Windows 11'deki Sürücü İmzası Gereksinimleri: Kullanıcı Özgürlüğünü Sınırlayan ve Kullanıcı Deneyimine Zarar Veren Bir Güvenlik Özelliği

Dünyanın en yaygın kullanılan masaüstü işletim sistemi olan Windows 11'in şüphesiz ki bazı sorunları var. Ancak bu sorunlara rağmen, birçok kullanıcının Windows 10'da mümkün olduğunca uzun süre kalmasına veya hatta Linux'a geçmesine yol açan istenmeyen eklemelere rağmen, şirketin işletim sisteminin en gelişmiş sürümü olmaya devam ediyor . Bununla birlikte, Windows'un belirli bir yönü beni her zaman rahatsız etti: Microsoft'un işletim sisteminin sürücüleri yüklemeden önce dijital olarak imzalanmasını gerektiren uzun süredir devam eden politikası.

Basitçe ifade etmek gerekirse, sürücü, donanım veya yazılımın Windows ile etkileşime girmesini sağlayan düşük seviyeli bir koddur (genellikle işletim sistemi çekirdeğinde çalışır). İmzalı bir sürücü, güvenilir bir yetkiliden (Microsoft'un kendi sertifikası veya geçmişte Microsoft tarafından onaylanmış bir sertifika yetkilisi gibi) gelen ve Windows'un çalışmasına izin vermeden önce orijinalliğini ve bütünlüğünü doğruladığı bir kriptografik imza içerir. Bu sürücü imzalama uygulaması, on yıllar içinde evrimleşerek süreçte zorunlu bir bekçi haline gelmiştir ve ikili bir yapıya sahiptir.

Bir yandan, kötü amaçlı yazılımların bu kadar derin bir seviyede çalışmasını engelleyerek (her halükarda, çalınabilecek uygun bir sertifika olmadan) güvenliği tartışmasız artırırken, diğer yandan kullanıcı kontrolünü kısıtlıyor ve Microsoft kurallarına uyulmasını gerektiriyor. Kullanıcı özgürlüğüne aykırı olsa da, açık faydaları da var. Windows'taki en iyi güvenlik özelliklerinden biri olmasına rağmen, varlığı özünde tüketici karşıtıdır.

Sürücü imzaları nelerdir?

Sürücü imzaları, Microsoft veya güvenilir başka bir kuruluş tarafından aygıt sürücülerine verilen dijital sertifikalardır. Bu imzalar, Windows'a sürücünün orijinal olduğunu ve aygıt üreticisi tarafından yayınlandıktan sonra üzerinde oynanmadığını veya değiştirilmediğini bildirir. Bunu, sürücünün bütünlüğünü ve güvenilirliğini garanti eden dijital bir onay mührü olarak düşünün.

Başka bir deyişle, sürücü yayıncısının kimliğini doğrulamanın ve yazılımın değiştirilmediğinden emin olmanın bir yoludur. Bu son derece önemlidir çünkü sürücüler işletim sisteminin derinliklerinde çalışır ve bir sürücü kötü amaçlı veya dengesizse, sistem çökmeleri veya hatta güvenlik açıkları gibi ciddi sorunlara neden olabilir.

İmzalı bir sürücü yüklediğinizde, Windows sürücünün yüklenmesine izin vermeden önce imzayı doğrular. İmza geçerliyse, sürücü Microsoft veya güvenilir başka bir kuruluş tarafından test edilip onaylanmış ve kurulumu güvenlidir. İmza geçersiz veya eksikse, Windows sürücünün güvenli olmayabileceği veya sisteminizle uyumsuz olabileceği konusunda sizi uyarır.

Sürücü imzaları neden önemlidir?

1. Emniyet: Sisteminizi riske atabilecek kötü amaçlı veya değiştirilmiş sürücülerin kurulumunu engeller.
2. istikrar: Sürücülerin Windows ile uyumlu olmasını ve sistem sorunlarına yol açmamasını sağlar.
3. güvenilirlik: Sürücünün Microsoft veya başka bir güvenilir tarafça test edildiğini ve onaylandığını gösterir.

Genel olarak, sürücü imzaları sisteminizi kötü amaçlı yazılımlardan korumaya yardımcı olan ve istikrarını ve güvenilirliğini sağlayan önemli bir güvenlik mekanizmasıdır. Bu nedenle, yalnızca imzalı sürücüleri yüklemek her zaman en iyisidir.

Uzun bir koruma geçmişi

Sürücü imzalama, Microsoft'un Windows Vista döneminde ilk kez tanıtılan ve Windows 10 sürüm 1607 ile zorunlu hale getirilen Kod Bütünlüğü güvenlik özelliğinin temel bir bileşenidir. Kavram basit ve anlaşılır: Windows çekirdeğinde ("Ring 0" olarak bilinir) çalışan herhangi bir kodun, güvenilir bir otoriteden geçerli bir dijital imzaya sahip olması gerekir. Microsoft'un resmi belgelerine göre , Kod Bütünlüğü "bir sürücünün veya sistem dosyasının belleğe her yüklendiğinde bütünlüğünü doğrulayarak işletim sistemi güvenliğini artırır" ve Windows'un 64 bit sürümlerinde " çekirdek modu sürücülerinin dijital olarak imzalanması gerekir". Pratikte bu, Windows'un tanınmış bir sertifika ile imzalanmamış herhangi bir sürücüyü yüklemeyi reddedeceği anlamına gelir .

Diğer işletim sistemlerinde olduğu gibi, çekirdek ( ntoskernel.exe veya Windows NT çekirdeği ) en yüksek ayrıcalıklara sahip işletim sisteminin çekirdeğidir; bu nedenle yetkisiz kodun bu alanda çalışmasını engellemek çok önemlidir. Dijital imzalar, bir sürücünün belirli bir geliştirici tarafından yayınlandığını ve o zamandan beri değiştirilmediğini garanti eder. Basitçe söylemek gerekirse, imzasız veya kötü amaçlı olarak değiştirilmiş sürücüler varsayılan olarak yüklenmeyecektir ve güvenlik açısından bu, hem tüketicileri hem de işletmeleri koruyan iyi bir şeydir.

Pratikte bu, meşru donanım satıcılarının ve geliştiricilerinin bir sürücü imzalama sürecinden geçmesi anlamına gelir. Modern Windows'ta bu, genellikle genişletilmiş bir doğrulama sertifikası edinmeyi ve sürücüyü onay için Microsoft'a göndermeyi içerir. Kod, bu onay olmadan çekirdekte çalıştırılmaya çalışılırsa, " Windows, bu aygıt için istenen sürücülerin dijital imzasını doğrulayamıyor" gibi bir hata görürsünüz . Bu, kötü amaçlı yazılımların sisteme tam kontrol sağlamak için bir rootkit veya kötü amaçlı bir sürücü yükleyebileceği bir dizi saldırıyı önler. Modern 64 bit Windows'ta , aygıt sürücüsünü yüklemek, çekirdekte rastgele kod çalıştırmanın desteklenen tek yoludur ve bu, imzasız çalıştırılabilir dosyaları tamamen devre dışı bırakır.

Peki ya yöneticiler? Bu ayrıcalık seviyesine sahip hesaplar bile muaf değil. Kim olursanız olun, 64 bit Windows'ta imzasız bir sürücü yükleyemezsiniz . Bunu devre dışı bırakmanın tek yolu, bir sonraki önyüklemede sıfırlanacak olan "Sürücü imzalama zorunluluğunu devre dışı bırak" önyükleme seçeneğini kullanmak veya doğrulama işlemini tamamen devre dışı bırakmak için bcdedit kullanmaktır. Bu, Microsoft tarafından uygulanan ve bilgisayar sahibinin bile atlamaması gereken bir güvenlik önlemidir .

Microsoft yıllar geçtikçe gereklilikleri sıkılaştırdı.

Microsoft, yıllar içinde daha sorunsuz ve daha güvenli bir kullanıcı deneyimi sağlamayı hedefleyerek Windows işletim sistemi gereksinimlerini kademeli olarak sıkılaştırmıştır. Gereksinimlerdeki bu değişiklikler, devam eden teknolojik gelişmeleri, performansı iyileştirme ihtiyacını ve artan güvenlik tehditlerine karşı korumayı artırma ihtiyacını yansıtmaktadır. Microsoft, her yeni Windows sürümüyle birlikte, özellikle işlemci, rastgele erişim belleği (RAM) ve depolama alanına odaklanarak, sistemin verimli bir şekilde çalışması için gereken minimum özellikleri yükseltir ve Güvenilir Platform Modülü (TPM) gibi en yeni teknolojilere destek sağlar.

Bu sıkılaştırılmış gereksinimler, bazı kullanıcıların eski cihazlarının en son Windows sürümlerini çalıştıramadığını fark etmesi nedeniyle kullanıcılar üzerinde doğrudan etkilere sahiptir. Ancak bu hamle, Microsoft'un yeni ve geliştirilmiş özellikler sunmasına, genel sistem performansını iyileştirmesine ve daha yüksek düzeyde güvenlik sağlamasına olanak tanır. Örneğin, Windows 11'deki bazı gelişmiş özellikler, belirli komutları destekleyen modern işlemcilerin yanı sıra gelişmiş güvenlik ve veri koruması için bir TPM 2.0 modülünün varlığını gerektirir.

Ayrıca, gereksinimlerin sıkılaştırılması, Microsoft'un modern cihazları desteklemeye ve en yeni teknolojilerle uyumluluğu iyileştirmeye odaklanmasını sağlayarak genel olarak daha iyi bir kullanıcı deneyimi sunar. Bu durum, eski cihazlara sahip kullanıcılar için bazı rahatsızlıklara neden olsa da, cihazlarını yükselten veya yeni cihaz satın alan kullanıcıların Windows işletim sisteminden mümkün olan en iyi performans ve güvenliği almasını sağlar.

Aygıt sürücülerini kontrol etmek için basit bir araçla başladık.

Microsoft'un aygıt sürücüleri için dijital imza zorunluluğu getirme süreci, casus yazılımlar, kök dizinler ve işletim sistemi kararlılığıyla ilgili artan endişeler arasında, 2000'lerin ortalarında başladı. Windows XNUMX ile başlayan Sürücü Doğrulayıcı, aygıt sürücülerini yasadışı işlevler açısından test etmek ve hataları tespit etmek için kullanılabilen bir komut satırı programıydı ve ardından Windows XP'nin piyasaya sürülmesiyle aynı zamana denk gelen grafiksel bir kullanıcı arayüzüyle güncellendi. O dönemde sürücü imzalama mevcuttu, ancak kesin olarak zorunlu değildi. Ancak bir Grup İlkesi seçeneği, kurulumu tamamen engellemek, kullanıcıyı uyarmak ancak kuruluma izin vermek veya sessizce kurulum yapmak için ayarlanabiliyordu.

Bu durum Windows'un x64 sürümleriyle değişti. Windows Vista'dan (ve hatta sınırlı ölçüde Windows XP x64 Edition'dan, her ne kadar sertifikayı kendiniz imzalayabilseniz de ) başlayarak, 64 bit Windows sistemleri, daha geniş bir güvenlik girişiminin parçası olarak çekirdek modu tanımlama imzalamasını zorunlu kıldı; bu girişim, gayri resmi olarak PatchGuard olarak adlandırılan Çekirdek Yama Korumasını da içeriyordu. Vista x64'te zorunlu imzalamanın getirilmesi o dönemde tartışmalıydı, ancak Microsoft'un belirttiği hedef, kötü amaçlı yazılımların tüm kategorilerini ortadan kaldırmak ve o zamanki bazı raporlara göre Dijital Haklar Yönetimi'ni (DRM) korumaktı.

Aygıt sürücüsü imzalarının zorunlu kılınmasının birçok sektör çıkarıyla örtüştüğü bir sır değil ve bu aynı zamanda o dönemde Microsoft'un şirketleri sürücülerini dağıtmak için lisans ücreti ödemeye zorlayabileceği anlamına geliyordu. Aksi takdirde, bu sürücüler çoğu cihaza yüklenmezdi. O zamandan beri, gereksinimler çok daha katı hale geldi ve daha önce de belirttiğimiz gibi, Windows 10 sürüm 1607, tüm sürücülerin Microsoft sertifikasıyla imzalanmasını zorunlu kılıyor.

Yeni sistemlerde varsayılan olarak UEFI Güvenli Önyükleme ve TPM modülü gerektiren Windows 11, önyükleme sürecinin ve tanımlarının güvenilirliğini önemli ölçüde artırır. Başka bir deyişle, modern Windows'un hangi düşük seviyeli kodun çalışmasına izin verildiğini belirleyen merkezi bir otoritesi (Microsoft) vardır. Sonuç olarak, Microsoft (ve birkaç sertifika sağlayıcısı) Windows platformu için bekçi konumunda yer aldığından, saldırganların ele geçirmesi çok daha zor bir hedef haline gelir.

Microsoft, çekirdeği her ne pahasına olursa olsun korumayı amaçlıyor.

Microsoft, Windows işletim sisteminin güvenliğini sürekli olarak geliştirmek için çalışmaktadır ve çekirdeğin korunması en önemli önceliklerinden biridir. Çekirdek, işletim sisteminin kalbidir ve herhangi bir ihlali, cihazın tamamen kontrol altına alınması anlamına gelir. Bu nedenle Microsoft, çok katmanlı koruma yoluyla çekirdeğe yetkisiz erişimi engellemeyi amaçlayan teknolojilere ve yazılımlara büyük yatırımlar yapmaktadır.

Bu çabalar, çekirdekte yetkisiz değişiklikleri engelleyen Çekirdek Yama Koruması ve hassas süreçleri güvenli bir sanal ortamda izole eden Sanallaştırma Tabanlı Güvenlik gibi teknolojilerin kullanımını içermektedir. Microsoft ayrıca, çekirdeği gerçek zamanlı olarak tehlikeye atma girişimlerini tespit etmek için gelişmiş analiz araçları da geliştirmektedir.

Çekirdeği korumak, özellikle siber saldırı yöntemlerinin gelişmesiyle birlikte, sürekli bir zorluk olmaya devam etmektedir. Bu nedenle Microsoft, Windows'un güvenli ve güvenilir kalmasını sağlamak için güvenlik mekanizmalarını sürekli olarak güncellemeye ve iyileştirmeye kararlıdır. Bu kararlılık, Microsoft'un kullanıcı verilerinin ve cihazlarının bütünlüğünü korumada çekirdeğin kritik rolünü anladığını yansıtmaktadır.

Bu, normal geliştiricilerin de bunu kullanamayacağı anlamına gelse bile.

Açık olmak gerekirse, sürücü imzalama zorunluluğunun Windows işletim sisteminde güvenliği önemli ölçüde artırdığı yönünde güçlü bir argüman mevcut. İmzasız sürücülerin engellenmesiyle, antivirüs yazılımlarından gizlenebilecek kök dizinler ve çekirdek düzeyinde kötü amaçlı yazılımlar gibi her türlü dijital saldırı engellenmiş olur. Geçmişte, en gelişmiş kötü amaçlı yazılımların çoğu, belleğe erişmek veya sistemi derinlemesine değiştirmek için kendini bir sürücü olarak gizlemeye çalışmıştır. Günümüzde, bir kötü amaçlı yazılımın çalınmış veya sızdırılmış bir dijital sertifikası olmadığı sürece, tamamen yamalanmış bir 64 bit Windows sistemine sürücü yükleyemez; bu da Windows XP günlerine göre çok daha yüksek bir engeldir. Önyükleme sırasında imzasız bir sürücü bulunursa, sistem başlamaz.

Çevrimiçi oyunlar için modern hile önleme sistemleri de Windows sürücü imzalama gereksinimlerinden büyük ölçüde faydalanmaktadır. Birçok rekabetçi oyunda, daha gelişmiş hile geliştiricilerinin çoğu, kullanıcı modunda hile önleme araçları tarafından tespit edilmekten kaçınmak için hile programlarını çekirdek modunda çalıştırmaya çalışır. Bu nedenle Easy-Anti Cheat, Faceit, Riot Vanguard ve diğer birçok hile önleme çözümü, hile önleme paketlerinin bir parçası olarak kendi çekirdek sürücülerini kurar. Bu hile önleme programları, sistemi hilelere karşı izlemek, oyun belleğine erişimi engellemek ve oyun kodunun değiştirilmediğinden emin olmak için yönetici kullanıcısından bile daha yüksek bir ayrıcalık seviyesiyle çalışır (hatırlayın, bir yönetici bile imzalanmamış bir sürücü kuramaz). Sürücü imzalama, geliştiricilerin oyunlarının etrafına kurdukları bu koruyucu hendeğin önemli bir parçasıdır. Windows, düzgün şekilde imzalanmamış herhangi bir sürücüyü reddedeceğinden, hile geliştiricileri, işletim sistemi buna izin vermeyeceği için, hile önleme sistemini atlatmak için rastgele özel bir çekirdek sürücüsü oluşturup yükleyemezler.

Buna karşılık, hile yazılımı sağlayıcıları ve kötü amaçlı yazılım geliştiricileri, sürücü zorlamasının etkinliğini kanıtlayacak güvenlik açıkları aramaya başladılar. Yaygın bir teknik, BYOVD veya Kendi Güvenlik Açığı Olan Sürücünüzü Getirin olarak bilinir; burada saldırganlar, bilinen güvenlik açıklarını zaten içeren imzalı bir sürücü bulurlar. Meşru sürücü yüklenir, Windows tarafından kabul edilir ve ardından zayıf noktaları çekirdekte kod çalıştırmak için kullanılır. Bu tür bir örnekte, Lenovo Mapper sürücüsü kötüye kullanılır , imzasız bir hile sürücüsü dağıtılır ve Riot'un Vanguard'ı tarafından gerçekleştirilen TPM kontrolü devre dışı bırakılır.

Tüm bunlar ayrıca Doğrudan Bellek Erişimi (DMA) saldırıları ve hileleriyle de ilgilidir. DMA, donanım aygıtlarının sistem belleğine doğrudan erişmesine, CPU'yu atlamasına ve potansiyel olarak ikincil bir bilgisayarın oyun belleğinden okuma veya yazma yapmasına olanak tanır. Ancak Windows, yetkisiz PCIe aygıtlarının belleğe erişmesini önlemek için IOMMU kullanan DMA Çekirdek korumasına sahiptir. Yalnızca DMA Yeniden Eşleme uyumlu sürücülere sahip aygıtlar bunu yapabilir ve yine, bu sürücü özelliği Microsoft'un imza doğrulama mekanizmasının bir parçası olarak korunmaktadır. Bunu, Windows başlamadan önce önyükleme sırasında kötü amaçlı yazılımların veya hile yükleyicilerinin kendilerini yerleştirmesini önleyen Güvenli Önyükleme ve TPM tabanlı önyükleme korumasıyla birleştirirseniz, kullanıcı tarafından kontrol edilen bir bilgisayar olduğu düşünüldüğünde, büyük ölçüde güvenli bir ortam elde edersiniz.

Bu teknik, oyun hilelerine özgü de değil. Sürücüleri kötüye kullanarak sistem güvenlik özelliklerini devre dışı bırakan ve çekirdeğe kötü amaçlı kod yükleyen çok sayıda fidye yazılımı örneği mevcut. Bu da saldırı yüzeyini işletim sisteminden Microsoft tarafından incelenip imzalanan düşük seviyeli koda kaydırıyor. Kötü amaçlı yazılım geliştiricilerinin, kullanıcının cihazına zaten yüklü olan mevcut bir sürücüden yararlanması gerekiyor. Bu da, ya çok popüler bir sürücüde bir güvenlik açığı bulmak ya da kullanıcıyı güvenlik açığı içeren bir yazılım yüklemesi için kandırmak anlamına geliyor.

Sürücü imzası denetimi, kapsamlı bir güvenlik mimarisinin sadece bir parçasıdır ve tek başına her şeyi durdurmaya yetmez. Ancak, Microsoft'un da kullandığı bu diğer tekniklerle birleştirildiğinde, çıtayı önemli ölçüde yükselttiği inkar edilemez. Çalınan bir sertifika, tespit edilip iptal edilmeden önce ödünç alınmış bir süre boyunca çalışır ve donanım çözümleri de genellikle geçicidir.

Sürücü imzası neden tüketici karşıtı olarak değerlendiriliyor?

Sürücü İmzası Uygulaması, Windows gibi işletim sistemlerinin sisteme yüklenen sürücülerin güvenilir olduğundan ve değiştirilmediğinden emin olmak için uyguladığı bir güvenlik önlemidir.

Peki, bazıları bu hamleyi neden "tüketici karşıtı" olarak görüyor?

Cevap birkaç noktada yatıyor:

• Seçim özgürlüğünün kısıtlanması: İmza zorunluluğu, kullanıcıların Microsoft veya başka bir tanınmış tarafça dijital olarak imzalanmadıkları için, güvendikleri belirli sürücüleri yüklemelerini engelleyebilir. Bu durum, kullanıcının kullanmak istediği donanım ve yazılımı seçme özgürlüğünü kısıtlar.
• Eski cihazların desteklenmesinde zorluk: Üreticiler genellikle eski cihazların sürücülerini güncellemeyi bırakır. Eski bir cihazın sürücüsü imzalanmamışsa, kullanıcılar sürücü imzalamayı zorunlu kılan yeni işletim sistemlerinde bu sürücüyü kullanamayabilir. Bu durum, eski cihazları hala iyi çalışıyor olsa bile kullanıcıları yeni donanım satın almaya zorlar.
• İmza almanın maliyeti: Dijital imza edinmek, özellikle bağımsız geliştiriciler veya küçük işletmeler için pahalı olabilir. Bu durum, inovasyonu engelleyebilir ve özel veya nadir cihazlar için yeni sürücülerin geliştirilmesini engelleyebilir.
• Uyumluluk sorunları: Bazen imzalı sürücüler diğer donanım veya yazılımlarla uyumluluk sorunlarına yol açabilir. Özellikle BT uzmanı olmayan kullanıcıların bu sorunları tespit edip düzeltmesi zor olabilir.
• Büyük şirketlerin tekeli: Sürücü imza zorunluluğunun, büyük şirketlere küçük işletmeler ve bağımsız geliştiriciler karşısında haksız bir avantaj sağladığı düşünülmektedir. Büyük şirketler dijital imzaları kolayca elde edebilecek kaynaklara sahipken, bağımsız geliştiriciler bunu zor bulabilir.

Kısacası, sürücü imzalama zorunluluğunun amacı güvenliği artırmak olsa da, tüketiciler üzerinde seçim özgürlüğünü kısıtlayarak, eski cihazların desteklenmesini zorlaştırarak, maliyetleri artırarak, uyumluluk sorunlarına yol açarak ve büyük şirketlerin tekelini güçlendirerek olumsuz etkilere yol açabilir.

Bu nedenle, sürücü imzalama zorunluluğunun güvenlik açısından sağladığı faydalar, tüketiciler ve inovasyon üzerindeki olumsuz etkileriyle dengelenmelidir.

Bu, belirli cihazınızda neleri çalıştırabileceğiniz ve neleri çalıştıramayacağınız ile ilgilidir.

Sürücü imzalama güvenlik açısından bu kadar faydalıysa, onu tüketici karşıtı yapan nedir? Eleştiriler, bu güvenlik mekanizmasının kullanıcıların kendi sistemleri üzerindeki özgürlüklerini ve kontrollerini ciddi şekilde kısıtlamasından kaynaklanıyor. Güvenlik ve açıklık arasında örtük bir denge var ve Microsoft, ikincisinden ziyade birincisine büyük ölçüde güveniyor. Şirket, işletim sisteminin yalnızca Microsoft tarafından onaylanmış düşük seviyeli kodlara güvendiği, gücün merkezileştirildiği ve aynı zamanda sektör çıkarlarıyla uyumlu ve sertifikalardan gelir elde eden bir model tercih etti.

Sürücü imza doğrulamasını devre dışı bırakma konusuna geri dönersek, ister kendi donanımınız için isterse sahip olduğunuz bir cihaz için olsun, kişisel kullanımınız için kendi özel sürücünüzü geliştirmek zahmetli bir iştir. Ya "Sürücü İmza Doğrulamasını Devre Dışı Bırak" başlatma seçeneğini kullanarak önyükleme yapmanız, yani güvenlik kontrollerini tamamen devre dışı bırakmanız ya da Windows'un imza test modunu etkinleştirmeniz gerekecektir; bunların hiçbiri özellikle kullanışlı değildir. Bilgisayarınızın sahibi , "sahiplik" kavramının tipik olarak anlaşıldığı şekilde değilsiniz; çekirdek düzeyinde Microsoft kontrolü elinde tutuyor.

Dahası, yalnızca büyük şirketler veya kaynakları bol olan geliştiriciler sürücü imzalama gereksinimlerini kolayca karşılayabilir. Modern bir Windows sürümü için düzgün imzalanmış bir sürücü elde etmek için, bir geliştiricinin titiz kimlik ve donanım kodu doğrulaması gerektiren ve yıllık birkaç yüz dolara mal olan bir EV (Elektronik Değer İmzalama) sertifikası alması gerekir. Notepad++ bu kod imzalama sorununa iyi bilinen bir örnektir ; burada kullanıcı düzeyindeki bir uygulama, Microsoft'un yıllık sertifika ücretini ödemeyi reddetmesinden etkilenir. Aynı kavram sürücüler için de geçerlidir.

Ancak bu gereklilik, sıradan tüketicilerin imzalı sürücü güncellemesi almamış eski cihazları kullanmasını da engelleyebilir. Diyelim ki Windows 11 PC'ye bağlamak istediğiniz eski bir PC çevre biriminiz var; sürücüsü Windows XP döneminden kalmaysa ve daha önce dijital imzası yoksa, tamamen engellenecektir. İmza zorunluluğunu (bunun beraberinde getirdiği tüm sorunlarla birlikte) devre dışı bırakabilir veya cihazı terk edebilirsiniz. Geçmişte sürücüyü değiştirebiliyordunuz, ancak ilgili maliyet ve karmaşıklık göz önüne alındığında, günümüzde kendin yap çözümleri neredeyse hiç duyulmamış durumda.

Aslında, topluluk üyeleri işleri kendi ellerine aldıklarında bile, bu durum hızla ters tepebilir. Geliştiricilerin uygulamalarında sistem fanlarını kontrol etmek için kullandığı iki bilinen sürücü InpOut32 ve WinRing0'dır. İlki Riot'un Vanguard'ı ile çakıştığı için birçok kişi ikincisini tercih etti ve bu da Fan Control gibi araçların temelini oluşturdu. Ancak 2020'de WinRing0'da önemli bir güvenlik açığı bulundu ve bu da birkaç yıl sonra Windows Defender tarafından engellenmesine ve ona dayanan uygulamaların kullanılamaz hale gelmesine yol açtı.

Bu sorun, Microsoft'un kabul edeceği işlevsel bir sürücü geliştirmenin ve sürdürmenin maliyetiyle daha da karmaşıklaşıyor. İşte bu sorunu gösteren The Verge'deki bir makaleden bir alıntı:

SignalRGB kurucusu Timothy Sun, güvenlik risklerinin daha karmaşık olduğunu açıklıyor. "WinRing0 sistem genelinde yüklü olduğundan, bir kullanıcının sistemine yüklenen ilk sürüme bağımlı olduğumuzu fark ettik. Bu durum, diğer uygulamaların potansiyel olarak savunmasız sürümler yükleyip yüklemediğini doğrulamayı son derece zorlaştırdı ve tüm çabalarımıza rağmen kullanıcılarımızı riske attı," diyor.
Bu nedenle şirketi kendi RGB arayüzüne yatırım yaptı ve sonunda 0'te WinRing2023'ı terk ederek tescilli bir SMBus sürücüsüne yöneldi. Ancak Sun da dahil olmak üzere görüştüğüm geliştiriciler, bunun pahalı bir teklif olduğu konusunda hemfikir.
Sun, "Abartmayacağım; geliştirme süreci zorluydu ve önemli mühendislik kaynakları gerektiriyordu," diyor. OpenRGB'den Adam Honsey ise, "Küçük açık kaynaklı projelerin bu yolu izleyecek finansal kapasitesi veya Microsoft'un çekirdeğini geliştirme konusunda uzmanlıkları yok," diyor.

WingRing0'ın geliştiricisi OpenLibSys, şu sıralar aktif görünmüyor ve güncellenmesi halinde aynı sürücünün Microsoft tarafından şirketin daha katı kuralları uyarınca imzalanması pek olası değil. Microsoft ayrıca, bu sürücüye kaç uygulamanın güvendiğini de biliyordu (Razer Synapse, SteelSeries Engine ve diğer birçok uygulama da onu kullanıyordu), bu da 2025'teki kullanımdan kaldırılmadan önce birkaç yıl daha kullanılabileceğini gösteriyordu.

Peki ya Linux?

Linux, Windows ve macOS kadar popüler olmasa da, özellikle geliştiriciler ve BT profesyonelleri için güçlü ve güvenilir bir seçenek olmaya devam ediyor. Linux, son derece esnek ve özelleştirilebilir olması sayesinde işletim sistemleri üzerinde tam kontrol arayan kullanıcılar için ideal bir seçenek. Ayrıca, Linux güvenli ve istikrarlı bir işletim sistemi olarak kabul ediliyor ve genellikle diğer işletim sistemlerine göre kötü amaçlı yazılımlara ve virüslere karşı daha az duyarlı.

Linux kullanmayı düşünüyorsanız, Ubuntu, Fedora ve Debian gibi birçok farklı dağıtımın mevcut olduğunu bilmeniz önemlidir. Her dağıtımın kendine özgü özellikleri ve araçları vardır, bu nedenle ihtiyaçlarınıza ve gereksinimlerinize en uygun olanı seçmeniz önemlidir. Örneğin, Ubuntu kullanım kolaylığı ve yaygın erişilebilirliği nedeniyle yeni başlayanlar için popüler bir seçimken, Fedora en yeni teknolojileri deneyimlemek isteyen kullanıcılar için iyi bir seçimdir.

Genel olarak Linux, diğer işletim sistemlerine kıyasla birçok avantaj sunan mükemmel bir işletim sistemidir. Ancak, özellikle Windows veya macOS kullanmaya alışkınsanız, Linux'u kullanmayı öğrenmek başlangıçta biraz zor olabilir. Biraz çaba sarf etmeye istekliyseniz, Linux'un ihtiyaçlarınızı karşılayabilecek güçlü ve güvenilir bir işletim sistemi olduğunu göreceksiniz.

Tamamen farklı bir ruh

Windows'un aksine, Linux açık kaynaklı bir işletim sistemidir: çekirdekte neyin çalıştırılabileceğini belirleyen tek bir merkezi otorite yoktur. Linux dağıtımları, modül imzalamayı zorunlu kılma yeteneğine sahiptir (özellikle Güvenli Önyükleme etkinse; bazı dağıtımlar çekirdek modüllerinin bir anahtarla imzalanmasını gerektirir), ancak nihayetinde kullanıcı çekirdeği yeniden derleyebilir veya bu kontrolleri devre dışı bırakabilir. Bu, hile önleme yazılımlarının Windows'ta olduğu gibi Linux'ta da kullanılamamasının birçok nedeninden biridir.

Linux'ta, root düzeyinde erişime sahip bir hileci her şeye kadir kabul edilir. Hile karşıtı bağlantıları kaldırmak için çekirdeği yeniden derleyebilir veya onları durduracak merkezi bir imza yetkilisi olmadan kendi çekirdek modüllerini yükleyebilirler. Birçok hilecinin tespit edilmekten kaçınmak için hilelerini /root dizininde root olarak çalıştırması yeterli bir yol olduğu düşünüldüğünde, oyun geliştiricilerinin hile karşıtı yazılımlarını Linux'a taşımaya neden pek hevesli olmadıkları anlaşılabilir. Bir oyun root erişiminde ısrar etse bile (ki bu, Windows'taki sıradan bir anti-hile eşdeğerinden daha kötü olurdu), oyunu "sahte root" ortamında çalıştırabilirsiniz; böylece oyun, root erişimi olmadığı halde root erişimi olduğunu sanır.

Tüm bunlar, Linux'un açık doğasının, herhangi bir savunma önleminin eşit derecede ayrıcalıklı bir saldırı ile karşılanabileceği anlamına geldiği anlamına gelir ve bu gerçeklik, Linux oyunlarının mevcut durumuna da yansır. Birçok popüler oyun Linux'ta oynanabilirken (çoğu zaman Windows'takinden bile daha iyi), birçok rekabetçi oyun sonuç olarak Linux'ta çalışmayı tamamen reddeder. Aynı kavramlar kötü amaçlı yazılımlar için de geçerlidir, ancak kötü amaçlı yazılım söz konusu olduğunda Linux'taki manzara oldukça farklıdır.

Microsoft'un sürücü imzalama zorunluluğu işletmeler için caziptir. Windows, çekirdeği kilitleyerek, bu kısıtlamalar olmadan daha açık bir sistemde mümkün olmayacak bir güvenlik ve kontrol düzeyi (hile önleme, kötü amaçlı yazılım önleme ve daha fazlası için) sunar. Birçok oyuncu ve işletme için, bir grup kullanıcıyı hayal kırıklığına uğratsa da, bu ödünleşim genellikle buna değer. Linux kullanıcıları benzersiz bir kontrole sahiptir, ancak bu özgürlüğün kendisi, istemci tarafındaki herhangi bir hile önleme mekanizmasının genellikle işe yaramadığı anlamına gelir. Windows'un bu alanda sahip olduğu güvenlik avantajlarından bir Linux makinesinde yararlanmak, sizi ilk başta Windows'tan ayrılmaya iten kısıtlamaların aynısını yeniden yaratır.

Merkezi bir sertifika otoritesi olmamasına rağmen Linux kullanıcılarının neden güvende kaldığı sorusunun cevabı sayısız nedene dayanıyor. Linux'un gelişmiş kullanıcı izinleri sistemi, ortaya çıkan güvenlik açıklarını hızla düzelten açık kaynaklı bir topluluk (xz-utils gibi bazı büyük güvenlik açıkları sızdığında bile), onu daha az çekici bir hedef haline getiren düşük pazar payı ve büyük ölçüde denetlenmiş depolar aracılığıyla yüklenen yazılım paketleri göz önüne alındığında, bir Windows kullanıcısını hedeflemek kadar cazip değil.

Özgürlük ve güvenlik: Her zaman elde edilmesi zor bir denklem

Sık sık şu soru akla geliyor: Özgürlük ve güvenlik arasında bir denge sağlanabilir mi? Cevap basit değil. Gerçekler bizi, maksimum özgürlüğe ulaşmanın bazen maksimum güvenliği sağlamakla çelişebileceğini ve bunun tersinin de geçerli olduğunu kabul etmeye zorluyor.

Özgürlük kavramı, ifade özgürlüğü, hareket özgürlüğü ve inanç özgürlüğü de dahil olmak üzere birçok alanı kapsar. Ancak, bu özgürlükler, kontrol altına alınmadığı takdirde, bireyler veya gruplar tarafından toplumun güvenliğini ve istikrarını tehdit etmek için kullanılabilir. Örneğin, temel bir hak olmasına rağmen ifade özgürlüğü, nefret ve şiddeti yaymanın veya kurumlara olan güveni zedeleyen yanlış bilgileri yaymanın bir aracına dönüştürülebilir.

Öte yandan, yoğun gözetim, bireysel hareket kısıtlamaları ve bilgiye erişim kısıtlamaları gibi artırılmış güvenlik önlemleri, kişisel özgürlükleri ve demokratik bir toplumun temellerini zayıflatabilir. Güvenliğe aşırı vurgu, bireylerin zulüm korkusuyla fikirlerini ifade etmekten veya haklarını kullanmaktan çekindiği bir korku ve otosansür ortamı yaratabilir.

Peki, özgürlük ve güvenlik arasında en uygun dengeyi nasıl sağlayabiliriz? Çözüm, özgürlüklerin kapsamını tanımlayan ve bunların güvenliği tehdit edecek şekilde kötüye kullanılmamasını sağlayan net kontroller ve standartlar oluşturmaktır. Bu kontroller, tehdidin büyüklüğüyle orantılı olmalı ve gereğinden fazla olmamasını sağlamak için periyodik olarak gözden geçirilmelidir.

Ayrıca, güvenlik önlemlerinin uygulanmasında şeffaflık ve hesap verebilirlik sağlanmalıdır. Bireyler haklarının bilincinde olmalı ve özgürlüklerini ihlal ettiğine inandıkları her türlü önleme itiraz etme hakkına sahip olmalıdır. Ayrıca, güvenlik adına gücün kötüye kullanılmamasını sağlamak için bağımsız denetim mekanizmaları bulunmalıdır.

Kısacası, özgürlük ve güvenlik arasındaki ilişki karmaşık ve dinamiktir. Hiçbiri diğerinin pahasına tam olarak gerçekleştirilemez. Aralarında bir denge sağlamak, bizi yönlendiren değerler ve ilkeler konusunda sürekli diyalog ve toplumsal mutabakat gerektirir. Özgürlük ve güvenliğin çatışan hedefler değil, müreffeh ve istikrarlı bir toplumun temel bileşenleri olduğunu her zaman hatırlamalıyız.

Linux ve Windows arasındaki temel farklar

Microsoft'un Sürücü İmzalama politikası, güvenlik açısından şüphesiz son derece etkilidir. Tüm çekirdek sürücülerinin imzalanmasını ve doğrulanmasını zorunlu kılarak, Microsoft, kötü amaçlı yazılımlara ve düşük seviyeli dolandırıcılık araçlarına karşı savunma açısından en güçlü tüketici işletim sistemlerinden birini oluşturmuştur. Windows, bir platform olarak, kullanıcıların ve programların güvenebileceği güvenilir bir işletim sistemini sürdürme konusunda benzersiz bir yeteneğe sahiptir. Bu nedenle en iyi güvenlik özelliklerinden biridir; son derece iyi çalışır ve sistemleri korumada önemli bir fark yaratmıştır.

Ancak bu güvenliğin tüketicilere bir bedeli var. Kontrolü merkezi otoritenin elinden alıyor ve işletim sisteminizin ne yaptığını tam olarak kontrol edememeniz, açık bilişime değer veren birçok kişi için cazip değil. Bir bakıma, Windows 11, çekirdek kodu söz konusu olduğunda kullanıcıyı güvenilmeyen bir varlık olarak görüyor ve kontrol edilmediği takdirde herkesin (siz de dahil) kötü niyetli bir şey yapabileceğini varsayıyor.

Güvenlik açısından bakıldığında, bu özellik risk azaltmanın harika bir örneğidir. En tehlikeli saldırı yollarından birini önemli ölçüde kapatır. Ancak, tüketici hakları açısından bakıldığında, Microsoft'un izin verdiği ve vermediği şeylerle sınırlı olduğumuz için kendi donanımımızı kullanmak için iş kiralıyormuşuz gibi görünebilir . Peki ya bu kavram işletim sistemini "korumaya" da genişletilseydi? Ya da gereksiz yazılımları temizleme araçları ve programları, sistemi değiştirdikleri için Microsoft'un onaylamadığı değişiklikler yapıyor olsaydı?

Ortalama kullanıcı için sürücü imzalarının zorunlu hale getirilmesi harika bir adım. Bunda şüphe yok. Ancak, açık kaynak yazılım geliştiricilerini kendi yazılımlarını geliştirme ve paylaşma maliyetleri nedeniyle platformdan dışlamak ideal değil ve özellikle Windows, donanımımla etkileşim kurmanın birincil yolu olduğu için, donanımıma gerçekten sahip olmadığım hissine kapılmak doğru gelmiyor.