Bugtraq 30 yaşına girdi: bir e-posta listesi BT güvenliği dünyasını değiştirdi

Yaklaşık 30 yıl önce, 5 Kasım 1993’te Scott Chasin bir BT güvenlik posta listesi kurdu ve buna “BugTraq” adını verdi. O dönemde bir petrol ve gaz şirketinde güvenlik yöneticisi olarak çalışan Chasin, hızla büyüyen İnternet’teki az gelişmiş BT güvenlik altyapısına karşı bir ivme sağlamak istiyordu. BugTraq, başından beri “tam açıklama”ya, yani güvenlik açıklarının zamanında ve ayrıntılı olarak yayınlanmasına güvendi. Liste kısa sürede hâlâ genç olan İnternet güvenliği araştırmacıları topluluğu için birincil araç haline geldi.

Duyuru

İlk yıllarında BugTraq listesi denetlenmiyordu; 1995’te iki binden fazla abone olduğunda bunun pratik olmadığı ortaya çıktı. Güvenlik firması SecurityFocus’un kurucusu “Aleph One” olarak da bilinen Elias Levy, şirketi ve işletmesini Symantec’e satana kadar beş yıl boyunca listeyi yönetti. Kısmen aşırı katı ve yavaş olarak algılanan ılımlılıktan kaynaklanan hayal kırıklığından ve kısmen de bir satış olarak algılanan satın almaya karşı protestodan, daha az bilinen bir yan ürün olan “Tam Açıklama” e-posta listesi oluşturuldu. 2002 yılında kuruldu. O andan itibaren her iki liste de barış içinde bir arada varlığını sürdürdü: Gelen kutusunda okuma materyalinin biraz daha az olmasını isteyen herkes BugTraq’a abone oldu; yüksek güncelleme standartlarına ve okuma azmine sahip güvenlik uzmanları tüm açıklamayı takip etti.

Tıpkı BugTraq’ın internetin ilk günlerinde sorunlarla birlikte mücadele eden enerjik bir topluluk fikrini temsil etmesi gibi, e-posta listesinin sona ermesi de finansal yatırımcıların artan etkisinin sembolü haline geldi. Kendisi de bir yıl önce Broadcom tarafından satın alınan Symantec’in, siber güvenlik bölümünün 2020 baharında ticari danışmanlık şirketi Accenture’a satılacağını duyurmasından kısa bir süre önce, listede yeni bir katkı görünmemişti. Moderatörler mesaj göndermeyi bıraktı. Yeni sahip daha sonra Ocak 2021’de posta listesinin sona erdiğini duyurdu. Topluluğun tepkisinin ardından Accenture kısa süreliğine geri adım attı ve artık silinmiş bir blog gönderisinde listeyi işletmeye devam etmek istediğini duyurdu. Bu, BugTraq’taki son mesaj olarak kalmalı.

Zaman doldu

BugTraq’ın güvenlik sahnesindeki etkisi büyük oldu. Liste, bugün hala mevcut olan “güvenlik açığının ifşa edilmesi” uygulamasını güçlendirdi: Kurucunun liste belgesinde belirttiğine göre, öncelikle üreticiyi bilgilendirmek ve makul bir yanıt süresinden sonra kamuoyunu bilgilendirmek gerekiyor. Bu uygulama 2000’li yılların başında bile tartışmasız değildi.

Artık pek çok satıcı ödül programları yürütüyor ve güvenlik açıkları için yüksek “hata ödülleri” ödüyor; bunun karşılığında kaşifler de yayınlama haklarından vazgeçiyor. Bu, bugüne kadar hayatta kalan “Tam Açıklama” e-posta listesinin eski halinin bir gölgesi olmasının bir nedenidir: Her ay en yoğun olduğu dönemde gelen kutularına döktüğü binden fazla e-postadan yalnızca bir kısmı kaldı. . Posta listeleri artık biraz eskimiş görünüyor: X, Mastodon ve hata ödül programlarının rekabeti çok güçlü.

(cku)