Full Disclosure: Güvenlik Çarkının Değişmez Dişlisi

0
anonim
Bilgisayar sistemleri varolduğundan beri insanlığa hizmet etmiştir. Gelişimin şimdikine oranla daha hızlı olduğu ve standartların oluşturulmaya başladığı yıllarda bilgiye ulaşmak şimdiki kadar kolay değildi. Varoluş ve standartlaşma süreçlerindeki rekabet, yazılım ve donanım firmalarının ürünlerinin teknik spesifikasyonlarını gizlemesine yol açıyordu. Bu bilgilerin gizlenmesi ise sektörün yol almasını yavaşlattığı gibi önemli bir olgu olan 'Bilgiye ulaşmanın hiç kimse tarafından engellenmemesi gerektiği' prensibine de ters düşüyordu.
Bu dönemlerde bir takım insanlar bunun bir haksızlık olduğunu 'Bilgiye ulaşmanın' hiçbir zaman engellenmemesi gerektiğini düşünerek bilgisayar sistemleriyle ilgili rutin dışı çalışmalarda ve değişikliklerde bulundular. Sistem üzerindeki bir değişikliği akla gelmeyecek yöntemlerle yaparak işlerini kolaylaştırdılar ve bugünlere kadar gelen 'Hacker' kelimesinin özünü oluşturdular. Ellerinde ne teknik spesifikasyonlar ne de proje ayrıntıları olduğu halde bu sistemlerdeki zayıflıkları bularak yapmaları gerekeni en kısa yoldan keşfederek, yaparak bu felsefenin temellerini attılar. Zamanla sektördeki gelişmeler bilgisayar dünyasındaki büyük gelişimle beraber büyük güvenlik sorunlarını da beraberinde getirdi. Felsefenin yarattığı cazibe, uygulamadaki alınan şaşırtıcı sonuçlar göz önüne alındığında 'Hacker' ve 'Hacking' kelimelerinin kapsamı genişlemeye başladı. İlk başlarda yazılımlardaki güvenlik açıkları, programlama hataları yazılım ekibi tarafından tespit edilip kapatılırken sonraları yayınlanan 'Güvenlik Duyuruları' ile Hacker'lar bu gelişim sürecine aktif katkıda bulunmaya başladılar. Yayınlanan güvenlik duyuruları ürün ismi, güvenlik açığının katagorisi, teknik açıklaması ve kimi zaman da exploit kodunu içerir şekilde çeşitli güvenlik grupları ve güvenlik geliştiricileri tarafından yayınlanmaya başladı. Bu güvenlik duyurularının yayınlanmaya başlaması yazılım üreticilerini endişelendirirken bir yandan da yazılım ürünlerinin kalitesini arttırmaya yönelik bir takım faydalar sağlıyordu.

Neticede kısıtlı bir bütçe ve istihdamla yaratılan yazılım ürünlerinin bağımsız güvenlik geliştiricileri tarafından denenmesi ürünlerin belli bir güvenlik standardını tutturmasına büyük katkı sağlıyordu. Bu işin yazılım üreticileri için olumsuz tarafı ise söz konusu yazılım eğer kritik bir iş yapan network merkezli bir yazılım ise yayınlanan bir kaç mühim güvenlik duyurusundan sonra yazılım firmasına ve ürüne olan güvenin sarsılmasıydı. Bağımsız güvenlik geliştiricilerinin bu güvenlik açıklarını bularak yayınlamaları sonucunda herhangi bir maddi kar elde etmedikleri hesaba katıldığında bunun kabul edilebilir bir kayıp olduğu düşünülebilir. Fakat yazılım kalitesini kar ile doğru orantılı ele alan bir takım firmalar güvenlik duyurularını belli şekilde revize ederek bir takım güvenlik geliştiricilerine ve güvenlik gruplarına bir öneriyle birlikte gittiler. Bu öneride bir takım büyük yazılım üreticilerinin istediği şey yayınlanan güvenlik duyurularının içerisinde exploit kodunun olmaması, teknik ayrıntıların minimal düzeyde tutulması yer alıyordu. Bunun yanında güvenlik açığının kapatılması süreci içerisinde süresiz bir yayınlamama politikası da izlenecekti. Bunun karşılığında Foundstone, eEye gibi bir takım güvenlik firmalarına yüklüce meblalar ödenerek anlaşmalar yapıldı. Bu fazla 'işbirlikçi' (!) firmaların aksine asıl yapılması gerekeni ise 'Full Disclosure' yayınlama biçimini benimsemiş kitle yaptı. Rfp yazdığı 'Disclosure Policy'den yola çıkarak standartları belirleyen underground camianın üyeleri bu kurallar doğrultusunda güvenlik duyurularını yayınlıyor ve güvenlik sektörünün gelişimine reel katkılarda bulunuyor. Full disclosure kapsamında öncelikle güvenlik geliştiricisi yazılım firmasıyla irtibat kuruyor ve güvenlik zaafiyetiyle ilgili bildirimde bulunuyor. Bildirim sonrasında gelişen 5 günlük sürede yazılım firması ürünle ilgili uyarı, patch yayınlamak için imkana sahip oluyor. Böylece bu yazılımı kullanan kurumlar bu zaafiyetlerden korunma imkanına sahip oluyorlar.

Yapılan tüm engellemelere ve haksız revizyonlara rağmen. Güvenlik geliştiricileri 'Full Disclosure' çerçevesinde duyurularını yayınlayarak inandıkları amaca hizmet etmenin tadını çıkartıyorlar. Güvenlik endüstrisinin geleceği 'Full Disclosure'da ve Hacker'ların parmaklarında yatıyor.

Tamer Şahin
http://www.securityoffice.net

İlgili Yazılar

CIA'den Open Source Center

sundance

Geçen hafta yayınlanan bir habere göre CIA, topluma açık bilgilerden istihbarat amacıyla yararlanmak için bir organizasyon kurmuş.

Open Source Center ismiyle anılacak olan bu merkez, Internet, ticari veritabanları, periyodik yayınlar, radyo, video, haritalar ve diğer basılı kaynaklar üzerinden bilgi edinip bunları ülke çıkarları doğrultusunda kullanacak.

Klasik kaynakları daha önce kullanmakta olan, dünya çapında dinleme operasyonlarına sahip organizasyonun, sokaktaki insanın erişebileceği bilgilerden ne gibi sonuçlar çıkartabileceği merakla bekleniyor.

512 Byte'lık Güvenlik Koduna 3 Tane Bug Nasıl Sığdırılır?

darkhunter

Microsoft'un oyun platformu xbox'ın, boot sırasında çağırdığı 512 Byte'lık güvenlik kodunda 3 adet bug tespit edilmiş...

512 Byte'lık koda 3 adet bug sığdırmayı başaran Microsoft'u kutluyor, başarılarının devamını diliyorum...

Not: FM Forum'da konuyu gündeme getiren "abc"ye teşekkürler.

Fazlamesai bir zavallıyı takdim eder...

sundance

Bugün irc.freenode'daki #fazlamesai kanalında arkadaşlarla sohbet ederken, kanalın müdavimlerinden Xybernaut'un nickine benzeyen nickli biri bana özelden mesaj attı, bu ve ardından gelişen zavallı muhabbeti okumanızı isterim. Görün bakın ülkemizde social engineering ne kadar zavallı durumlarda, ne salaklar var :)

Xyber[busy]] cc varmi elinde ?
[sundance] cc ne be ?
[sundance] kredi kartı mı ?
[Xyber[busy]] kredi karti
[sundance] var nolcak ?
[Xyber[busy]] bilgileri ver az
[Xyber[busy]] cok lazim
[Xyber[busy]] neyse oderim
[sundance] :)) haaa, sen benden kaçak kredi karti numarası istedin ?
[sundance] vay çakal vay, rezil etmez miyim ben seni simdi FM camiasına :))

SQL Server 7.0 için yazılmış WORM yakalandı

FZ

Sistem yöneticisi (sa user) için parola tanımlanmamış SQL Server 7.0 veritabanı sunucu sistemine sızabilen bir worm yazılımı (kurtçuk) yakalandı.

Sisteme girebildikten sonra iki Truva atı (Trojan horse) programını sisteme yerleştiren worm yazılımı bu şekilde kontrolü worm yaratıcısına aktarmaya çalışıyor.

L7-Linux için uygulama katmanı paket sınıflandırıcı

anonim

Takip ettigim mail grupların bir tanesinden gelen mail icinde tanıtımını gorupte asagıdaki netfilter eklentisini farkettim.

l7 - Application Layer Packet Classifier for Linux

Networkunuze girip cıkabilecek paketlerler uzerinde etkinliginizi en ust duzeye cıkartabilecek, kullanıcıların bilgisayarlarına sahip oldukları yerel haklarla yukleyebildikleri ve kullana bildikleri P2P, IM oyun vb. programlarının baglantı/transfer ini, portlara bakmaksızın engelleyebilecek bir yazılım. Desteklenen protokoller ve performans dokumleri burada.