Uç cihazlar için sızma testi ve güvenlik açığı tespiti, bu cihazları üreten şirketler ve bunları işleten firmalar için.
Bağlı cihazların donanımını, ürün yazılımını, radyo bağlantılarını, yardımcı uygulamayı, bulut API’sini ve cihaz içi yapay zekasını, laboratuvarımızda veya uzaktan, şirketinizin önceden imzaladığı Test Kuralları çerçevesinde test ediyoruz.
NVIDIA Jetson’da CVE-2026-24148 güvenlik açığını tespit ettik.
NIST bu güvenlik açığını 9,4 (Kritik) olarak derecelendirirken, CVE Numaralandırma Otoritesi olan NVIDIA ise 8,3 (Yüksek) olarak derecelendirmiştir. Bu güvenlik açığını NVIDIA’ya bildirdik ve Jetson Linux 35.6.4 ve 36.5 sürümlerinde düzeltilmiştir.
Neleri test ediyoruz
Donanım ve ürün yazılımı
UART, JTAG ve SWD gibi hata ayıklama bağlantı noktaları, cihazdan okunup ayrıştırılan ürün yazılımı, güvenli önyükleme, güncellemelerin nasıl imzalandığı ve kart üzerinde depolanan anahtarlar ve şifreler.
Ağ ve radyo
Cihazın ağda sunduğu hizmetler ile Wi-Fi, Bluetooth Low Energy, hücresel ve diğer radyo bağlantıları.
Yardımcı uygulama ve bulut API’si
Cihazı kontrol eden mobil uygulama ve bunun arkasındaki bulut API’si; buna, bir müşterinin hesabının başka bir müşterinin cihazlarına erişip erişemeyeceği de dahildir.
Cihaz üzerinde çalışan yapay zeka modelleri
Modelin cihazdan kopyalanıp kopyalanamayacağı, özel olarak hazırlanmış girdilerle aldatılıp aldatılamayacağı, dil modeli söz konusu olduğunda istem enjeksiyonu yoluyla yönlendirilip yönlendirilemeyeceği veya tahrif edilmiş bir dosyayla değiştirilip değiştirilemeyeceği.
İlk görüşmeden yeniden teste kadar
Kapsamın tanımlanması
Hangi cihazların, ürün yazılımı sürümlerinin, uygulamaların ve bulut hizmetlerinin test edileceğini ve hangilerinin test kapsamı dışında kalacağını kararlaştırırız.
Sözleşme ve Gizlilik Anlaşması (NDA)
Gizlilik anlaşması, ardından fiyatı, sorumluluğu ve sigortayı belirleyen bir sözleşme.
İmzalanmış Test Kuralları
Kapsam, test zaman aralıkları, izin verilen teknikler, irtibat bilgileri ve testi durdurma prosedürü; bunlar, kapsamdaki her cihaz üzerinde yetki sahibi bir kişi tarafından imzalanır. Bu imzalanmadan önce hiçbir test başlatılmaz.
Test
Testlerimizi laboratuvarımızda, bize gönderdiğiniz cihazlar üzerinde (bu cihazlar, teslim alındıkları andan iade edildikleri ana kadar kayıt altına alınır) veya sağladığınız bir bağlantı üzerinden uzaktan, her zaman imzalanan zaman aralıkları içinde gerçekleştiririz. Kritik bir bulgu tespit edildiğinde size derhal bildirilir.
Rapor
Her bir bulgu için: ciddiyet derecesi, kanıtlar, sorunu yeniden oluşturmak için gerekli adımlar ve düzeltme yöntemi belirtilir. Ardından, raporu gözden geçirmek üzere bir toplantı yapılır.
Yeniden test ve güvenlik açığı bildirimi
Düzeltilen sorunların yeniden test edilmesi fiyata dahildir. Başka bir şirketin bileşenindeki bir kusur, sizin onayınızla ilgili satıcıya bildirilir.
İmzalanmış Test Kuralları
Neler test edilir, neler test edilmez ve ne zaman
Kapsam dahilindeki cihazlar, ürün yazılımı sürümleri, adresler, uygulamalar ve bulut hizmetleri; kapsam dışı bırakılanlar; ve testlerin gerçekleştirilebileceği günler ve saatler.
Yapabileceğimiz ve yapamayacağımız şeyler
Her teknik için ayrı bir satır bulunur ve bu satırlarda “izin verilir”, “izin verilmez” veya “sadece o anda yazılı onayınızla” ibareleri yer alır. Cihaza zarar verebilecek testler, yalnızca bu amaçla ayırdığınız cihazlarda gerçekleştirilir.
Testi kim durdurabilir ve nasıl?
Her iki taraf da karşı tarafın acil durum irtibat numarasını arayarak testi durdurabilir. Test, yalnızca sizin yazılı onayınızın ardından yeniden başlar.
Kapsamdaki her cihaz üzerinde yetkiye sahip kişi
Bir sistemi sahibinin izni olmadan test etmek, Birleşik Krallık’ın 1990 tarihli Bilgisayar Kötüye Kullanım Yasası ve Türk Ceza Kanunu kapsamında suç teşkil edebilir; bu nedenle bu belge imzalanmadan hiçbir işlem başlatılmaz. Bir cihaz veya hizmet, bir bulut sağlayıcısı ya da müşterilerinizden biri gibi başka birine aitse, bu kişilerin izni de eklenir.
Alıcıların sorduğu sorular
Test Kuralları’nı kim imzalamak zorundadır?
Şirketinizde, kapsamdaki tüm cihaz ve hizmetler üzerinde yetkiye sahip bir kişi; genellikle bir müdür veya güvenlik sorumlusu. Bir hizmet bir bulut sağlayıcısı üzerinden çalışıyorsa veya bir cihaz müşterilerinizden birine aitse, testi yapmadan önce ilgili tarafın iznini teyit ederiz.
Testler cihazlarımıza zarar verebilir mi?
Bazı donanım testleri bunu yapabilir. Bu testler, yalnızca Test Kuralları’nda bu amaçla ayırdığınız birimlerde gerçekleştirilir; diğer her şey ise cihazın çalışır durumda kalmasını sağlayacak şekilde test edilir.
Peki ya bizim üretmediğimiz bir yonga veya bileşende bir kusur bulursanız ne olur?
Önce size bildiririz. Onayınızla birlikte, bunu bileşenin satıcısına gizlilik içinde bildirir ve bir CVE tanımlayıcısı talep ederiz. Siz onaylamadıkça, şirketinizin adı hiçbir yayında yer almaz.
Bu, AB Siber Dayanıklılık Yasası ile ilgili mi?
11 Eylül 2026 tarihinden itibaren, AB’de satış yapan üreticiler, ürünlerinde aktif olarak istismar edilen güvenlik açıklarını 24 saat içinde bildirmek zorundadır ve yasanın tüm gereklilikleri 11 Aralık 2027 tarihinden itibaren geçerli olacaktır. Raporumuzda neyin test edildiği, neyin tespit edildiği ve neyin düzeltildiği kaydedilmiştir.
Hangi cihazın test edilmesini istediğinizi bize bildirin.
Herhangi bir belge imzalanmadan önce, kısa bir kapsam belirleme anketi ve ardından gözden geçirmeniz için bir Test Kuralları taslağı göndeririz.
Bizimle konuşun