Sahte Microsoft İmzası

0
anonim
Microsoft bir işletim sistemi üzerinde yine Microsoft bir web tarayıcısı kullanırken akla gelen ilk şey bu dijital imzalardan en güvenilir olanının yine Microsoft firmasına ait olacağını düşünmektir, çok normal bir şekilde de olması gereken budur.

Fakat ne yazık ki durumun böyle olmadığı Microsoft tarafından yapılan ilginç bir açıklamayla anlaşılmıştır. Yapılan açıklamada denildiğine göre 29 Ocak ve 30 Ocak 2001 tarihinde VeriSign dijital imza firmasından bir kullanıcı Microsoft’un bir elemanı olduğuna inandırarak Class3 bir kod imzasını Microsoft adına elde etmeyi başarmış. Bu da pek tabii ki normalde Microsoft’a ait olmayan bir takım kodların sanki Microsoft tarafından dağıtılıyormuş gibi Internet Explorer’da uyarının gelmesi demek. Bu sayede eğer istenirse ActiveX kontrolleriyle ya da MS Office makroları ile bilgisayarınıza girilmesi ya da zarar verilmesi mümkün olmakta. Bu duruma bir aktif içerikli bir web sayfasını ziyaret ederken düşebileceğiniz gibi, üzerinde eklenti bulunan bir mail ile de başınız derde girebilir. Üstelik yapanın imzasında Microsoft yazdığı halde.
Peki Nasıl Güvenli Kalınabilir?

Öncelikle belirtilmesi gereken bu yanlış dijital imzanın sadece 29 ya da 30 Ocak 2001 tarihindekiler için geçerli olduğudur. Yani eğer bir web sayfasını görüntülemeye çalışırken ya da Outlook içerisinde ilişik bir programı çalıştırmaya yeltendiğinizde karşınıza bu içerik ya da program Microsoft tarafından 29 (ya da 30) Ocak 2001 tarihinde imzalanmıştır güvenip devam etmek ister misiniz uyarısı geldiğinde güvenmemeniz gerekmektedir. Bunun yanı sıra diğer tarihli Microsoft imzaları şimdilik güvenli. Eğer daha öncesinde bu türden bir güvenlik ayarı için Microsoft imzalı sertifikalara her zaman güven ayarı seçili ise vakit kaybetmeden Explorer içerisinde durumu geriye ayarlayın.

Kaynak: http://www.akser.com.tr/main4.asp?L=TR&site=4&mid=262

Görüşler

0
bio
3 Senelik sorunları arada bir gündeme getirmek lazım bence de...

"In related news, Linux kernel 1.0 is reported to have some serious security holes that can be exploited using a VT-100 terminal..."
0
Nightwalker
Aslında en güvenli yol internet tarayıcının hiç bir sertifika onayına izin vermemek. Hatta daha güvenlisi bilgisayarın internet bağlantısını kesmek. AMA bu gün bu yazıyı okuyanlardan ( bir şekilde M$ kullananlar tabi ki) kaç tanesi sertifika tarihini kontrol ediyor ? Emin ol ki bir çok kişi süresi dolmuş sertifika uyarısını alsa bile büyük şirketlerden birinin ismini görünce ( bazıları görmeden de ) sertifikayı onaylıyor. Linux kerneli 1.0 versiyonundan beri kaç kez güncellendi hiç saydın mı ? Bırak 1.0 ı 2.4 deki bir güvenlik açığının 2.6 da bulunması dahi emin ol çok çok düşük bir olasılık. Peki verisign yada m$ bu malum 3 senelik güvenlik açığı konusunda ne yaptı ? HİÇ. Bu sorun kullanıcılar için hala var olmaya ve onları tehdit etmeye devam ediyor mu ? EVET. 3 senelik bir sorunu gündeme getirmek konusuna gelince. Ne gereği var canım... :)
0
bio
Tamam da bunu hatırlatmanın frekansı nedir? Sorun düzelmediği sürece her gün mü? Her ay mı? Her sene 29-31 Ocak arasında mı? Yoksa 3 senede bir mi? Haber "Blah blah sorunu 3 yıl geçmesine rağmen çözülmedi! Nerde bu devlet!" olsaydı anlardım...

Ayrıca Microsoft sorunu çözen bir patch de çıkarmadı değil. Nette ufak bir arama bizi http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-017.asp sitesine götürür.

Eğer "AMA bu gün bu yazıyı okuyanlardan ( bir şekilde M$ kullananlar tabi ki) kaç tanesi bu patchleri kuruyor?" argümanına devam edeceksen, "Linux kullananlardan kaç tanesi 2.4'teki açıklarsan sonra 2.6'ya geçiyor" gibi bir karşılık gelir; ki her ikisi de saçmadır. Her yazılımda güvenlik açığı olur (ki bu açık bir yazılım açığı değil! Verisign'ın bariz bir hatası). Kullanıcılar bilinçli olmadıkça güvende olamazlar.

Asıl sorumlu olan Verisign ne yaptı dersek; Verisign da sertifikaları iptal etti. Ancak teknik sorunlar var:

http://www.pkiforum.com/resources/alert_verisigncerts.html

VeriSign has revoked the certificates and added them to its certificate revocation list (CRL). However, VeriSign code-signing certificates do not support automatic CRL-checking because they do not contain CRL Distribution Point (CDP) information. This means that unless a user takes the initiative to manually check VeriSign's CRL before installing any software signed with these certificates, the user's computer will trust any program signed with the fraudulent certificates.
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Açık Kaynağın Yararları

Soulblighter

Geçen hafta çalınan Windows 2000 kaynak kodlarını inceleyen iyi niyetli :) bir yazılımcı, IE 5 gözatıcısında açık tespit etti.

Bu açık kullanılarak, bitmap dosyası ile (ne alakaysa, klasik M$ açığı) kullanıcının bilgisayarında aşırı yüklenme meydana getirilebiliyor. Açığı bulan yazılımcı, haberi www.securitytracker.com adresinde duyurdu.

Steganografi ve Steganaliz: Bulamadığın şeyi çözemezsin

FZ

ACM Queue dergisinin son sayısında Huaiqing Wang ve Shuozhong Wang isimli iki Çinli araştırmacının steganografi ile ilgili ilginç bir makaleleri var.

Steganografi, bir verinin başka bir veri içine yerleştirilmesi için kullanılan yöntemlere verilen genel isim. Bir resmin içine bir başka resmi, bir resmin içine şifreli mesajı, bir MP3 dosyasının içine bir resmi ya da yine şifreli ya da şifresiz bir mesajı gömmeniz ve bilmeyen birinin içine gömülü görüntü ya da ses dosyasını grafik göstericiler ve müzik çalıcılarla normal bir dosya gibi görümesi, dinlemesi mümkün. Konu ile ilgili çok güzel bir ansiklopedi maddesini okumak faydalı olacaktır.

Not: Acaba vakti olan biri ilgili Wikipedia maddesini Türkçe vikipediye aktarabilir mi? En azından bir kısmını?

Linux´la Erişebilmek, Linux´a Erişebilmek

denizlilikaan

Evet abilerim aranızda bana fazla laf düşmez ama yeni keşfettiğim bir kolaylıktan aslında iki kolaylıktan bahsetmek istiyorum

Bir: Geçen hafta sonu değerli bir öğretmenimizin bilgisayarı feci şekilde göçmüştü. Tahmin edersiniz ki MS Win_Me Kullanıyordu.

Makina, Güvenli Kip dahil herhangi bir şekilde açılmayı reddediyordu. Aslında makinayı açıp HDD'yi söküp "Vector Linux yüklü PC"me bağlayıp hocamızın bilgilerini günlük ve yıllık planlarını kurtarabilirdim. (Öğretmenler için Planlar çok önemlidir. Bir de hazırlamak için günlerinizi, gecelerinizi harcadıysanız)

IstSec - Istanbul Güvenlik Konferansı

onal

IstSec - Istanbul Güvenlik Konferansları- Türkiye’de eksikliği hissedilen ürün/teknoloji bağımsız güvenlik anlayışına katkı amacıyla düşünülmüş bir etkinlik serisidir.

IstSec etkinliklerinde konusunda uzman kişiler tarafından yapılacak uygulamalı sunumlar eşliğinde katılımcılar merak ettiği konulara cevap bulmakla kalmayıp uygulamalı olarak görebilecekler.

Yılda iki kere yapılması planlanan IstSec etkinliklerinin ilki Microsoft, RSA ve ADEO’nun sponsorluğunda Microsoft Türkiye ofisinde yapılacaktır.

DHKP-C sitesi hack`lendi

anonim

Amerika'da 11 Eylül'de yapılan terörist saldırıların ardından ismi ABD resmi makamları tarafından PKK ile birlikte 'terör örgütü' listesine dahil edilen yasadışı Devrimci Halk Kurtuluş Partisi-Cephesi`nin (DHKP-C) başı Türkiye'de bilgisayar korsanları (hacker) ile dertte.

Bir grup hacker, yasadışı sol örgüt DHKP-C'nin resmi web sitesi www.kurtulus.com'un sayfalarına müdahale etti. Kendilerine @Team diyen grup sayfayı hack ettikten sonra girişe, 'Amerikada yaşanan vahşeti protesto ediyoruz' yazısını yerleştirdi. Sayfada ayrıca, 'Terörizme son' yazısı dikkat çekti.

Bu arada aynı terörist grubun www.dhkpc.com adresindeki sayfalarıda bir süre önce başka bir hacker grubu tarafından ele geçirilmişti. Kendilerine Digital Angels Team (Dijital Melekler Takımı) adını veren grup sayfanın ortasına kendilerine ait bir logoyu yerleştirdikten sonra yine gruplarına ait sayfa içinde link vermişlerdi.