Full Disclosure: Güvenlik Çarkının Değişmez Dişlisi

0
anonim
Bilgisayar sistemleri varolduğundan beri insanlığa hizmet etmiştir. Gelişimin şimdikine oranla daha hızlı olduğu ve standartların oluşturulmaya başladığı yıllarda bilgiye ulaşmak şimdiki kadar kolay değildi. Varoluş ve standartlaşma süreçlerindeki rekabet, yazılım ve donanım firmalarının ürünlerinin teknik spesifikasyonlarını gizlemesine yol açıyordu. Bu bilgilerin gizlenmesi ise sektörün yol almasını yavaşlattığı gibi önemli bir olgu olan 'Bilgiye ulaşmanın hiç kimse tarafından engellenmemesi gerektiği' prensibine de ters düşüyordu.
Bu dönemlerde bir takım insanlar bunun bir haksızlık olduğunu 'Bilgiye ulaşmanın' hiçbir zaman engellenmemesi gerektiğini düşünerek bilgisayar sistemleriyle ilgili rutin dışı çalışmalarda ve değişikliklerde bulundular. Sistem üzerindeki bir değişikliği akla gelmeyecek yöntemlerle yaparak işlerini kolaylaştırdılar ve bugünlere kadar gelen 'Hacker' kelimesinin özünü oluşturdular. Ellerinde ne teknik spesifikasyonlar ne de proje ayrıntıları olduğu halde bu sistemlerdeki zayıflıkları bularak yapmaları gerekeni en kısa yoldan keşfederek, yaparak bu felsefenin temellerini attılar. Zamanla sektördeki gelişmeler bilgisayar dünyasındaki büyük gelişimle beraber büyük güvenlik sorunlarını da beraberinde getirdi. Felsefenin yarattığı cazibe, uygulamadaki alınan şaşırtıcı sonuçlar göz önüne alındığında 'Hacker' ve 'Hacking' kelimelerinin kapsamı genişlemeye başladı. İlk başlarda yazılımlardaki güvenlik açıkları, programlama hataları yazılım ekibi tarafından tespit edilip kapatılırken sonraları yayınlanan 'Güvenlik Duyuruları' ile Hacker'lar bu gelişim sürecine aktif katkıda bulunmaya başladılar. Yayınlanan güvenlik duyuruları ürün ismi, güvenlik açığının katagorisi, teknik açıklaması ve kimi zaman da exploit kodunu içerir şekilde çeşitli güvenlik grupları ve güvenlik geliştiricileri tarafından yayınlanmaya başladı. Bu güvenlik duyurularının yayınlanmaya başlaması yazılım üreticilerini endişelendirirken bir yandan da yazılım ürünlerinin kalitesini arttırmaya yönelik bir takım faydalar sağlıyordu.

Neticede kısıtlı bir bütçe ve istihdamla yaratılan yazılım ürünlerinin bağımsız güvenlik geliştiricileri tarafından denenmesi ürünlerin belli bir güvenlik standardını tutturmasına büyük katkı sağlıyordu. Bu işin yazılım üreticileri için olumsuz tarafı ise söz konusu yazılım eğer kritik bir iş yapan network merkezli bir yazılım ise yayınlanan bir kaç mühim güvenlik duyurusundan sonra yazılım firmasına ve ürüne olan güvenin sarsılmasıydı. Bağımsız güvenlik geliştiricilerinin bu güvenlik açıklarını bularak yayınlamaları sonucunda herhangi bir maddi kar elde etmedikleri hesaba katıldığında bunun kabul edilebilir bir kayıp olduğu düşünülebilir. Fakat yazılım kalitesini kar ile doğru orantılı ele alan bir takım firmalar güvenlik duyurularını belli şekilde revize ederek bir takım güvenlik geliştiricilerine ve güvenlik gruplarına bir öneriyle birlikte gittiler. Bu öneride bir takım büyük yazılım üreticilerinin istediği şey yayınlanan güvenlik duyurularının içerisinde exploit kodunun olmaması, teknik ayrıntıların minimal düzeyde tutulması yer alıyordu. Bunun yanında güvenlik açığının kapatılması süreci içerisinde süresiz bir yayınlamama politikası da izlenecekti. Bunun karşılığında Foundstone, eEye gibi bir takım güvenlik firmalarına yüklüce meblalar ödenerek anlaşmalar yapıldı. Bu fazla 'işbirlikçi' (!) firmaların aksine asıl yapılması gerekeni ise 'Full Disclosure' yayınlama biçimini benimsemiş kitle yaptı. Rfp yazdığı 'Disclosure Policy'den yola çıkarak standartları belirleyen underground camianın üyeleri bu kurallar doğrultusunda güvenlik duyurularını yayınlıyor ve güvenlik sektörünün gelişimine reel katkılarda bulunuyor. Full disclosure kapsamında öncelikle güvenlik geliştiricisi yazılım firmasıyla irtibat kuruyor ve güvenlik zaafiyetiyle ilgili bildirimde bulunuyor. Bildirim sonrasında gelişen 5 günlük sürede yazılım firması ürünle ilgili uyarı, patch yayınlamak için imkana sahip oluyor. Böylece bu yazılımı kullanan kurumlar bu zaafiyetlerden korunma imkanına sahip oluyorlar.

Yapılan tüm engellemelere ve haksız revizyonlara rağmen. Güvenlik geliştiricileri 'Full Disclosure' çerçevesinde duyurularını yayınlayarak inandıkları amaca hizmet etmenin tadını çıkartıyorlar. Güvenlik endüstrisinin geleceği 'Full Disclosure'da ve Hacker'ların parmaklarında yatıyor.

Tamer Şahin
http://www.securityoffice.net

İlgili Yazılar

Trusted Computing Hakkında Bir Sunum

sundance

Uzun bir süredir bahsi geçen "Bilgisayarınıza bir chip takılacak, bu sayede yazılım üreticileri ve web siteleri başta olmak üzere herkes kim olduğunuzu bilecek ve güvende olacaksınız" şeklinde lanse edilen Trusted Computing hakkında inanılmaz bir sunuma rastladım.

RMS'in "Treacherous (Hileci) computing" diye yorumladığı TC, Microsoft, Intel, IBM, HP ve AMD'nin birarada yeraldığı nadir projelerden biri. İki ayrı kalitedeki (25MB/50Mb) sunumu izleyin ne demek istediğimi daha iyi anlayacaksınız. Ben şimdiye kadar daha iyi bir sunum izlemedim.
Daha detaylı bilgi için adres AgainstTCPA

İngilizler, Ruslar ve Şifreler

FZ

II. Dünya Savaşı sırasında Bletchley Park´ta çalışan başta Turing olmak üzere matematikçilerin, dilbilimcilerin ve diğerlerinin Almanların Enigma şifresini çözme maceraları konu ile ilgilenenlerin malumudur.

Ancak İngiliz şifre analizcilerinin Sovyetler Birliği şifreleri ilgili yaptıkları önemli çalışmalar yakın bir döneme dek bir sır perdesi ile örtülü idi.

Bilişim Guvenliği Günleri İstanbul 2010

anonim

Tarih: 2 Haziran Çarşamba
Yer: Grand Cevahir Oteli

Katılım için web sayfasından kayıt gerekiyor.

www.bilisimguvenligigunleri.com

ADSL Modem Öntanımlı Parola Zayıflığı

extacy

Bu açık başka ülkelerde var mıdır bilmem ama bizim ülkemiz insanlarında %80 oranında geçerlidir :(

Bunun nedeni bilgisizlik midir, vurdum duymazlık mıdır bilmem ama... sonuçları çok kötü olabilir. Malum güzel ülkemin her yanı ADSL ile yeni yeni tanışmaya başladı fakat beraberinde yeni bir sorun getirdi. Lafı kisa tutup soruna geçmek istiyorum.

Açık Sistemler ve Güvenlik - 2

FZ

"Güvenlik de tıpkı doğruluk gibi bir sisteme sonradan eklenebilecek bir özellik değildir." Andrew S. Tanenbaum

Öncelikle bu yazıya başlayıp da 1. bölümü okumamış olanlara durmalarını ve hemen dönüp http://fazlamesai.net/makale.php3?sid=1107 adresindeki 1. bölümü okumalarını tavsiye ediyorum. Oradaki uygulamaları, bilgileri pratik olarak sindirdikten sonra buradan devam edebilirler.