Güvenlik ve Web 2.0 sahasında, son seneler daha hareketli geçiyor. Elbette popüler yazılım geliştirme platformunun web hâline gelmesi ve beraberinde getirdiği güvenlik sorunları bunun başlıca sebebi. Bu sebep ve bir çok sebepler, bir yağmurlu Istanbul gününde, kendimizi Bilgi Üniversitesi’nin kampsünde bulmamızı sağlıyor.

IstSec, 12 Aralık 2009 Cumartesi sabah saatlerinde açılış konuşmalarıyla başladı. Akademik isimlerle emekçilerin buluştuğu karma bir organizasyon olmuş. Çünkü organizasyona Bilgi Üniversitesi de müdahil durumda.

IstSec’in gelenekselleşerek, siber güvenlik branşında önemli konuların konuşulduğu bir zirve olmasını temenni ediyorum. Bu yolda da Huzeyfe Önal arkadaşımıza başarılar diliyorum.

IstSec’ten bağımsız olarak duyuracağımız bir diğer gelişme de çok mahallî bir şey değil. Mavituna Security ünvanıyla İngiltere’de kurulmuş bir Türk girişiminin ürünü olan Netsparker‘dan, bir web güvenlik tarayıcısından bahsetmek istiyoruz. (“Tarayıcı” dediğimizde, “browser” kelimesinin de “tarayıcı” olarak tercüme edilmesinden dolayı yanılgıya düşülebilir. Hemen ikaz edelim ki bu “tarayıcı”, “scanner” kelimesinin karşılığı.)

NetSparker, kendisine verilen bir web sitesini, diğer tarayıcıların yaptığı gibi enine boyuna analiz edip neticede bir rapor çıkartıyor. Rapor, değişik önemdeki güvenlik açıklarını ve tavsiye derecesindeki bulguları içeriyor.

Ancak diğer tarayıcıların yapmadığı bir şeyi yapıyor bu tarayıcı. Sunumlarda “exploit edilebilen açıkları doğruluyor” olarak ifade edilen yalnız bizim ham Türkçeye çevirme ihtiyacı duyduğumuz bir şeyi yapıyor: “istismar edilebiliyorsa, bunu kanıtlıyor”. Çok daha açık konuşursak, diğer tarayıcıların raporlayıp bıraktığı bulguların yakasını koyvermiyor! Bu açıkları, -programın farklılaştığı nokta bu işte- suistimal etmeye çalışıyor ve başarırsa, bunu raporuna ekliyor.

Netsparker, web güvenliği dalında kendini yeterince kanıtlamış, bilinirliği Türkiye’nin dışına taşmış Ferruh Mavituna‘nın projesi. 3 yıldır üzerinde çalıştığını belirtiyor. Şu an 6 kişilik ekibi var ve aktif kod yazan kendisi dahil 2 kişi. Geçen hafta salıverilen ürün, Türkiye’de de aracı bir kuruluş tarafından satışa çıkıyor.

Yazılım geliştirici perspektifinden değerlendirdiğimizde Netsparker’i işlevsel anlamda başarılı buluyoruz. .NET 3.5 ile yazılmış uygulamada WCF’in de kullanıldığını bizzat Mavituna’dan öğrendik. Pipe kullanımında yaşadığı sorunları paylaştı; kendisine hak verdik.

Ara yüz bileşenleri olarak DevExpress tercih edilmiş. Bu nedenle gayet şık bir ara yüzle hizmet veriyor. Lisanslamanın ise gayet makul değerlerde olduğunu söyleyebiliriz.

Netsparker’a ve evlerinden çalışan genç ekibine milletlerarası arenada başarılar diliyoruz.

Üçüncü bahsimiz ise, Web Güvenliği Türkiye ekibinin web dergisiyle ilgili. 3. sayısı çıktı. Çekinmeden okuyabilirsiniz.

PHP ile doğrudan alakalı ilk yazımda, öncelikle dilin nereden gelip, nereye doğru ilerlediği ve özellikle oturmuş ‘Java’, ‘C++’, ‘Phyton’ gibi dil cambazlarının PHP dünyasına niye yukarıdan baktıklarına değinmek istiyorum.  Bunu yazmaktaki amacım ise web programlama dünyasına giriş yapanların PHP’ye karşın yazılmış bir çok yarım-argümanlı eleştrileri önyargıyla benimseyerek yol çizmesinden ve anti-PHP timlerinin gençlik örgütlerinde yerlerini almalarından rahatsızlık duymam.  Sanırım bir programcı için elde etmek istediği en önemli çalışma koşullarından birisi ‘zorlanmamak ve kısıtlanmamaktır’. Peki niye bu programlama dili, yapıyla ilgili bile size sınırlamalar koymazken, bu sert eleştirileri alıyor? Yorumlama gücümüzü pekiştirdiği için konuya biraz tarihle başlayacağım.

Yeni Pazar

Web’in dinamik kısmı bu güzel yazıda bahsedildiği gibi ‘ziyaretçi defteri’ ve ‘sayfa sayaçlarından’ ibaretken, PHP, ‘insanlar kendi ziyaretçi defterlerini kendileri yapsınlar’ sloganıyla çıktı. O zamanlar özgür yazılımcı guruları daha çok GNU’nun unix ile güreşiyle ilgilenirken, Microsoft ve diğer big blue şirketleri ‘internet’in büyük bir geleceğinin olduğunu düşünmüyorum’ vizyonunu savunuyordu; dolayısıyla o zamanlar açılımı ‘Personal Home Page’  (blog? ) olan PHP’nin, web alanında çıkışı pek dikkat çekmedi. Fakat Perl’ün yazınsal işleme gücü (text processing) ve C’nin yapısal güzelliklerinden yararlanan ve kendini sadece web geliştirmeye adayan PHP, kısa sürede birkaç büyük sistemlerin arayüz yardımcısı haline geldi. Ama asıl çığır, amatör durağan websitelerinde yaşandı; varolan birkaç dinamik sisteme özenen on binlerce site, PHP’nin sunduğu her imkanı sonuna kadar kullanarak, olabildiğince aktif siteler haline geldiler. İnsanlar ‘web programlamadaki’ gelişmeleri konuşur oldu, dikkat kesildiler. Artık yeni bir pazar doğmuştu, ve “amatörce” desteklenmiş, kurgulanmış PHP lider gibi gözüküyordu.  Java, C++ gibi oturmuş dillerle ve milyon dolarlık yatırımlarıyla enterprise düzeyde işler çıkaran firmalar için, bu bayrağı almak çocuktan şekeri almak gibi olmalıydı…  Basitliği ve ‘component’ ler sayesinde yetenekleriyle savunulan VBasic daha yeni ‘componentlerle’ şişirilerek arenaya atıldı.. fakat…

PHP 4.0

PHP 4.0 çıktı. Artık PHP sadece şablon motoru olmaktan çıkıp, bir uygulama dilinin özelliklerini kendisine kazandırdı. Sloganı artık ‘üstün metin önyorumlayıcı’ olmuştu.  Oracle gibi kimi “big blue” şirketleri bile, veritabanlarını bu tasma takılmamış gelişime kaptırmamak için ‘Oracle, PHP ile vBasic ve Asp’den daha performanslı çalışıyor şeklinde karşılaştırma makalaleri yayınladılar, hafif-lite sürümlerini web için piyasaya çıkarttılar, fakat bunu MySQL’in çıkış ivmesi de engellemedi ve bu piyasadaki büyük pasta dilimini de kaybettiler. ASP git gide prestij kaybedip, orta-küçük düzey şirketlerin desteklerini kaybederken, PHP versiyon 5 ile yürümeye devam etti.  Olan biteni izleyenler ‘kar gütmeyeceksen pasta almanın ne anlamı var’ tartışmalarıyla bu yeni akıma akıl erdiremiyorlardı. Sonunda eğitim evresinde halletmeye girişildi ve böylece konu üniversite akademisyenlerine kadar taşındı. Ne olduysa bu zamanlarda oldu. PHP’yi ve bu özgür yazılım “saçmalığı”nı piyasadan kaldırmak isteyenler, akademisyenlerin işlevsellikten çok işin iç dinamikleriyle ilgilendiklerini çok iyi biliyorlardı.  Bu arada ‘Asp bu sunucuda PHP’den 6 kat daha hızlı’ seminerleri aynı zamanlara denk geldi, yemediler.  Gerçekten daha hızlı yapmaları gerekiyordu, kolları sıvadılar.

Günümüz

Böylece ağır toplar öne sürüldü. Microsoft C++’in gücünü alan C# ile girerken, Sun OOP cambazı Java ve sihirli ellerle (automagic) RoR, aşağılayan gözlerle web uygulamalarına giriş yaptılar. Bu oturmuş diller ’işin arka planını’ gizleyen, http protokolünün stateless olduğunu  neredeyse göz ardı ederek onu olabildiğince desktop programcılığına uygun hale getirmeye çalışan bir yapı sunuyordu. Hızlıydı ve bu performans hemen akademisyenleri çekti. Üniversiteler bir ara Phyton, Perl, PHP çalışırken, yavaş yavaş pazarlama stratejilerinin yardımıyla .NET’e döndü. Elbette makina diline çevrilmeyen PHP, derlenmiş programcıkların performanslarına sahip olamazdı ama PHP, hala en hızlı-geliştirme web uygulama üretim araçlarından biri olarak kaldı. PHP’nin bu oturmuş dillerin karşısında komplekse girdiği şey ise Nesne Yönelimli Programlama (OOP) ve Rails frameworkunun sihirle iş yapmasıydı. Kendisini zorladı ve büyük hatalarını da, asıl gücünü de bu zaman gösterdi. Fakat opsiyonel ayar seçimleri ve workaround‘larla kapatılabilecek hatalar sert bir şekilde eleştirilirken, bugünlerde gücünü takdir eden niyeyse pek çıkmıyor.

Bu yakın süreçte yaptıklarına değinirsek:

1 ) Önceden derlenmiş edilmiş PECL dinamik kütüphanelerini ön plana çıkararak, kritik hızlı yapılması gereken işlemlere çözüm oldu.
2 ) RoR gibi çalışma prensiplerine uygun bir framework’ü kendisine port etmeyi başardı. ( CakePHP ve diğer ruby portları )
3 ) Aslında uzun zamandır varolan ve PHP 4 ‘den itibaren uygulanabilecek MVC kalıbını bir çok farklı framework de, “enterprise” ve “rapid development” düzeyinde geliştirmeyi başardı. ( Zend Framework – Symfony – Code Igniter – Kohana – vb.. ) Bu adım, PHP’nin başka dillerin frameworklerine kaprislendiği zaman ortaya çıktı. Ortada serbest çalışmak varken niye frameworkler diyen bir çok insan var, bu başka bir konu.
4 ) Yaygın kitlesinin aksine ‘PHP ile yapalım gitsin’ demeyen, detaylı verimlilik inceleme politakalarıyla araç seçen Facebook, Flickr, Yahoo,ve daha bir çok büyük ve orta çaplı servisin seçimi oldu, başkalarına da olmaya devam etmekte.

Sonuç

Başangıçtan, son dönem başarılarına kadarki süreç bize şunu gösterir:

1 ) PHP bir web geliştirme dilidir, bu kategoride eleştirilmelidir. Ne binlerce metin dosyasını okur ve yorumlar, ne video renderlamalar yapar; onun işi, eski mainframelerde olduğu gibi stateless bir isteğe basitçe cevap vermek. Açılan ‘oturumlar’, ‘çerezler’ aslında her sayfada tekrar tekrar tanımlanan şeyler olup, gerçekte ‘oturum bittiğinde’ gibi bir durum (event) asla varolmadı. Webde her istek ve sayfa tek başına olduğundan, fazlası gerekli görülmedi.

2 ) PHP, olabildiğince temel düzeyde bir dil. C’nin birçok temel-düzey fonksiyonunu ve çalışma yapısını almış,  otomatik veri tipi tanımı ( Auto Type Defitinition) gibi bir takım kolaylıştırma – hızlı adaptasyon becerileri için performansını feda etmiştir.  Bu beceriksizlik değil, amacı için yaptığı seçimdir.

3) Farklı çalışma ortamlarına adapte edilebilmiştir. PHP ile kendi yapınızın ne kadar başarılı olacağına siz karar verirsiniz, adapte edebilirsiniz.  Elbette yaptığınız uygulama, Java veya CGI/C ile aynı performansı vermeyecek; fakat uygulamanızı doğru adımlarla daha az emekle, daha hızlı kurgulayabilme ve hayata geçirme şansınıza sahip olursunuz.

4) Maliyet-etkin (cost-effective) bakıldığında verimlidir. Bu madde çok önemli ve web’in ağır toplarının seçiminde yaygınlaşmasında esas dayanak da bu. O yüzden biraz açıyorum:

Emek, artık, işlemciden, harddiskten veya RAM’den daha pahalı.  PHP kullanan Yahoo, Facebook, Flickr gibi dev internet servislerinin hesaba kattıkları şey de bu. Aynı hesap, niye milyonlarca dolarlık alfa sunucularla donanmış bir Oracle sisteme, 1800 sunuculuk MySQL tercih edilişiyle de uyarlanabilir.

PHP, tıpkı onu hor görenlerin söyledikleri gibi kesinlikle temel düzeyde bir dil. Fakat buna kötü bir şeymiş gibi bakılmamalı. Ne kadar temel-seviyeye yakın bir dile sahipseniz,  programlama yapınızı o kadar rahat kurgulayabilirsiniz ve aynı şekilde çevrenizi iyi oluşturmamışsanız, işleri o kadar karıştırabilirsiniz.  Sağda solda ‘PHP ile her şey kötü’ makaleleri var. Aynı şeyler C için de geçerli fakat C’nin aleyhine bu kadar yazı bulmak zor. PHP’nin bir handikapı da kaynak. Herkesin 2-3 saatte bu dille bir şeyler yapmayı becerebildiği için çok fazla konuşanı ve düşük kalite kodları var. PHP’nin sağladığı kolaylık bu yüzden aleyhine dönüyor.

PHP’nin sağladığı bu kolaylığın kaldırılmasını ve adam edilmesini isteyenler de var, fakat web, diğer ortamların aksine çok daha hızlı evrim geçiren ve trend değiştiren bir ortam. Ve siz, bu ortama ayak uydurabilecek kadar hızlı ürün çıkartmalısınız. Verimliliğin sadece tek bir kıstası yok,  uygulamanın ‘çalışma performansı’, resmin bütününe baktığımızda çok küçük bir girdi kalıyor.

Yazıda PHP’yi futbol takımı tutar gibi diğer alternatiflerinden kayırdığım izlenimi olabilir. Fakat aslında vurgulamak istediğim her dilin yerinde ağır bir programlama aracı olduğu ve  araç seçilirken farklı açılardan bakılıp, ön yargısız, verimliliği en üst düzeyde tutarak seçim yapılmalı.

İnternet ilk safhada, “eşittir” (SuperOnline değil) durağan web sayfalarıydı. Durağan web sayfası, programlamanın yani hayatın olmadığı yerdi. Her birey, web sayfasına berbat bir sayaç, ziyaretçi defteri veya anket koyabilmek için bunları sunan az sayıdaki üçüncü parti, ilkel servislerin yollarını aşındırıyordu.

“Kendin pişir kendin ye” çağına geldiğimizde paradigma kaydı. Artık “muhannete muhtaç”lıktan terfi eden ademoğlu, kendi sitesinde kendi işini görür olmuştu. Eskinin servisleri, sessizce buhar oldular. Anket ve ziyaretçi defterlerini de alıp gittiler.

Son safhada web’in programlama paradigması yine yön değiştirdi. Servis temelli mimari yine moda oldu; ancak daha gelişerek ve sosyalleşerek. Siteler daha önce içlerinde yaptıkları işlemleri, daha kaliteli ve işveli online servislere havale eder oldular. Toz ve buluttan yepyeni bir dünya doğdu.

Şimdi neredeyiz?

Web programlama, sunucu tarafında olduğu kadar tarayıcı tarafında da yüceldi. “Thin client” diye aşağılanan web tarayıcılar birer uygulama platformuna dönüştü. Bu platformun yapamadığı şey neredeyse kalmadı.

Bu gerçeği hasbelkader içinde bulunarak yaşayanlar veya vizyon sahibi olup evelden görenler, şimdi para sayma makinesi aldılar. Dünyanın en büyük şirketleri oldular. Küçük olup büyüdüler, büyüklere satıldılar.

Nihayet web, elimizdeki her şeyi kendine emanet vermemizi isteme noktasına geldi. “Bulut-işlem” yani cloud-computing dev şirketlerin vizyoner dudaklarında şekeri kaçmış, sünmüş bir ciklet oluverdi. Balon olup patlamaz inşallah.

…

Biz de…

Biz de web için kod yazmış, tarzanlık yapmış insanlar olarak, düşe kalka bugünlere gelen ve artık bacasız endüstrilerin önde gideni olan “web”i şaşkınlıkla ve gururla selamlıyoruz. İyi ki var.

Cat Stevens’ten bir sözle bitirelim: It’s a wild world web!

Çünkü bu şaşkın paradigma kaymaları, aynı zamanda vahşiydi de.