SDK'lar ve araçlar için güvenlik desteği

Bu sayfa, kendiniz indirip çalıştırdığınız yazılımları kapsar: SDK'lar, CLI, Terraform/OpenTofu sağlayıcısı ve MCP sunucusu. Bu yazılımların ne kadar süre güvenlik düzeltmesi alacağını, bir güvenlik açığının nasıl bildirileceğini, güvenlik danışmanlıklarının nerede yayımlandığını ve her sürümle birlikte neler sunulduğunu açıklar; böylece kurduğunuz yazılımı doğrulayabilirsiniz. KeenAuth, bu süreçleri dijital öğeler içeren ürünlere yönelik AB Siber Direnç Yasası (CRA) gereksinimlerini karşılayacak şekilde tasarlar.

Henüz hiçbir paket herkese açık bir kayıt defterinde yayımlanmadı. Bu sayfadaki bir sürümle ilişkili her şey (SBOM, imzalar, köken), her paketin ilk sürümüyle başlar.

Destek süresi

• Ürün hattı bir bütün olarak, genel kullanıma sunulduğu tarihten itibaren en az 5 yıl boyunca güvenlik desteği alır.
• Güvenlik düzeltmeleri her paketin en son ana sürümünde yayımlanır ve bu sürüme geçiş ücretsizdir.
• Önceki ana sürüm, bir sonraki ana sürüm genel kullanıma sunulduktan sonra 12 ay boyunca güvenlik düzeltmesi alır.
• Yayımlanan her güvenlik güncellemesi en az 10 yıl, ya da destek süresinin geri kalanı daha uzunsa o süre boyunca kullanılabilir kalır.

Kullanım dışı kalma uyarıları ve çalışma zamanı desteği dahil tam politika, sürümleme ve kullanımdan kaldırma politikası sayfasındadır.

Bir güvenlik açığı bildirin

security@keenauth.com adresine e-posta gönderin. Bu kanal her zaman açıktır ve bir hata ödül programına bağlı değildir.

• Hassas ayrıntıları OpenPGP anahtarımızla şifreleyin; anahtar https://trust.keenauth.com/pgp-key.txt adresinde yayımlanmıştır. Parmak izi 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6 değeridir.
• İletişim bilgilerimiz https://trust.keenauth.com/.well-known/security.txt adresinde de yayımlanmıştır (RFC 9116).
• Paket adını ve sürümünü, açıklamayı ve etkisini, adım adım yeniden üretme yöntemini ve isminizin anılmasını istiyorsanız adınızı veya kullanıcı adınızı ekleyin.
• Güvenlik açıklarını destek talepleri veya herkese açık sorunlar aracılığıyla bildirmeyin.

SDK'daki güvenli olmayan bir varsayılan ayar kapsam dahilindedir. Yanıt süreleri, test kuralları, güvenli liman ve koordineli açıklama, güvenlik açığı açıklama politikamızda belirtilmiştir.

Güvenlik danışmanlıkları

Bir güvenlik açığını düzelttiğimizde https://trust.keenauth.com/advisories adresinde bir güvenlik danışmanlığı yayımlarız. Her danışmanlığın ASA-YYYY-NNNN biçiminde bir tanımlayıcısı vardır ve şunları belirtir:

• açıklama, etki ve sizin yapmanız gereken işlem;
• SDK veya araç için paket adı, etkilenen sürüm aralığı ve düzeltilmiş sürüm;
• bir CVSS v4.0 vektörü ve düzeltmenin tarihi;
• sorunu bildiren kişilere teşekkür.

SDK'larda, CLI'da, MCP sunucusunda ve sağlayıcıda bulunan güvenlik açıkları ayrıca GitHub güvenlik danışmanlıkları üzerinden CVE tanımlayıcısı alır.

Bildirim almak için herhangi bir feed okuyucuda https://trust.keenauth.com/advisories.atom Atom beslemesini takip edin.

Bu ürünlerden birindeki bir güvenlik açığı aktif olarak istismar edilirse veya güvenliğini ciddi biçimde etkileyen bir olay yaşanırsa, CRA'nın gerektirdiği şekilde bunu yetkililere bildiririz ve bir danışmanlık yayımlayarak kullanıcılarımızı bilgilendiririz.

SBOM ve VEX

Her paketin ilk sürümüyle birlikte sunulur:

• SBOM. Her sürüm, paketin içerdiği bileşenleri listeleyen CycloneDX JSON biçiminde bir yazılım malzeme listesiyle birlikte gelir.
• VEX. Listelenen bir bileşendeki bilinen bir güvenlik açığının paketi etkilemediği durumlarda bunu bir OpenVEX belgesinde belirtiriz. VEX belgesi yalnızca böyle bir beyan olduğunda üretilir; böyle bir beyanı olmayan sürümde VEX dosyası yoktur.

Bir sürümü doğrulayın

İlk sürümle birlikte kullanılabilir. npm'deki JavaScript/TypeScript paketleri ile PyPI'daki Python paketi, uzun ömürlü kayıt defteri belirteçleri kullanmadan, güvenilir yayımlama yöntemini kullanan bir sürüm iş akışıyla herkese açık SDK depolarından derlenir ve yayımlanır.

• npm: Paketler köken bilgisiyle yayımlanır. Projenizdeki paketlerin kayıt defteri imzalarını ve köken onaylarını şu komutla denetleyin:

  npm audit signatures
  

• PyPI: Sürümler, proje sayfasında gösterilen onaylarla yayımlanır.

• Sigstore paketleri: Her paket dosyası ve SBOM'u Sigstore anahtarsız imzalama ile imzalanır; paket dosyaları bir SLSA köken onayı taşır. Bu dosyalar, herkese açık SDK deposundaki sürüm iş akışı çalıştırmasına eklenir ve orada 90 gün saklanır. İndirdiğiniz bir dosyayı şu komutla doğrulayın:

  cosign verify-blob <file> --bundle <file>.sigstore.json \
    --certificate-identity "https://github.com/<owner>/<repo>/.github/workflows/release.yml@refs/tags/<tag>" \
    --certificate-oidc-issuer https://token.actions.githubusercontent.com
  

  Komut, imzanın doğrulandığını bildirmelidir. İndirdiğiniz sürümün deposunu ve etiketini kullanın.

MCP sunucusu bir npm paketidir ve yukarıdaki npm adımlarını izler. Go SDK, CLI ve sağlayıcı için imzalama ve doğrulama adımları ilk sürümleriyle birlikte burada yayımlanacaktır.