Web Servisleri Güvenliği: Evrim Geçiren Tehdit Modeli

0
FZ
Gene bir makaleye gönderme, bu sefer Yahoo! şirketinin baş bilimadamı Udi Manber'in IEEE Symposium Security and Privacy etkinliğinde söyledikleri...

\r \r Özetlemek gerekirse Udi Manber gelişen web servisleri ile birlikte Internet üzerinden gerçekleştirilen güvenlik ihlallerinin de farklılaştığını, küçük küçük ama çok sayıda gerçekleştirilen saldırıların esas problemi oluşturduğunu ve bunlara çözüm bulunması gerektiğini söylüyor.

\r \r Manber'in dikkat çektiği enteresan konulardan biri de puanlama (rating) sistemleri, diyor ki "eğer bir oyun, bir site ya da bir ürünü puanlıyorsanız, insanlar bu puanlama mekanizmasına gizlice müdahele edip belli bir maddeyi en yüksek puana çıkarmak için çılgınca çaba harcıyorlar!"

İlgili Yazılar

GMAIL güvenlik açığı

mos

Anet haber sunucusu, son_dakika ve internet.guvenlik gruplarına bu akşam yollanan habere göre İsrail web sitesi Nana, Google'ın beta aşamasındaki eletronik posta hesabı Gmail'in çok önemli bir güvenlik sorununa sahip olduğunu açıkladı. Buna göre yalnızca kullanıcı ismi ile, herhangi bir şifre gerektirmeden bir Gmail hesabını tam yetkiyle ele geçirmek mümkün.

SHA-1 Kırıldı!

tongucyumruk

Elektronik bankacılık uygulamalarından dijital imzaya, kablosuz ağ güvenliğinden binlerce web sitesinin kullanıcı veritabanlarına kadar güvenliğe ihtiyaç duyulan birçok noktada kullanılan ve günümüze kadar başta ABD olmak üzere birçok ülke tarafından "resmi" harmanlama (hashing) algoritması olarak kullanılan SHA-1 Çinli bir bir bilim insanı ve ekibi tarafından kırıldı.

Internet Explorer çapraz-site yönlendirme güvenlik açığı

Challenger

Olympos.org' da yer alan bu habere göre Internet Explorer' da uzaktan kod çalıştırmaya imkan tanıyan bir açık ortaya çıktı. Açık Internet Explorer'ın HTTP yönlendirmelerini işleyişinde yer alıyor. Uzaktaki bir kullanıcı özel bir HTML yaratarak hedef sistemde yüklendiğinde (Local Comuter zone ayarlarında) istediği kodu çalıştırabiliyor.

İşin asıl önemli noktası açığa bir yama çıkmayışı.
Not: Yamaya yamaya daha nereye kadar?

Editörün Notu: Daha bu sabah sözde Citibank´tan bana bir e-posta geldi, şu adrese girin ve gerekli düzenlemeleri yapın aksi takdirde sisteme erişiminiz engellenecektir şeklinde. E-postayı incelediğimde fantastik bir URL kurgulamış olduklarını gördüm ve kimbilir kaç kişinin Outlook+IE ortamında buna tıklayarak zarar göreceğini düşünerek hayıflandım.

Keylogger üreticisine dava... Ama neden?

tongucyumruk

ABD ordusunda çalışıyorsanız, eşinize güvenmediğiniz için bilgisayarına keylogger yüklediyseniz ve boşanmanızın ardından durum ortaya çıkınca hiç tahmin etmediğiniz tazminat davası ile karşı karşıya kalırsanız ne yaparsınız?

Tabiiki her vatansever Amerikan vatandaşının yapacağını: Kanadalı şirketi dava edersiniz.

Eşeği Kafese Sokmak

tongucyumruk

Tamam kabul ediyorum biraz saçma bir başlık oldu ama Türkçe yazınca böyle bir hal aldı. Aslında konuya uygun bir başlık. Konumuz Linux altındaki en popüler P2P dosya paylaşım programı mlDonkey'i chroot ortamında çalıştırarak sistemimizi güvenceye almak...