Yazılar

Seagate kablosuz hard disklerde gizli arka kapı

seagate-kablosuz-hard-disklerde-gizli-arka-kapi Seagate kablosuz hard disklerde gizli arka kapıAraştırmacılar Seagate kablosuz hard disklerde keşfedilen üç kritik zayıflık sayesinde cihazlara izinsiz erişim sağlamak mümkün. Üstelik gizli arka kapıyla.

Kablosuz Seagate hard disklerin 2.2.0.005 ile 2.3.0.014 versiyon arasındaki firmware yazılımında keşfedilen zayıflıklar kritik seviyede. Açıklardan etkilenen ürünler ise Seagate Wireless Mobile Storage, Seagate Wireless Plus Mobile Storage, LaCie FUEL olarak sıralanıyor.

CVE-2015-2874 numaralı ilk zayıflık Seagate hard diskin tasarımı ile ilgili. Cihaz herhangi bir yerde dokümante edilmemiş bir Telnet servisi bulunduruyor. Bu servise varsayılan hesap olan root ile ulaşılabiliyor. Bu şekilde diskteki tüm dosyalara erişilebiliyor.

CVE-2015-2875 numaralı zayıflık ile varsayılan konfigürasyon kullanılırken hard disk kısıtlanmamış şekilde yetkisiz kullanıcılara dosya indirme hakkı tanıyor. Üstelik bu indirilen dosyalar, dosya sisteminde istenilen yere indirilebiliyor.

CVE-2015-2876 numaralı zayıflık sayesinde varsayılan konfigürasyondayken saldırganlar kablosuz olarak diskin dosya saklanan /media/sda2 kısmına ulaşabiliyorlar. Buraya dosya gönderebiliyorlar.

Seagate açıkları kapatan yamayı kısa süre içerisinde yayınladı. Yayınlanan 3.4.1.105 versiyon numaralı güncelleme kurularak açıklıklar kapatılabiliyor. Seagate gizli arka kapı ve diğer açıklıklar hakkında herhangi bir yorum yapmadı.

Kolumuzdaki güvenlik açığı: Akıllı saatler

kolumuzdaki-guvenlik-acigi-akilli-saatler Kolumuzdaki güvenlik açığı: Akıllı saatlerSon yapılan araştırmalara göre akıllı saatler ortalamanın üzerinde güvenlik zayıflıklarına sahip. Güvensiz kimlik doğrulama, şifreleme ve gizlilik sıkıntıları, çeşitli yazılımsal güvenlik açıkları bu yeni pazarı tehdit ediyor.

Durum öylesi bir hal almış ki şu an için önerilen şey güçlü bir kimlik doğrulama sistemi gelinceye kadar akıllı saatlere araba veya evimizi bağlamamamız yönünde. Diğer yandan tek tehdit evimiz veya arabamız değil. Akıllı saatler yavaş yavaş kurumsal ağlara da bağlanıyor ve bu bambaşka tehditlerin önünü açacak.

Akıllı saatler şimdiden yaşamımızın bir parçası olmaya başladı. Gelecekte kullanımı artacak bu cihazlar yeni tehditleri de hayatımıza katıyor. Akıllı saatlere dair açıklık kategorilerinden bazıları;

Yetersiz kimlik doğrulama ve yetkilendirme: Mobil telefonlarla eşleştirilen akıllı saatlerin hiçbirini iki aşamalı şifre gibi bir önleme sahip değil. Aynı zamanda 3-5 başarısız denemeden sonra hesabı kitlemiyorlar. Bunun anlamı brute force yoluyla basit şifrelere ulaşılabilecek olması.

Şifreleme ile ilgili yetersizlikler: Şifreli iletişim bir akıllı saat için belki en temel özellik. Ürünlerin neredeyse tamamı SSL/TLS şifreleme kullanıyor. Bunların %40’ının ise bulut bağlantısı var ve POODLE saldırısına karşı savunmasız. SSLv2 gibi zayıf cipherlar aktif ve kullanılabiliyor.

Güvensiz arabirimler: Akıllı saatlerin %30’u bulut tabanlı bir web arabirime sahip. Bunların tümü brute force saldırılarına karşı savunmasız durumda. Aynı zamanda mobil uygulamaları da brute force saldırılarından muzdarip. Kullanıcı adı bilinmiyorsa, şifre sıfırlama aşamasında kullanıcı adını belirlemekte mümkün durumda.

Güvensiz yazılım ve donanım: Akıllı saatlerin %70’i firmware güncellemeleri, firmware dosyalarının transferi sırasındaki şifreleme konusunda açıklar içeriyor.

Gizlilik sıkıntıları: Tüm akıllı saatler isim, adres, doğum tarihi, kilo, cinsiyet, kalp atış hızı ve diğer sağlık bilgilerini toplayıp üreticiye iletiyor.

Android telefon ile ATM cihazı hacklemek

android-telefon-ile-atm-cihazi-hacklemek-2 Android telefon ile ATM cihazı hacklemekSiber suçlular ATM cihazlarını hackleyerek akıllı telefon yardımıyla para çekmek için yeni yöntemler keşfediyor. ATM cihazlarına fiziksel olarak bağlanan telefon, uzaktan verilen komutlarla ATM cihazını yöneterek istenilen anda, istenilen şartlarda kartuşlarda bulunan paranın çekilebilmesine olanak sağlıyor.

Bu iş için gerekli olanlar boyutça ufak bir Android çalıştıran cep telefonu, USB kablosu ve USB devre kartı. Bu saldırı tekniği şu an için sadece NCR marka ATM cihazlarında başarıyla çalışıyor. Şu ana kadar NCR’ın haberdar olduğu kadarıyla bu saldırı türü kullanılarak 2 ATM soygunu gerçekleştirildi.

Firma bu gelişmeler üzerine bir firmware güncellemesi yayınlayarak cihazlardaki para kartuşları ile sistem arasındaki iletişimin şifrelemesini iyileştirdi. Güncellemenin diğer bir yaptığı ise bir kere bu versiyona geçildikten sonra geriye dönülememesi. Geriye dönülmesi halinde tekrar güvenlik riski meydana geliyor.
android-telefon-ile-atm-cihazi-hacklemek Android telefon ile ATM cihazı hacklemek
NCR’ın konu ile yaptığı yorum saldırının oldukça ucuz, basit ve etkili olduğu yönünde. Eğer hangi komutları vereceğinizi biliyorsanız ATM’leri hacklemek oldukça basit. ATM cihazlarının halen gelişime ihtiyacı olduğu açık.