Açık Kaynağın Yararları

0
Soulblighter
Soulblighter
20 Şubat 2004 , 1 dakika okuma süresi
Geçen hafta çalınan Windows 2000 kaynak kodlarını inceleyen iyi niyetli :) bir yazılımcı, IE 5 gözatıcısında açık tespit etti.

Bu açık kullanılarak, bitmap dosyası ile (ne alakaysa, klasik M$ açığı) kullanıcının bilgisayarında aşırı yüklenme meydana getirilebiliyor. Açığı bulan yazılımcı, haberi www.securitytracker.com adresinde duyurdu.
Bakalım daha ne açıklar çıkacak. Açık kaynağın faydası da burada bir kez daha ortaya çıkmış oldu. Acaba M$ kendi bu açığı bulur muydu? Bulsa söyler miydi? Yoksa başkası bulana kadar sesini çıkarmaz mıydı?

Diğer bir tartışılacak konu ise Bitmap dosyası ile nasıl bilgisayara yüklenme yapılır? Veya nasıl oluyorda IE'deki bilmem ne hatası, başkasının, bilgisayarınızı ele geçirmesine neden oluyor?

Bence M$ yazılımlarındaki en büyük sorun tasarım hatası. Bunlar, kod yazım hatası ile olacak şeyler değil. M$ programları sanki acelece yazılmış gibi bir izlenime kapılıyorum. Sanki birşeyler eksik düşünülüyor. Özellikle güvenlik konusunda...
Güvenlik
10
Linkedin Facebook Twitter Google plus

Görüşler

mentat
0
mentat
buffer overflow'lar konusunda uzman falan sayilmam ancak bana pek tasarimla alakasi yokmus gibi geliyor. sanki ya sen ya da ben assagidaki linki guzelce okumaliyiz. (ben okumaya basladim bile)

The Tao of Windows Buffer Overflow [www.cultdeadcow.com]
Soulblighter
0
Soulblighter
Merhaba,

Ben sadece bu olay için tasarım hatası demedim. Genel olarak yapılan hatalar çoğunlukla tasarım hatası oluyor dedim :) SecurityFocus.com adresini sürekli takip ediyorum orada da bir çok hata için "Design Error" ibaresini kullanıyorlar. Yani sorun bir kodu yanlış yazmak değil. Düşünce hatası yapılıyor... Micro$oft bunu çok sık yapıyor...

Ben bunu demek istemiştim :)
FZ
0
FZ
http://www.kuro5hin.org/story/2004/2/15/71552/7795
oktay
0
oktay
"bitmap dosyası ile (ne alakaysa"

Bitmap dosyası olmasının pek bir esprisi yok. Adam örnek olarak onu kullanmış anladığım kadarıyla. Önemli olan o bitmap içine buffer overflow açığını ateşleyecek karakterler dizisini yerlesŧirmiş olması.

Bu arada Microsoft niye tantana ettiğinizi anlamıyor. 4 sene önceki kodda bulunan bu açığı Internet Explorer 6 Service Pack 1 ile geçtiğimiz günlerde zaten yamamışlar (!). PR sayfalarındaki basın açıklaması böyle diyor.

Oktay
redline99
0
redline99
Yoksa M$ gizliden gizliye virus şirketleriyle el elemi yazılım üretiyor? Yoksa bu bile çok masum bir düşüncemi kim bilir? ;)
Img 5856
0
conan
Windows 2000'de bulunan bu hata acik kodun guzelligini gostermez. En azindan acik kodun guzelligini gosteren milyon tane programin yaninda bu hic bir seydir, cunku haberin yazan Soulblighter'in da belirttigi gibi Windows 2000 acik kaynak kodlu bir program degildir, kodun sergilenmesi calinmasindan kaynaklanmaktadir. Dolayisiyla yazinin basligi ve icerigi arasindaki baglanti hosuma gitmedi. Linux kernel'inin acik kodlu olmasinin yararlarini anlatan bir yaziya bu baslik sanirim cok daha uygun giderdi.

Gelelim olayin bir iki parmak basilmayan konularina. Diyelim ki birisi (mesela wine gelistiricileri) bu kaynak kodundan birseyler ogrenip kendi projesine katkida bulunmaya calisti. Bu gelistirici(ler)nin gorecegi son sey bilgisayarinin ekrani olacaktir bence, cunku Microsoft bu tip bir seyi acik kaynakli bir kodda farkederse zavalli proje gelistiricilerinin kicini aya kadar dava eder. Cocuklarini bile hapse atar vallahi. ;) Yani lutfen bu kodlarda ogrenilecek birsey varsa (sanmiyorum ama) kendi projelerinize uygulamayin!

Yine bu kodlarda bulunan aciklar windows sistemlere karsi kullanilirsa bu microsoft'un satis/reklam/pazarlama/gozboyama taktiklerini curutmez, aksine guclendirir! Iste size zaten kaynak kapali olunca daha saglamdir demistik gibilerinden soylevlere baslarlarsa yakinda hic sasirmayin. Calinan kodlarimizla size zarar veriyorlar, biz sizin guvenliginiz icin bu kodlari sakli tutuyoruz seklindeki masallarla daha cok M$ urunu satmaya calisacaklardir yakinda.

sundance
0
sundance
Valla biraderim ekleyecek pek bir şey bırakmamışsın, aklına sağlık diyorum ancak.

Burda çok önemli bir nokta var senin de ortaya koyduğun gibi, o da Free Software konusuna gönül vermiş insanlar olarak, çok kolay düşebileceğimiz bir hata var. O da sırf karşı çıkmış olmak için suyun tersine gidiyor durumunda kalmak.

Burada düşebileceğimiz en önemli hata bu, bu duruma düşmemek için de yapılması gereken, histerik bir şekilde `aha zaten bunlar da kötülüğün uşakları` yaklaşımına kapılmadan, yanlış/kötü/beceriksiz olan şeyleri ortaya koymak. Explorer herne kadar birçok yerde standart kabul edilse de birçok açıdan yetersiz ve hantal mı ? Bunu anlatalım. Veya bu kod ortaya çıktığında durup bir nedir durum diye bakalım, mesela Kuro5hin de yayınlanan yorum oldukça ilginçti, son dönem MS kodlarında oldukça düzgün ve disiplinli yaklaşımlar olduğunu, bu kodu çok başarılı bulduğunu anlatıyordu makaleyi yazan. Bunlar önemli veriler bence ve görmezden de gelinmemeli.

Öte yandan MS'un karşısında yeralan ve Linux'a kucak açan birçok büyük şirket var. Bunların MS karşısında mı, yoksa Linux yanında mı olduklarının tespitini yapmakta fayda var, zira bazıları Linux'u sonuna kadar destekliyorum ama kucağımda oturmaya devam ettiği sürece diyor olabilirler.

İşte bütün bunlar için Conan biraderimizin yaptığı gibi biraz satır aralarını okumak, biraz daha kafa çalıştırmak gerekiyor.
Soulblighter
0
Soulblighter
Herkese Selam,

Burada, M$'un "açık kaynağın bilgisayar korsanlarının işine yarar" savının doğru olmadığını, açık kaynak sistemlerin daha güvenli olacağını, çünkü Linux çekirdeğinde olduğu gibi, oluşabilecek güvenlik açıklarının daha çabuk tespit edilip düzeltilebileceğini vurguladım.

Burada kapalı kodun çalınmış, hibe edilmiş, gasp edilmiş olması önemli değil. Ben bunu tartışmıyorum. Kodun Windows 2000 kodu olması da beni ilgilendirmiyor. Photoshop'un kodu da olabilirdi. Benim vuırgulamak istediğim şey ilk paragrafta yazdığım olaydır.

Sundance kardeşimin dediği gibi satırları dikkatli okumakta ve anlamakta fayda var. :)
Img 5856
0
conan
benim yorumumda senin soylediklerine karsi hic birsey yok ;) Lutfen kisisel alma. Sevgiler
Soulblighter
0
Soulblighter
Yazdıklarımın farklı şekilde algılanıp, acımasızca eleştirildiğimi düşündüm. :) Kusura bakma...

Sevgi, Saygı, Linux
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Virüslerin 20 Yıllık Tarihi
FZ
11 Kasım 2003, 1 dakika okuma süresi

Bu hafta bilgisayar virüslerinin 20. yıldönümü. Basit rahatsızlık veren küçük yazılımlardan tutun ülkelerarası ağları yavaşlatan ve televizyonlara çıkan, en ilgisiz insanların dahi ilgi alanına girmeye başlayan pek çok virüs söz konusu.

Belgelendirilmiş ilk virüs ABD´de doktora eğitimi esnasında bu tip bir çalıştırma gerçekleştiren Fred Cohen tarafından yazılmış durumda.

Şu anda dünya üzerinde yaklaşık 60,000 farklı virüs var.

Cohen o dönemde kullanılan VAX bilgisayarları üzerindeki VD isimli bir grafik programına geliştirdiği virüsü yerleştirmiş ve sistemdeki diğer yazılımlara nasıl bulaşılabileceğini pratik olarak göstermişti. Cohen, gerçekleştirdiği çalışmayı bir güvenlik seminerinde sunduğunda takvimler 10 Kasım 1983 tarihini gösteriyordu.

VIRUS ALERT - W32/Nimda@MM
anonim
19 Eylül 2001, 3 dakika okuma süresi

Hızla yayıldığı belirtilen bu ' worm ' hem e-mail attachment ile ( readme.exe ) hem de Microsft IIS serverda 15 Mayıs 2001'de bulunan bir güvenlik açığını ( PWS Escaped Characters Decoding Command Execution Vulnerability ) kullanarak yayılabilmektedir. Ayrıca, Internet Explorer 5.0 veya 5.5 kullanılarak web ( http ) üzerinden mailboxlara ( hotmail, yahoo, vs..) erişim söz konusu olduğunda, yine bir başka güvenlik açığını kullanarak bu mesaj okunduğunda ve hatta sadece önizleme penceresinde görüntülendiğinde dahi sisteme bulaşabilmektedir.

Gizli Mesajınızı Spam Mail İçinde Saklayın!
ts
14 Mayıs 2003, 1 dakika okuma süresi

Şifreli yazışmak icin kullanilabilecek birçok yöntem bulunuyor. Bunların içinde en ilginci ise Spammimic adında bir sitede bulunuyor.

Bu sitede istenilen yazı bir spam mail'in içerisine gizleniyor ve Spammimic internet sitesinde çözülmediği takdirde gerçek mesaja ulaşılamıyor.

Editörün Notu: Eğlenceli bir yazılım, gramer steganografisi gibi görülebilir ancak ciddi olarak kullanılabilecek türden bir uygulamaya benzemiyor.

Ayın Klasiği: UNIX'in Mucidinden Güvenlik Üstüne Düşünceler
kemalguvenli
5 Şubat 2007, 1 dakika okuma süresi

Ken Thompson'un meşhur ACM ödül töreni konuşma metnini Türkçeye çevirdim.

Siz siz olun kendi yazmadığınız koda güvenmeyin!

%100 güvenlik mümkün değil
daegil
2 Şubat 2005, 1 dakika okuma süresi

Önemli güvenlik organizasyonlarından Information Systems Security Association'ın İngiltere şubesi, web sunucularının saldırıya uğradığını ve ana sayfanın değiştirildiğini belirtti. Yetkililere göre 2004 Aralık tarihinde ana sunucu başka bir makinaya taşındıktan ve güncellendikten sonra, bazı yamaların yüklenmesinin unutulması yüzünden böyle bir şey mümkün olabildi.

7 Ocak 2005 - 19:39 tarihinde gerçekleşen olaya dair bir web sitesinden alınan bilgiye göre eylemin sorumlusu "iskorpitx" takma isimli kötü niyetli bir bilgisayarcı. Aynı haber sitesinde yer alan ve vakayı gösteren görüntüde büyük Türk bayrakları vardı ve "HACKED By iSKORPiTX (Turkish Hacker)" yazıyordu, ardından tarayıcı kullanıcıyı yunus resimleri ile dolu bir siteye yönlendiriyordu.

Kaynak: http://news.zdnet.co.uk/0,39020330,39185308,00.htm