Web Servisleri Güvenliği: Evrim Geçiren Tehdit Modeli

0
FZ
Gene bir makaleye gönderme, bu sefer Yahoo! şirketinin baş bilimadamı Udi Manber'in IEEE Symposium Security and Privacy etkinliğinde söyledikleri...

\r \r Özetlemek gerekirse Udi Manber gelişen web servisleri ile birlikte Internet üzerinden gerçekleştirilen güvenlik ihlallerinin de farklılaştığını, küçük küçük ama çok sayıda gerçekleştirilen saldırıların esas problemi oluşturduğunu ve bunlara çözüm bulunması gerektiğini söylüyor.

\r \r Manber'in dikkat çektiği enteresan konulardan biri de puanlama (rating) sistemleri, diyor ki "eğer bir oyun, bir site ya da bir ürünü puanlıyorsanız, insanlar bu puanlama mekanizmasına gizlice müdahele edip belli bir maddeyi en yüksek puana çıkarmak için çılgınca çaba harcıyorlar!"

İlgili Yazılar

Röportaj: Kıvılcım Hindistan

sundance

Sevgili meslektaşım Huzeyfe Önal, sağolsun NetSec Güvenlik Bülteni'nin bu sayısında benle röportaj yapmak istemiş.

NetSec Bülteni'nin şimdiye kadar ki bütün sayıları için için Life Over Ip'e bakabilirsiniz.

NGB: Kısaca kendinizden bahsedebilir misiniz?

Kıvılcım HİNDİSTAN: Merhaba. Adım Kıvılcım Hindistan. Kadıköy Anadolu Lisesi ve ITÜ Mimarlık Fakültesi mezunuyum. Fazlamesai.net sitesinin kurucularından biriyim.

Sahte Microsoft İmzası

anonim

Microsoft bir işletim sistemi üzerinde yine Microsoft bir web tarayıcısı kullanırken akla gelen ilk şey bu dijital imzalardan en güvenilir olanının yine Microsoft firmasına ait olacağını düşünmektir, çok normal bir şekilde de olması gereken budur.

Fakat ne yazık ki durumun böyle olmadığı Microsoft tarafından yapılan ilginç bir açıklamayla anlaşılmıştır. Yapılan açıklamada denildiğine göre 29 Ocak ve 30 Ocak 2001 tarihinde VeriSign dijital imza firmasından bir kullanıcı Microsoft’un bir elemanı olduğuna inandırarak Class3 bir kod imzasını Microsoft adına elde etmeyi başarmış. Bu da pek tabii ki normalde Microsoft’a ait olmayan bir takım kodların sanki Microsoft tarafından dağıtılıyormuş gibi Internet Explorer’da uyarının gelmesi demek. Bu sayede eğer istenirse ActiveX kontrolleriyle ya da MS Office makroları ile bilgisayarınıza girilmesi ya da zarar verilmesi mümkün olmakta. Bu duruma bir aktif içerikli bir web sayfasını ziyaret ederken düşebileceğiniz gibi, üzerinde eklenti bulunan bir mail ile de başınız derde girebilir. Üstelik yapanın imzasında Microsoft yazdığı halde.

Trusted Computing Hakkında Bir Sunum

sundance

Uzun bir süredir bahsi geçen "Bilgisayarınıza bir chip takılacak, bu sayede yazılım üreticileri ve web siteleri başta olmak üzere herkes kim olduğunuzu bilecek ve güvende olacaksınız" şeklinde lanse edilen Trusted Computing hakkında inanılmaz bir sunuma rastladım.

RMS'in "Treacherous (Hileci) computing" diye yorumladığı TC, Microsoft, Intel, IBM, HP ve AMD'nin birarada yeraldığı nadir projelerden biri. İki ayrı kalitedeki (25MB/50Mb) sunumu izleyin ne demek istediğimi daha iyi anlayacaksınız. Ben şimdiye kadar daha iyi bir sunum izlemedim.
Daha detaylı bilgi için adres AgainstTCPA

Kevin Mitnick: Soru / Cevap

anonim

Internet'e geri dönen Kevin Mitnick, slashdot.org'da sorulan soruları cevaplıyor. Yazıda ilginç soru ve cevaplar yer alıyor.. http://slashdot.org/article.pl?sid=03/02/04/2233250

Windows 2000’de bir açık daha

pulsar

Microsoft bu ay içerisinde 2. defa, DoS saldırısına yol açabilecek güvenlik açığı uyarısında bulundu.
Microsoft’tan yapılan açıklamada, Windows 2000 Server’daki yeni açığın ‘Denial of Service’ saldırısına yol açabileceği vurgulandı. Windows 2000 Server’ın yanı sıra Advanced Server ve Datacenter’ı da etkileyen açık, Kerberos servisindeki bellek ‘sızmasından’ kaynaklanıyor. Kerberos diğer bilgisayarlardan gelen isteklerin onaylanmasıyla ilgili bir yöntem.
Konuyla ilgili güvenlik duyurusunu müşterilerine gönderen Microsoft, gerekli yamayı da çıkardı. Yeni açığın Defcom Labs tarafından ocak sonlarında keşfedildiği belirtildi.
Way be adamların hataları bile endüstri standardı?!