumluluk değil, veri paylaşımının hukuki dayanağı, mahremiyetin korunması ve sorumlulukların açık biçimde belirlenmesi de gerekiyor. Dijital varlık piyasasının büyümesini yalnızca işlem kapasitesi sınırlamıyor. Kurumların birbirine güvenilir biçimde bağlanabilmesi de en az teknik ölçeklenme kadar önemli. RegTech şirketleri için fırsat, daha fazla kontrol eklemekten ziyade gerekli kontrolleri farklı sistemler arasında yeniden kullanılabilir hale getirmek olabilir...