Amutable - systemd geliştiricisi ve Linux VFS bakımcısının birlikte kurduğu yeni şirket

• Linux iş yükleri için doğrulanabilir bütünlük sağlamayı hedefleyen güvenlik odaklı bir şirket
• Linux ekosisteminin kilit isimleri birlikte yeni bir güvenlik temeli (foundation of integrity) inşa ediyor
• systemd geliştiricisi Lennart Poettering, Linux VFS bakımcısı Christian Brauner, Kinvolk kurucusu Chris Kühl, Pantheon ortak kurucusu David Strauss ve diğer isimler yer alıyor; mühendislik ekibi de tamamen Linux ve açık kaynak ekosisteminde çalışmış geliştiricilerden oluşuyor
• Kriptografik olarak doğrulanabilir bütünlük (cryptographically verifiable integrity) Linux sistemlerinin geneline kuruluyor
• Sistemlerin önyüklemeden çalışma anına kadar güven durumunu koruması için tasarlanıyor

---

Amutable'ın vizyonu ve misyonu

• Amutable, Linux iş yüklerinin tamamında doğrulanabilir bütünlük (verifiable integrity) sağlamayı hedefliyor
  • Tüm sistemler doğrulanmış bir durumda başlayacak ve güveni sürekli koruyacak şekilde tasarlanıyor
  • Kriptografik yöntemlerle sistem bütünlüğünü garanti eden bir yapı kuruluyor
• Şirketin temel sloganı “Delivering uncompromising integrity”; bu da tavizsiz bütünlük sunma vurgusunu taşıyor

Bütünlük bileşenleri

• Amutable bütünlüğü Build, Boot, Runtime olmak üzere üç aşamaya ayırıyor
  • Build integrity: sistemin derleme aşamasında güvenin sağlanması
  • Boot integrity: önyükleme sürecinin doğrulanması ve korunması
  • Runtime integrity: çalışma sırasında bütünlüğün korunması
• Bu aşamalı yaklaşım ile Linux sistemlerinin tüm yaşam döngüsü boyunca güvenilirlik sağlanması hedefleniyor

Kuruluş ve yönetim

• Christian Brauner – Kurucu, Chief Technical Officer
  • Linux VFS alt sistem bakımcısı
• Chris Kühl – Kurucu, CEO
  • Microsoft tarafından satın alınan Kinvolk'un kurucusu ve eski CEO'su
• Lennart Poettering – Kurucu, Chief Engineer
  • systemd'nin yaratıcısı ve bakımcısı
• David Strauss – Chief Product Officer
  • Pantheon'un ortak kurucusu ve eski CTO'su

Mühendislik ekibi

• Aleksa Sarai, Daan De Meyer, Joaquim Rocha, Kai Lüke, Michael Vogt, Rodrigo Campos Catelin, Zbyszek Jędrzejewski-Szmek ve diğerleri Founding Engineer olarak yer alıyor
• Hepsi Linux ve açık kaynak ekosisteminde çalışmış geliştiricilerden oluşuyor

Şirkete genel bakış

• Amutable, “A new secure foundation” söylemiyle Linux ortamında güvenlik ve güvenilirliği güçlendirmeyi temel hedef olarak belirliyor
• Resmi web sitesinde blog, etkinlikler, iletişim gibi bölümler sunuluyor; ayrıca LinkedIn, Mastodon, Bluesky üzerinde de aktif
• Telif hakkı ifadesi Amutable © 2026 / All rights reserved şeklinde belirtiliyor

[GN⁺]

Hacker News görüşleri

• Merhaba, ben Amutable'ın CEO'su Chris. Bu proje için gerçekten heyecanlıyım. Sorunuz varsa memnuniyetle yanıtlamaya hazırım
• Genel bilişime karşı savaşın açık kaynak ekosisteminin merkezine kadar yayılacağını bilmiyordum
  İlgili kişilerin geçmişine bakınca bu bana sadece bir başka kâr öncelikli proje gibi görünüyor. Kurucuların yanıtları da tipik kurumsal dil gibi hissettiriyor
  “Hayatım boyunca FOSS'u sevdim” gibi sözlerden ziyade gerçek risk azaltma önlemlerini duymak isterdim. Sonuçta bu tür teknolojilerin kullanıcı karşıtı araçlara dönüşme ihtimalinin yüksek olduğunu düşünüyorum
  • Ben de küçük bir tasdikli cihazı (attested device) bir yere kadar kabul edebilirim. Örneğin bir banka “Cihazınızda hangi programların çalıştığını bilmiyoruz, bu yüzden işlem sorumluluğunu üstlenemeyiz” derse, bunu anlayabilirim
    Elbette böyle bir cihazı kendi paramla satın almam. Ama banka ya da Netflix kendi hizmetine özel bir terminal verirse, sadece onunla erişmek benim için sorun olmaz
  • Açılış sayfasına bakınca yön açıkça görülüyor. Birey olarak engelleyebileceğim neredeyse hiçbir şey yok ve herkes bunun kötü bir şey olduğu konusunda da hemfikir değil
    Bazen teknik olarak cahil olmamın daha iyi olduğunu düşünüyorum. En azından böyle temel teknolojilerin sorumluluğunu taşımak zorunda kalmıyorum
  • Sistem bütünlüğünün doğrulanması, mülk sahibinin kontrolü kaybetmesi anlamına gelmek zorunda değil
    Bu tür uçtan uca tasdik (e2e attestation) kurumsal ya da kamusal altyapıda faydalı olabilir. ATM'lerin veya ulaşım sistemlerinin bu düzeyde bütünlüğe sahip olması güzel olurdu
    Asıl mesele, donanım sahibinin anahtarları bizzat yönetip yönetemediği. Bu şart sağlanıyorsa bunun harika bir teknoloji olduğunu düşünüyorum
• Uzaktan tasdik (remote attestation), CPU'nun güvenli bölgesinde fabrikada yazılmış bir özel anahtar bulunduğu için çalışır
  Bu anahtar üreticiden bir sertifika alır ve açık anahtarıyla birlikte benzersiz bir tanımlayıcı olarak kullanılır. Dolayısıyla ortadaki adamla iş birliği yapılırsa kullanıcı takip edilebilir
  Anonimliği artırmaya yönelik girişimler var ama veritabanları birleştirildiğinde sonunda kimlik yine ortaya çıkarılabilir
  Ayrıca içeriden biri ya da ele geçirilmiş bir cihaz üzerinden anahtarlar çıkarılırsa sahte tasdikler de mümkün olur. Mantık olarak DRM sistemleriyle neredeyse aynıdır
  • Ben bu tür cihazları nakit ödeyerek doğrudan satın alıyorum. İnsanlar nakitten hoşlanmıyor ama sonra izlenmekten şikâyet ediyor. Telefon numarasını herkese vermek de aynı sorun
  • Anonim tasdik protokolleri zaten standartlaştırılmış durumda. Örneğin Direct Anonymous Attestation'a bakın
  • Bu tehdit modelinin tam olarak ne olduğunu pek bilmiyorum. Bireysel kullanıcı için gerçek bir risk mi var, yoksa bu daha çok kurumsal bir kullanım senaryosu mu, merak ediyorum
• Linux dağıtımlarına tasdik teknolojisinin eklenmemesini umuyorum. Bu özünde güveni üçüncü tarafa devreden bir teknoloji
  Mobil ortamda şirketler bunu kullanıcıları dışlamak ve onlara zarar vermek için zaten kullandı. Satın aldığımız cihazlara gerçekten sahip olamadığımız bir dünya istemiyorum
  • Olumlu tarafı şu olabilir: muhtemelen systemd üzerinden denenir ve bu da tersine bir şekilde çatallanmayı tetikleyip gereksiz parçaların ayıklanmasına yol açabilir
    Debian'ı bir Red Hat kopyasına dönüştürme girişimleri zaten tepki çekiyor
  • IoT veya robotik gibi donanım şirketleri için tasdik temel bir güvenlik özelliği. Dağıtımın bu tür standart paketleri sunması sanayi için çok faydalı olur
  • Zaten en yaygın Linux dağıtımı olan Android'de bulunuyor
  • Ben karşı görüşteyim. Zaten üçüncü taraflara güveniyoruz. O üçüncü taraf dağıtım geliştiricileri de olabilir
    Önemli olan seçim imkânı. Tasdik donanım seviyesinde kapatılabilmeli ve kurulum sırasında bir seçenek olarak ayarlanabilmeli
    Bunun FOSS yaklaşımıyla nasıl uygulanabileceğini tartışmak daha üretken olur
• Bu teknoloji, GNU'nun “Can You Trust Your Computer?” yazısında anlatılan sorunu daha da kötüleştirebilir. Bunun olmaması için bir planınız olup olmadığını merak ediyorum
  • Ben Amutable'ın kurucu mühendisi Aleksa'yım. Tasarladığımız model, kullanıcının kendi anahtarlarını tamamen kontrol ettiği bir yapı
    Bu yalnızca kullanıcı özgürlüğü açısından değil, kurumsal güvenlik açısından da çok daha arzu edilir. Hayatını FOSS'la geçirmiş biri olarak böyle sorunlara yol açacak bir şey yapmam
  • Kurucuların yarısı Microsoft çıkışlıysa, bence cevap zaten açık
  • “Demek sonunda klasik bilimkurgu romanlarındaki Torment Nexus'u gerçeğe dönüştürdük” şeklinde alaycı bir tepki
• Eski bir Linux kullanıcısı olarak ben Secure Boot'u kapatarak kullanıyorum. DisplayLink sürücüsü kurulumu başarısız olunca sonunda UEFI ayarlarına dönüp kapatmıştım
  Daha az güvenli olsa da tam kontrol sahibi olmak benim için daha önemli. Gelecekte çevrimiçi hizmetleri kullanmak için ‘tam tasdikli sistemlerin’ zorunlu hale gelmesinden endişe duyuyorum
  • Secure Boot güven zincirini bellenimden yalnızca ilk UEFI ikilisine kadar uzatır
    Şu anda Linux'ta doğrulama yalnızca çekirdeğe kadar yapılıyor; sonrasındaki initrd ve kullanıcı alanı doğrulanmıyor
    Secure Boot bugünkü haliyle gerçek güvenlikten çok Microsoft anahtarlarına güvenmeyi dayatan bir mekanizma olmaktan öteye gitmiyor
    Ancak tam kod imzası doğrulaması mümkün olursa Linux da ticari işletim sistemleri düzeyinde güvenliğe ulaşabilir
• Kendi sahip olduğum cihazda başka bir tarafın çalıştırılan kodu kontrol etmesini asla kabul edemem. Müşteri ya da hissedar olması fark etmez
  • Zaten systemd kullanmaya başladığın anda kontrolü bırakmış oluyorsun. Bu dönem, özgürlüğün aşındığı bir dönüm noktası olarak anılacak
• Beş yıl sonra günümü mahvedecek teknolojinin ne olduğunu artık biliyorum. Çekirdeğin içindeki Attestation
  • Açık kaynak hareketinin “şirketleri de özgür yazılım hareketine dahil edelim” noktasından “şirketlerin OSS yönünü tekelleştirmesi de sorun değil” noktasına gelmiş olması şaşırtıcı
• Uzaktan tasdik özünde yazılım özgürlüğünü sınırlayan bir teknoloji değildir. Ama aşağıdaki örnekler özgürlüğü zaten sınırladı:
  • akıllı telefon bütünlük kontrolü (SafetyNet / Play Integrity / Apple DeviceCheck)
  • HDMI/HDCP
  • yayın akışı DRM'i (Widevine / FairPlay)
  • Secure Boot (üretici anahtarlarına dayalı)
  • çipe gömülü yazıcı kartuşu doğrulaması
  • kapalı dosya biçimleri ve ağ etkileri
  • Ben karşıyım. Gerçekte kurumsal kontrolün verdiği zararı çok gördüm ama bir kez bile ‘evil maid’ saldırısına uğramadım. Bu teknoloji kullanıcı yararı için değil
  • Neden tersine, sunucunun kullanıcının verilerini nasıl işlediğini tasdik eden bir teknoloji olmadığını merak ediyorum
  • Buna karşılık Mullvad, kullanıcının sunucuyu doğrulayabilmesi için uzaktan tasdik üzerinde çalışıyor. İlgili bağlantı
  • Yazarların niyeti iyi olabilir ama eninde sonunda biri bunu kötüye kullanacak. Bunun GPLv3 gibi lisansla sınırlandırılıp sınırlandırılamayacağını merak ediyorum
  • Benim de duygularım karışık. Uzak sunucuların ya da kişisel cihazların güvenliği için gerekli olabilir ama sorun, sonunda bir zorlama aracı haline geldiğinde ortaya çıkıyor
    Şu an Linux kullanıcıları az olduğu için büyük bir tehdit değil ama web platformlarında böyle bütünlük kontrolleri zorunlu olursa hizmetlere erişim bizzat kısıtlanabilir
    Öte yandan yapay zeka bu tür kullanıcı karşıtı çabaları otomatikleştirerek değil, kullanıcı kontrolünü geri kazanmaya yardımcı olarak da rol oynayabilir
• systemd, Linux'un çeşitli sorunlarını çözdü ama şimdi sanki tam imaj tabanlı dağıtım ve imzalı birleşik çekirdek imajları yönüne gidiyor
  Bu, kullanıcının değişiklik yapma hakkını sınırlıyor ve “imza durumu” kaybedildiğinde internet erişimi bile engellenebilir
  Poettering'in Microsoft'ta çalıştığını görünce Linux'u ev aleti tipi bir işletim sistemine dönüştürme yönünde bir akım olduğu hissediliyor
  • Bu yaklaşım muhtemelen yalnızca bazı özel kullanım alanlarında kullanılacak. Tüm Linux sistemlerine zorunlu kılınması pratikte mümkün değil
  • systemd'nin sadece başlangıç olduğu konusunda zaten uyarmıştık
  • Bugünkü Linux büyük ölçüde büyük şirketlerin desteğiyle ayakta duruyor. Karmaşıklık ve şirket merkezli yapı da bunun sonucu
    Ama Linux'un büyümesini sağlayan da bu finansman oldu. Sonuçta bedava öğle yemeği yok
  • Böyle kullanıcı karşıtı projelerde yer alıp yine de bunu “iyi bir şey” diye rasyonalize etme psikolojisini anlamıyorum
    Poettering'in böyle bir yönde yer alması şaşırtıcı değil. Bu bana özgür bilişime yönelik bir saldırı gibi geliyor