Windows ve Güvenlik - Daha Doğrusu: Micros~1 ve Güvenlik

0
cayfer
Windows işletim sistemlerinin güvenlik sorunları bitmez! Çünkü "güvenlik" kavramı Micro~1'un umurunda değil! "Güvenlik", tasarım süreçlerinin bir parçası değil.

Neden mi?
Son günlerde yaşadığım iki olay sonunda bu şirketteki yazılım tasarımcılarının güvenliği umursamadığına karar verdim. Bence Micros~1 ürünlerindeki güvenlik açıkları programlama hatası ya da "bug" falan değil! Tasarımın bir parçası!

Yaşadıklarıma gelince... İlki MSN Messenger ile ilgili.

Hasta ruhlu bir vatandaşımız (büyük olasılıkla kendini büyük "cracker" sanıyordur) üniversitemizin kurucusunun e-posta adresiyle kendine bir MSN Messenger hesabı açmış, sonra da bir şekilde elde ettiği bir sürü MSN üyesinin bu adresi "Contact List"lerine eklemesini sağlamış. Sonra kimbilir neler dedi bu insanlara.

Bu durumu farkedince, MSN Messenger hesabı nasıl açılıyor bir göreyim dedim. MSN kullanıcı kodu olarak e-posta adresinizi ya da MSN Passport hesabınızı kullanma şansınız var. E-posta adresini kullanmayı tercih ederseniz bir e-posta adresi giriyorsunuz. Ardından kendiniz hakkında bir kaç birşey girdikten (ki bunlar isteğe bağlı) sonra ve (burası önemli) ekranda sadece bir insan tarafından algınabilecek bir karakter dizisini giriyorsunuz ve ANINDA; evet ANINDA, MSN Messenger hesabınız aktif hale geliyor.

Beyefendiler kendi güvenliklerini düşünerek o deforme edilmiş karakter dizisini (Obfuscated string) algılayıp girmenizi istiyorlar ama başkalarının güvenliği umurlarında değil! Girdiğiniz e-posta adresiyle artık bir MSN Messenger kullanıcısısınız. Aslında MSN'de sizi bu isimle görenler ismin yanında bir de "not confirmed" gibi bir laf görüyorlar ama acaba kaç kişi bunun anlamını biliyor?

Kısacası bill_gates@yahoo.com, basbakan@tbmm.gov.tr diye bir MSN hesabı alabilirsiniz. Sonra da insanları işletebilirsiniz.

Bu arada beyan ettiginiz e-posta adresine bir mesaj gönderiliyor ama sadece haber vermek ve reklam yapmak amacıyla.

Oysa yapmaları gereken tek şey o gönderdikleri e-posta mesajına bir hesap aktivasyon kodu işlevi eklemek. Ama umurlarında değil! Bence tek kaygıları bir an önce sizi MSN Messenger servisine alıp reklamları gözünüze sokmak!

Onların kendi güvenliği önemli ama başkaları ne halleri varsa görsünler...

İkinci ihtişamlı Micros~1 uygulamasına gelince...

Varsayın ki 2. Dünya savaşında Avrupa ana kıtasına paraşütle ajanlar gönderiyorsunuz. Ajanların ellerinde birer telsiz var. Kendilerine saat başlarında 194.3 MHz'den yapılacak yayınla görev talimatlarının verileceğini bildirdiniz. Doğal olarak bu ajanların telsiz sessizliği kuralına kesinlikle uymaları ve kendi telsizleriyle yayın yapmamaları gerekir. Bunu da ajanlarınıza sıkı sıkı tembih ettiniz.

Ajanlar ana kıtaya indiler. Saat başlarında telsizlerini önceden kararlaştırılmış frekanslara ayarlayıp talimat bekliyorlar. Ancak bir nedenle talimat yayını yapılamıyor. Ajanlardan biri, talimat yayınını alamayınca telsizini kullarak; o kararlaştırılmış frekanstan "Ben ajan XYZ, yayını alamadım. Bana 194.3 MHz'den talimat verecek kimse var mı?" diye sorarsa neler olur?

İşte Micros~1 Wi-Fi yazılımı aynen bunun eşdeğerini yapıyor! Ofisinizde SSID'si yayınlanmayan bir Wi-Fi ağ kullanıyorsunuz diyelim. Bir gün, iş seyahati nedeniyle havalalanına gidiyorsunuz ve beklerken Wi-Fi kullanmak üzere diz üstü bilgisayarınızı açıyorsunuz. Bilgisayarınızın Wi-Fi arabirim yönetimi Micros~1 işletim sistemi tarafından üstlenilmiş durumda (Brrrrr... birden ürperdim). Bu yazılım etrafta bir Erişim Noktası (Access Point) arıyor. Diyelim ki bulamıyor! Olur a... O havaalanında Wi-Fi servisi olmayabilir.

Ne beklersiniz? "Wi-Fi ağ bulunamadı" mesajı falan değil mi? Yooo... o kadar basit değil! Bilgisayarınız öncelikle Wi-Fi arabiriminizi kullanarak en son bağlanmış olduğunuz Wi-Fi ağının adını yayınlayarak "bu ağa servis veren var mı?" diye soracak. Kardeşim! Etrafta bir erişim noktası servisi bulamayınca sus bekle; değil mi? Hayır! Etrafa bir SSID yayınlıyor ki, buna servis veren birisi çıksın. Aynen, kendi telsizinden yayın yapıp talimat isteyen salak ajan gibi.

Bu bir yazılım hatası, açığı, "bug" falan değil! Bu resmen bal gibi bir tasarım hatası ve umursamazlık. Bir kapı zili düşünün ki çalındıktan sonra bir dakika içinde kapı açılmazsa "Anahtar paspasın altında" diye anons yapıyor!

Görüşler

0
ttk
Haberi görünce önce yüklenmeyelim M.soft'a bu kadar yazacaktım ama okuyunca hakvermemek elde değil.
MSN'de bahsettiğiniz durum gerçekten berbat. En azından bir kişi var çevremde bu durumdan dolayı başı derde giren. Resmen sorumsuzluk.
İkincisi de en az birincisi kadar berbat bir durum. Ne desek boş. Önemli olan kendilerinin ve diğer satıcıların güvenliği ve hakları.
0
anonim
"Not Confirmed" yazisinin anlamini bilmemek maille gelen zip dosyasinin icindeki .exe'yi calistirmakla ayni sey bence. Microsoft uzerine duseni yapmis, hem verdigi hizmeti kullanilabilir kilmis hem de kullaniciyi uyarmis. Bence bu konu kisisel "security awareness" icine giriyor. Kullanicilarin oradaki yaziyi gorup guvenilirligini dogrulamadan o kisiyle sohbet etmeleri kendi problemleri.

Kablosuz aglarla ilgili guvenlik sorununu pek anlayamadim. SSID'yi broadcast etmeyi bir guvenlik sorunu olarak gormuyorum. Microsoft oraya "ag yakindaysa otomatik olarak baglan" tarzi bir secenek koymus zaten. Bu ozelligi kullanmamak kisisel bir secim. Ayrica SSID saklamak diye bir sey soz konusu degil. SSID'yi bulmanin yaklasik 8 degisik yolu var kullanilan onlemlerle en fazla 4 tane yonteme karsi saklanmak mumkun. Guvenligi saklanma uzerine kurmak yerine WPA2 yada VPN uzerinden erisim kullanmak daha akillica olacaktir.

Bunun disinda, sifreleme kullanilmayan ad-hoc networklerle ilgili bir sorun mevcut. Bu tarz baglanti zaten tavsiye edilen bir kullanim olmadigi icin bahsedilen sorun bence onemli degil.

Microsoft'a saldirmadan once konu hakkinda daha ciddi arastirma yapmak akillica olabilir.

0
acemi_
Microsoft uzerine duseni yapmis, hem verdigi hizmeti kullanilabilir kilmis hem de kullaniciyi uyarmis.

Microsoft üzerine düşeni yapmış değil. Girilen e-mail'i doğrulatmak için e-mail adresine bir doğrulama mesajı gönderip bunun sonucuna göre hesabı aktif hale getirebilirdi.

Ya da e-mail adresi istemez, sizden bir lakap seçmenizi ister ve bu alanın aynı zamanda e-mail hesabı gibi algılanmasını engellerdi.

0
anonim
Bence de Micro~1'a saldırmadan önce çevremizdeki benzer örneklere bakmak gerek.

- "inşaata alanına girmek tehlikeli ve yasaktır" tabelası haricinde herhangi bir önlem almamış inşaat alanları

- "çevreye verdiğimiz rahatsızlıktan dolayı özür dileriz" diyerek çevreyi rahatsız etmeye devam edenler
0
cbc
yanlış yapılan işler yerine düzgün yapılanlarını örnek almak daha iyi noktaya varmayı sağlayacaktır.

google groupstan herhangi bir e-posta adresi ile hesap açma prosedürüne bakarsanız daha sağlıklı ve alınması gereken bir örnek olduğunu göreceksiniz.
0
anonim
Google'in kullanici stratejisi ile Microsoft'unki tamamen farkli. Google, sistemini kullanici iliskilerini taban alarak kurmus, bu nedenle davet usulu(gerci simdi cep telefonu numarasi kullanarak ta kabul ediliyor) hesap yaratmaya izin veriyor. Microsoft ise "en cok nasil musteri toplayabilirim"' diye yola cikmis. Bende turkce msn yok o yuzden bilmiyorum ama turkce msn kullaniyorsaniz ve orada "not confirmed" yazisi cikiyorsa bu bir yerellestirme sorunudur. Eger bu yazi turkce cikiyorsa ve kullanici bile bile karsisindakinin kimligini dogrulamiyorsa bu tamamen bir kullanici sorunudur.

Domain'i bloklatabilme ozelligi eger uygulanirsa daha cok sorun yaratir bence. Alan adlari sahiplerini gunden gune degistirebiliyorlar. Her ulkenin farkli sorumlulari var. Merkezi bir sekilde bunlari yonetmenin mumkun oldugunu dusunmuyorum.

XSS tarzi seylerin fazlaca populer oldugu bir cagdayiz. Sorunlari kullanicilarin uyanmalari disinda bir yontemle halletmek mumkun degil. Siz ekstra guvenlik onlemi koydukca durumu karmasiklastirip insanlarin daha rahat kanmalarina sebep oluyorsunuz. 10 sene onceki email guvenligiyle simdigi arasinda pek fark gormuyorum. Bu konu IM icin de gecerli.

Ille de im uzerinden guvenli konusmak istiyoruz diyorsaniz sifreleme pluginiyle beraber gaim kurun key fingerprint'lerinizi de telefonla onaylayin. Benzer bir yontem kullanmadan karsinizdakinin kim oldugunu bilmeniz zaten mumkun degil. Eger bir sirketseniz ve ticari bir cozum ariyorsaniz pgp universal 500'i tavsiye ederim. Bizim sirkete basarili bir kurum yaptik. Guzel calistigini soyleyebilirim.

Wireless ile ilgili sorunun buyuk kismi microsoft'tan kaynaklanan bir sorun degil ayrica yeni cikmis bir sey hic degil. Schmoocon'daki sunum, sunumu yapan kisinin soyledigi gibi "lame".

Uc sene once de linux-microsoft ayrimi yapmadan fakeap vs. yontemlerle insanlarin size baglanmasini saglayabiliyordunuz. Linuxta network kartini bir ap'ye baglanmak icin ayarladiginizda baglanmaya calismiyor mu sanki? eger ap'yi mac adresi ile sabitlemediyseniz sadece ssid'ye baglanmasini soylediyseniz kim olduguna bakmaksizin baglaniyor tabii ki. bu nedenle hotspotlarin yaygin oldugu ulkelerde bu oldukca sik kullanilan bir avlama yontemi.

microsoft bundan 4 sene once sitesinde ad-hoc networkler icin "In most cases, for optimum protection and security, after your ad hoc network is running properly, you should return to Wireless Network Properties and specify WEP settings." diye yazmis. Eger ad-hoc baglantida wep kullanmaniza ragmen baskasi ayni isimde bir ap yarattiginda makinaniz ona sorgusuz sualsiz baglaniyorsa sorun ciddilesiyor bence. Ama bildigim kadariyla durum bu sekilde degil.

Microsoft buyuk bir sirket. Guvenlik sorunlarinin olmasi fanatik bir sekilde saldiriya gecmeyi gerektirmemeli. Bu haberde begenmedigim taraf o zaten. Sanki Java VM icin exploitler etrafta dolasmadi mi, sanki Oracle icin her gun yeni bir sey cikmiyor mu? OpenSSH'i patchlememiz lazim diye kivrananlar kimlerdi acaba?

OS X kullanan arkadasimizin "Microsoft'un kablosuz ag yonetim sistemi midemi bulandiriyor" sozunu okuyunca yaklasik 1 ay once makinelerin bir cogunun OS X 10.2 oldugu bir basimevin'in agiyla ugrasirken 10.2'nin WPA desteginin olmadigini anladigimda hissettiklerimi hatirladim.

Ayrica cok muhtesem guvenlikli kablosuz ozelliklerine sahip olan linux'un bluez'undaki remote exploitler kisiler microsoft kadar buyuk olmadigi icin pek dikkat cekmiyor galiba.

Ms - Linux tarzi bir tartismaya sebep vermemek icin Microsoft'a bir sempati beslemedigimi ekleyeyim.

0
bm
Katiliyorum. Ustelik:

Ms - Linux tarzi bir tartismaya sebep vermemek icin Microsoft'a bir sempati beslemedigimi ekleyeyim.

Insanlarin bunu demek zorunda hissetmeleri, doldurusun ne boyuta geldigini gosteriyor. Genelde 'taraftar' arasinda tabii. Bir alinti yapayim size:

I think it harms Linux perhaps less than most systems because Linux security has been better than many rivals. However, even the best systems today are totally inadequate. Saying Linux is more secure than Windows isn't really addressing the bigger issue--neither is good enough.

Kim mi demis? Alan Cox. Ustelik bunun uzerine yukarida isaret ettiginiz 'son kullanici kolayligi' ve 'bilgi islem muduru cehaleti' vs. faktorler de biniyor. Propaganda bir tarafa bu konularda ciddi problemler var.

0
cbc
yazıda geçen 2 senaryo da ev kullanıcılarını ilgilendiren seçenekler olduğunu, yüksek güvenlik ölçütleri ile karşılaştırmaya gerek olmadığını düşünüyorum.

msn senaryosundaki sorun mümkün olduğu halde engellenmeyen bir davranış. microsoft'un yolladığı e-postaya bir link eklemesi geçekten basit bir çözüm.

buna nispeten benzer başka bir problem ise e-posta sistemindeki rahatsızlık. her e-posta adresinden başka bir e-posta adresine birşeyler yollamak mümkün fakat bunun çözümünün tüm dünyada uyarlanması bu kadar basit olmadığından "çabuk" bir çözüm olası değil. smtp sunucularının yolladığı e-postaları imzalaması hoş bir çözüm ama herkesten bu bir anda beklenemiyor (gmail'den gelen e-postaların headerlarına bakınız). bunun yaygınlaşması evrim gibi yavaş yavaş ve zamanla olacak.

bu iki bilgi ışığında, bilinçsiz kullanıcıyı korumak yönünde, çok basit olan bir adımın atılmadığı ortada. bu durumda gerçekten "daha çok reklam gösterelim" hedefi daha inanılır kılınıyor.
0
neurorebel
"Not Confirmed" yazisinin anlamini bilmemek maille gelen zip dosyasinin icindeki .exe'yi calistirmakla ayni sey bence.

Peki
Kablosuz aglarla ilgili guvenlik sorununu pek anlayamadim. SSID'yi broadcast etmeyi bir guvenlik sorunu olarak gormuyorum.

Bonibon
Bunun disinda, sifreleme kullanilmayan ad-hoc networklerle ilgili bir sorun mevcut. Bu tarz baglanti zaten tavsiye edilen bir kullanim olmadigi icin bahsedilen sorun bence onemli degil.

Kristal kola
0
silentstorm
Türkiye'de bir çok insan ingilizce işletim sistemi kullanıyor. Kimileri ingilizcesini ilerletmek, kimisi elinde imkan olmadığı için, kimisi de tamamen isteyerek ve rahat. İlk iki durumdaki insanların "not confirmed" yazısını bilememeleri maalesef "so-called self security awareness" kavramına pek girmemekte kanımca. Ayrıca çok güzel sıkışabilen bazı programları zipleyip göndermek gibi alışkanlıkları olan arkadaşlarım var. Bunun zip içinden çıkan exe ile olan benzerliğini pek göremiyorum (ve evet, ne idüğü belirsiz ziplerden çıkan biçimsiz virüslü exe lerin kastedildiğini de biliyorum). Neredeyse bütün forum ve kayıt alınan yerlerde mailin onaylanması işlemi bu kadar yaygınlaşmışken ve bence doğru bir uygulama iken, "micros~1'in ben yaptım oldu" anlayışına anlam vermek te pek mümkün değil. Bu yüzden ben de micros~1 un bir link koyup daha mantıklı işler yapıyor olmasını dilerdim. SSID saklanamıyor olabilir ama; saklayamıyoruz diye ortalığa yaymanın bir manası olduğunu düşünüyorum sırf erişecek bir ağ bulamadığı için. Siz hiç arkadaşınızın telefonu kapalı olduğu bir anda iletmeniz gereken mesajı sırf telefon dinlemek mümkün diye uçaktan bildiri şeklinde şehrin üzerine atıyor musunuz?
0
Tarık

Halbuki dün ntv cnbc-e de micirsoft türkiye genel müdürü tam tersi şeylerden bahsediyordu.

Çağlayan Arkan:

"güvenilir it şirketlerinin istatistikleri micirsoft'un daha güvenli olduğunu gösteriyor", " micirsoft yazılım tasarımı aşamasında güvenliği ön planda tutmaktadır " , " tüm açıkları zaten biz kendimiz tespit etmekteyiz, 3 gün gibi kısa sürelerde yama yayınlıyoruz "

programda 3 kişi vardı. sanıyorum diğer iki kişi linuxcu olarak gelmişlerdi. ama nedense sunucu beyfendi micirsoft müdürüne daha fazla söz hakkı verdi.

bill gates in türkiyeye gelecek olması, devletin micirsoft'la kazan-kazan oyunu oynaması, herkese bilgisayar kampanyasında "windoze starter edition" verilmesi falan derken. yine başka başka dolapların döndüğü ortada.

0
etguler
Kişisel tespitime göre Türk MSN Messenger kulanıcılarının %90'ı bilgisiz bilgisayar kullanıcılarından oluşuyor.

Yine kişisel analizime göre: Bu MSN Messenger kullanıcılarının en fazla %60'ı söz konusu ismin yanındaki "E-posta Adresi Doğrulanmadı" yazısının varlığından haberdar olacaktır. Bu yüzde altmışın en fazla %50'si bu yazının ne olduğunu merak edecektir. Bu yüzde ellinin en fazla %40'ı bu yazının ne anlama geldiğini araştırmaya niyetlenecektir. Bu yüzde kırkın en fazla %20'si ne olduğunu araştıracaktır. Bu yüzde yirminin de en fazla %25'i sonuca ulaşacaktır.

En nihayetinde bilgisiz Türk MSN kullanıcılarının sadece yüzde 0.54'ü ilgili kişiyi engelleyecektir. İnterneti yalnızca partner bulmak, koca bulmak, oynaşmak, fingirdemek için kullanan ortalama MSN kullanıcısından daha fazlası beklenemez.

Sonuçta Türk MSN kullanıcılarının tamamına yakınıyla Cem Uzan, Bülent Arınç, Tüpraş Genel Müdürü ya da TBMM idare amiri hattâ Zeki Müren olarak konuşmak mümkündür. Microsoft'un Passport ağına herhangi bir sahte e-posta adresi ile kaydolup MSN ağına giriş yapmak bu kadar kolay olmamalı. Doğrulama iletisi göndermeyi akıl edecek kadar zekâ parıltısı taşıyan saygıdeğer Passport yöneticileri, kullanıcının doğrulama yapmadan MSN ağına erişmesini engellemenin önemini idrak edecek kadar gri hücrelerini çalıştırmalılar, diye düşünüyorum.

Kablosuz ağ konusunda ise fazla söyleyecek sözüm yok. Kablosuz ağlara iBook ile (yani Mac OS X) bağlanıyorum. Windows'un kablosuz ağ yönetim sistemi midemi bulandırıyor.

Saygılarımla.
0
ether
iki adet e-mail hesabımla msn messenger kullanmak durumunda kalmıştım. ikisi de hotmail servisi değildi, bir tanesi kendi servis sağlayıcım vasıtasıyla kullandığım ve bir projemizin alan adına ait e-mail hesabım, diğeri de gmail hesabımdı. ikisini de passport servisine kaydettirdim. hemen msn messenger'ı kullanabileceğimi ancak onay kodu gelmeden diğer kullanıcılara görünen ismimi değiştiremeyeceğimi öğrendim.

ama işin kötü tarafı, aradan iki gün geçmesine rağmen iki mail hesabıma da onay için herhangi bir mailin gelmemiş olmasıydı. bunun üzerine iki hesabımdan da microsoft destek birimlerine durumu bildiren yazılar yazdım ve el ile hesaplarımı aktif hale getirdiler.

kayıt işlemi tamamlanır tamamlanmaz msn messenger servisini kullanabilmek iyi bir hizmet ancak kayıt işleminin mail adresinin doğruluğunun onaylaması işleminden sonra bitmesi daha doğru gelmişti bana, hala da böyle düşünüyorum.

bunun yanında bir arkadaşım kendi ismi olan alanadına ait bir mail hesabıyla msn messenger kullanıyordu, kayıt işlemini onay kısmı da dahil olmak üzere tamamlamıştı. ancak alan adının süresi dolunca ve yenilemeyince alan adı ve kullandığı mail hesabı kullanımdan kalktı ancak arkadaşım hala bu msn hesabını kullanıyor. ortada böyle bir alan adı ve mail hesabı yok, ancak hizmet devam ediyor. Bu da ilginç bir detay.
0
sefalet
Şifre unuttum seçeneğini seçtiğiniz zaman da altı karakterli bir kod girmeniz isteniyor, güyya deneme yanılma yolu ile şifre kırmaya engel olmak için ama maşallah halen istediğiniz kadar şifreyi denemek mümkün.Hesabın kitlenerek kullanım dışı kalması önlemi de pek bir işe yaramıyor.Ama Microsoft'un güvenlik önlemlerine bakarsanız genel kullanıcı kitlesinin olası yüzeysel kural ihlallerini önleyici nitelikte uygulamalar yaptıklarını görmek mümkün.Genel kullanıcı kitlesinin dışında kalan birileri biraz daha kurcalayarak önlem niyetine konmuş uygulamaları geçebiliyor.Güvenlik felsefesi toplu kıyımları önle gerisi münferit olaylardır gibisinden çalışıyor sanki.

0
anonim
Öyle olduğuna nereden kanaat getirdiniz bilmiyorum ama burada amaç deneme yanılma yolu ile şifre kırmaya engel olmak değil; scriptlerle yapılan brute force taramalarını engellemek.
0
sefalet
Evet şifre unuttum seçeneğindeki karakter sorgulamasının sebebi direk olarak şifreyi kırmayı önlemeye yönelik değil.Ama betikler ile "brute force" da çok farklı bir işlem değil.Bunun yanında hesabın bir kaç denemeden sonra kullanım dışı kalması halen işe yaramaz durumda.
0
conan
Bir duzeltme:

SSID'yi bulamadigi zaman wireless cardin kendisi en son baglantigi SSID'yi bagirmaya basliyor. Yani aramiyor, kendisi o SSID'mis gibi davraniyor. (ad-hoc)

Hatayi public yapan Simple Nomad'in Shmoocon'da yaptigi sunumu bu linkte bulabilirsiniz.

Burada da advisory...

0
towsonu2003
hahahahaha sonunda esprili bir fm haberi.
0
mow
Benimde bu e-posta onay olayından dolayı başım çok derde girdi, bir oyun portalı işletiyorum, online oynanabilen ve sunuculara giriş için kullanıcı adı+şifre isteyen oyunlar (wow,knightonline,ultima online,counter-strike,battlefield). Bir süre önce birkaç çakal admin@(benimsitem).com u alıp oyuncuların hesap bilgilerini çalıyorlardı, "admin" i kapatıyordum "yonetici" alıyorlardı, onuda alıyordum başka birşey alıp gene çalıyorlardı, en az 100 kişinin hesabı sırf bu nedenle gitti, ne kadar sitede "msn den şifrenizi istemeyiz, isteyene vermeyiniz" desekte çözüm olmuyor maalesef. En azından domainin sahibi olarak ben msn e "bu domainden msn hesabı alınmasın" diyebilmeliyim, bunu yapsalar zaten problem kökten çözülecek.
0
koraypeksayar
Arkadaşlar selam, (Bu arada bu ilk yazım daha doğrusu yorumum)

Her seferinde MS'e çok yükleniyorum diyorum ama kendimi tutamıyorum. Kusura bakmayın.

Window$ XP çok güvenliymiş diyorlar. Kullanıcı profilleri varmış o yüzden virüsler sadece bulaşanın hesabını etkiliyormuş vs... Vallahi külliyen yalan...

Buyrunuz benden de bir katkı: (Belki de bu açığı zaten biliyorsunuzdur)

Her PC toplamayı beceren bilgisayarcı artık işletim sistemi de kurmayı beceriyor malumunuz. Bkz. bir diyalog:

- PC'si Toplanan: Abi burda bi şifre girin diyor o ne ki ?
- Bilgisayarcı: Ha o mu ? İşte olur da başına bişiy gelirse cihazın CD'yi sokuyorsun, o şifreyi giriyosun, kurtarıyo aleti.
- PT: Hmm iyiymiş abi. Ne versek ki ?
- B: Valla bütün müşterilerim unutuyor diye ben boş bırakıyorum.
- PT: Haklısın abi. Ben de unuturum. Boş geçelim, akıllıca !

BIZZT ! (Erman hoca araya girer)

O boş şifre XP'de kullanıcı listesinde görünmeyen ama her nasılsa NT standardı (Northern Telecom mu desek Bill ?) ile tanımlanan her şeyi yapmaya yetkili Administrator kullanıcısının şifresi...

Artııı bu kullanıcının girmeye ve okumaya yazmaya hakkı olan varsayılan disk paylaşımları var, kaç bölüm varsa diskte o kadar yani C$ ila Z$ gibi.

Alalım bir non-XP kurulu PC'yi bu XP kurulu PC'ye ağdan bakalım. C$ vs hepsi yerli yerinde ve apaçık. SAMBA'nın smbclient'ı iş görür.

Eh bu durumda girelim bir XP makineye hackleyelim. MS burada işte güvenlik olayını çözmüş(mü?). XP kullanarak bu paylaşılan kaynaklar görünmüyor ! :) Ama \\\\makine\\C$ diye pat diye bağlanılabiliyor.

Windows'un Modern Tarihi boytunca bu NetBIOS zaten başlarına bela... Acaba IBM günlerinden "esinlenme" olduğu için mi dersiniz ?

Bence "3 Program Çalıştırmakla Kısıtlı Windows" yapacaklarına bu basit hataları kapatmalılar artık.

Pes diyorum ve yorumlarınızı bekliyorum.

Sevgiler, saygılar.
0
anonim
Ağzınız güzel laf yapıyor ama keşke attıklarınız da doğru olsa, en azından yazmadan önce bir deneseniz..
Administrator şifresi boş olan bilgisayarın paylaşımlarına ağ üzerinden Administrator olarak bağlanamazsınız, C$ Z$ da buna dahildir.
0
koraypeksayar
Siz nasıl isterseniz. Yanlış yazmış olabilirim.
Peki boş olmasın da basit şifre olsun da uzlaşalım...

Kullanıcının bunu görememesi ve "registry"ye müdahale edecek gücünün olmaması başlı başına ayrı bir açık değil mi.
0
ttk
Yazılanların tamamına bakınca, MSN'deki adres kandırmacasına imkan tanıyan sistemle, insanların "itle dalaşmak yerine çalıyı dolaşmak" tercihine zorlandığı kanaatine vardım.
Yani MSN için almışsınız bir hotmail veya Msn hesabı onu kullanıyorsunuz ama bakıyorsunuz ortada böyle bir durum var. Sizden önce sizin çevrenizde tanınan mail adreslerinize bir pislik bulaşmasın, temizlemekle uğraşmak zorunda kalmayın diye koşup bu adreslerinizin her birisi için birer MSN hesabı alıyorsunuz. MSN'nin kayıtlı kullanıcı sayısı bir güzel artıyor.
Maksat bu olmayabilir ama sistemin yapısından dolayı iş bu noktaya varıyor. Özellikle böyle olması planlanmışsa tasarlayanın da yapanın da canı çıksın demekten başka bir şey gelmiyor elimden.
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Rapid7, Metasploit’i Satın Aldı

anonim

Türkiye satışlarını, Endersys’in yaptığı önde gelen “bütünleşik zayıflık tarama sistemi” üreticisi Rapid7, dünyanın en geniş exploit veritabanına sahip açık kod “penetration test framework” Metasploit projesini satın aldı.

Internet Ortamındaki Kişisel Bilgisayarlar İçin Temel Güvenlik Tehditleri

anonim

Bilgisayarı karıştırırken bir kongre için yazıp daha sonra göndermekten vazgeçtiğim aşağıdaki tarama/derleme türündeki makale özeti gözüme çarptı. Aslında daha çok başlangıç düzeyindeki bir makalede olsa bilgisayarın harddiskinde tozlanmasına gönlüm razı olmadı. Burada en azından yeni başlayan arkadaşlar için bir kaynak olabileceğini düşünüyorum.

JEdit ActiveX Nesnesi Veri İfşa Açığı

anonim

Türkiye'deki bir çok bankanın kullanıcılarını tuş kaydedici (keylogger) ve truva atlarına karşı korumak için hizmete sunduğu JEdit objesinde veri ifşa açığı bulundu. Bu açık kullanılarak kurumsal ağların güvenlik yapılarını aşmak için önemli bilgilere erişilebiliyor.

IstSec - Istanbul Güvenlik Konferansı

onal

IstSec - Istanbul Güvenlik Konferansları- Türkiye’de eksikliği hissedilen ürün/teknoloji bağımsız güvenlik anlayışına katkı amacıyla düşünülmüş bir etkinlik serisidir.

IstSec etkinliklerinde konusunda uzman kişiler tarafından yapılacak uygulamalı sunumlar eşliğinde katılımcılar merak ettiği konulara cevap bulmakla kalmayıp uygulamalı olarak görebilecekler.

Yılda iki kere yapılması planlanan IstSec etkinliklerinin ilki Microsoft, RSA ve ADEO’nun sponsorluğunda Microsoft Türkiye ofisinde yapılacaktır.

OpenBSD, chroot, overflow, güvenlik, vs.

FZ

Sinan "noir" Eren'in OpenBSD kurcalama (hacking :) bağlamında ele aldığı ve son zamanlarda FM'de de güvenlik pratiklerinden biri olarak işlenen chroot olgusunda (Apache ve chroot, eDonkey ve chroot) problem yaratabilecek teknikleri sergilediği Smashing The Kernel Stack For Fun And Profit yazısının Phrack'in derinliklerinde kaybolup gitmesine gönlüm razı olmadı :-P