Yazılar

Kolumuzdaki güvenlik açığı: Akıllı saatler

kolumuzdaki-guvenlik-acigi-akilli-saatlerSon yapılan araştırmalara göre akıllı saatler ortalamanın üzerinde güvenlik zayıflıklarına sahip. Güvensiz kimlik doğrulama, şifreleme ve gizlilik sıkıntıları, çeşitli yazılımsal güvenlik açıkları bu yeni pazarı tehdit ediyor.

Durum öylesi bir hal almış ki şu an için önerilen şey güçlü bir kimlik doğrulama sistemi gelinceye kadar akıllı saatlere araba veya evimizi bağlamamamız yönünde. Diğer yandan tek tehdit evimiz veya arabamız değil. Akıllı saatler yavaş yavaş kurumsal ağlara da bağlanıyor ve bu bambaşka tehditlerin önünü açacak.

Akıllı saatler şimdiden yaşamımızın bir parçası olmaya başladı. Gelecekte kullanımı artacak bu cihazlar yeni tehditleri de hayatımıza katıyor. Akıllı saatlere dair açıklık kategorilerinden bazıları;

Yetersiz kimlik doğrulama ve yetkilendirme: Mobil telefonlarla eşleştirilen akıllı saatlerin hiçbirini iki aşamalı şifre gibi bir önleme sahip değil. Aynı zamanda 3-5 başarısız denemeden sonra hesabı kitlemiyorlar. Bunun anlamı brute force yoluyla basit şifrelere ulaşılabilecek olması.

Şifreleme ile ilgili yetersizlikler: Şifreli iletişim bir akıllı saat için belki en temel özellik. Ürünlerin neredeyse tamamı SSL/TLS şifreleme kullanıyor. Bunların %40’ının ise bulut bağlantısı var ve POODLE saldırısına karşı savunmasız. SSLv2 gibi zayıf cipherlar aktif ve kullanılabiliyor.

Güvensiz arabirimler: Akıllı saatlerin %30’u bulut tabanlı bir web arabirime sahip. Bunların tümü brute force saldırılarına karşı savunmasız durumda. Aynı zamanda mobil uygulamaları da brute force saldırılarından muzdarip. Kullanıcı adı bilinmiyorsa, şifre sıfırlama aşamasında kullanıcı adını belirlemekte mümkün durumda.

Güvensiz yazılım ve donanım: Akıllı saatlerin %70’i firmware güncellemeleri, firmware dosyalarının transferi sırasındaki şifreleme konusunda açıklar içeriyor.

Gizlilik sıkıntıları: Tüm akıllı saatler isim, adres, doğum tarihi, kilo, cinsiyet, kalp atış hızı ve diğer sağlık bilgilerini toplayıp üreticiye iletiyor.

WhatsApp kullanıcılarını takip ederek gizliliği aşmak

whatsapp-kullanicilarini-takip-ederek-gizliligi-asmak-2WhatsApp inanılmaz bir büyümeyle son yıllarda neredeyse her akıllı telefona girmeyi başardı. Bu da bazı gizlilik risklerini beraberinde getiriyor.

Özellikle Facebooks satın alması sonrası iyice ivme kazanan mesajlaşma uygulaması bugün hem kişisel, hem de kurumsal telefonların büyük bölümünde bulunuyor. Son gelişmeler gizlilik anlamında bazı tasarım hatalarının WhatsApp’ı tehdit ettiğine işaret ediyor. WhatsSpy Public adındaki yeni geliştirilen yazılım sayesinde WhatsApp kullanıcılarının gizlilik ayarlarını bypass ederek takip etmek mümkün. İstenilen kullanıcının online olup olmadığı, hangi zaman aralıklarında online olduğu, durum güncellemesinin ne olduğunu dışarıya gizlemiş bile olsa anlık olarak takip ederek değişimler kaydedilebiliyor.

İşin ilginç kısmı WhatsSpy bunları yaparken hiçbir hack veya illegal yöntem kullanmıyor. Yani aktif olarak başkasının hesabına bir saldırı gerçekleşmiyor. Web tabanlı geliştirilen WhatsSpy Public uygulamasında arabirim üzerinden aktiviteleri tarihler bazında arşiv şeklinde görmek ve karşılaştırmakta mümkün. Uygulamanın çalışması için root edilmiş bir Android cihaz, PHP/Apache/PostgreSQL ve 24/7 çalışan bir sunucu gerekli oluyor. Aynı zamanda ikinci bir WhatsApp hesabı da gerekli oluyor.

Açık istihbarat yöntemleriyle Sosyal Medya veya Internet üzerinden gizlilik ihlalleri çoğalıyor. Bunun yanında WhatsApp gibi özünde kurumsal bilgi güvenliği politikalarına ters bazı uygulamaların gizlilik sözleşmelerinde belirttiği üzere çok sayıda bilgi toplama şansı var. Diğer yandan bu tarz araçlar bu ihlalleri bir adım öteye taşıyıp uzaktan kullanıcıların ne zaman online olduğunu ve başka bazı bilgileri arşivleme imkanı veriyor. Sadece özel sektör değil kamu sektöründe de bu riskler her geçen gün önem kazanmaya başladı.

whatsapp-kullanicilarini-takip-ederek-gizliligi-asmak

ABD için cebimizdeki iPhone’ları hacklemek çocuk oyuncağı

abd-icin-cebimizdeki-iphonelari-hacklemek-cocuk-oyuncagiYaşamını artık Rusya’da sürdüren eski NSA çalışanı Edward Snowden’ın avukatı müvekkilinin “gelişmiş casusluk yazılımı yüzünden” iPhone kullanmadığını açıkladı.

Edward Snowden yayınladığı belge ve bilgilerle istihbarat alanında ABD’nin neler yapabileceğini, NSA’in operasyonel kabiliyetlerini gözler önüne sermeye devam ediyor. Elbette konu NSA gibi dünyanın en güçlü istihbarat teşkilatlarından biri olunca, eski NSA ajanı Edward Snowden’ın nasıl bir telefon kullandığı da merak ediliyor. Avukatı bu konudaki sorulara; iPhone’un uzaktan özel bir yazılımla aktive edilerek casusluk yapılabildiğini ve bu yüzden Snowden’ın basit bir telefon kullandığını açıkladı.

Edward Snowden önceden yayınladığı belgelerde NSA’in DROPOUTJEEP adında bir casusluk yazılımıyla bütün Apple iPhone telefonları izleyerek verilerine ulaşabildiğini ortaya koymuştu. NSA bünyesindeki ANT (Advanced/Access Network Technology) adındaki departman tarafından geliştirilen bu casusluk yazılımı iPhone dışında başka elektronik cihazlardan da veri çekebiliyor.

DROPOUTJEEP casusluk yazılımı ile NSA dünya üzerindeki tüm iPhone’lardan fotoğraf, video vb. veriler, dosya gönderme, sesli mesajlar, rehber, mikrofon, kamera, SMS mesajları ve baz istasyonu bilgilerine erişebiliyor. Tüm bu iletişim hem şifreleniyor hem de gizleniyor. Belgeler gösteriyor ki NSA, DROPOUTJEEP casusluk yazılımını 2008 yılından beridir güncelleyerek kullanıyor.

abd-icin-cebimizdeki-iphonlari-hacklemek-cocuk-oyuncagi_2

Geçtiğimiz yıllarda farklı farklı Çin’li üreticilerin cep telefonlarının da çeşitli verileri düzenli olarak Çin’de bulunan sunuculara ilettiği ortaya çıkmıştı. Bu üreticilerden biri yaptığı açıklamada bu durumun “bir hata sonucu” oluştuğu şeklinde doğruluğu şüpheli bir açıklamada bulunmuştu. Ülkemizde hem Çin, hem ABD’nin veri sızdırdığı cihazlardan bolca kullanılıyor. Üstelik bunun önüne geçerek yerli üretime yönlendirecek bir strateji de henüz yok. Bu noktada en azından askeri personel, kamu personeli, devlet büyükleri ve milletvekillerinin Çin ile ABD üretimi cihazları, kapalı kodlu işletim sistemlerini kullanmasının önüne geçilmesi hayati gözüküyor.

Apple iCloud şifreleri tekrar tehlikede

apple-icloud-sifreleri-tekrar-tehlikedeYeni yayınlanan bir araç yardımıyla herhangi bir iCloud hesabının şifresini kırmak mümkün.

Bu yeni aracın adı iDict. Yaptığı şey ise iCloud hesaplarına brute force yöntemi ile saldırmak. Fakat onu diğerlerinden ayıran özellik Apple’ın ünlülerin özel fotoğraflarının sızdırılmasından sonra sisteme uyguladığı brute force engellemelerini atlatabiliyor olması.

Github üzerine yüklenen araç şu anda serbestçe indirilebiliyor. Aracı yükleyen Pr0x13 kullanıcısı ise bu zayıflığın kapalı bir çevrede bir süredir bilindiğini ve kullanıldığını, kendisinin ise bunu bu araç yardımıyla açıkladığını söylüyor. İşin ilginç kısmı iDict sadece Apple’ın koyduğu brute force korumaları değil, aynı zamanda Apple’ın çift aşamalı doğrulama sistemini de atlatabiliyor.

iDict kendi içerisinde 500 kelimelik temel bir wordlist ile geliyor. Fakat dışarıdan farklı dil, ülke, kültürlere göre wordlist yüklemek mümkün. Çift aşamalı doğrulamaya da güvenemediğimiz bu aşamada en doğrusu iyi şifreler seçip, olabildiğince iCloud e-posta adresimizi paylaşmayarak hesabımızı güvende tutmak.

apple-icloud-sifreleri-tekrar-tehlikede-2

Apple ürünlerini uzaktan kontrol mü edecek?

iphone-uzaktan-kontrol-devlet-abdApple’ın patentini aldığı yeni teknoloji pek çok soru işaretine gebe. Bu teknolojide telefonu taşıyan kişi “hassas bir bölgeye” girdiği zaman uzaktan bir sinyal gönderilerek Wi-Fi, kamera gibi akıllı telefon özellikleri otomatik olarak kapatılabiliyor.

2008 yılında Apple’ın aldığı bu patent (U.S. Patent No: 8.254.902) ABD hükümetinin Apple cihazlar üzerinde uzaktan bazı özellikleri kapatabilmesine olanak tanıyor. Bu durumda geriye sadece hangi sokakların, binaların veya bölgelerin gizli olarak işaretlendiğini belirlemek kalıyor. Siz cebinizde telefonla o bölgeye girdiğinizde telefonunuz bir anda akıllı telefon işlevlerini yitirip sadece çağrı gönderip alan normal bir cep telefonuna dönüşüyor.

Apple’ın konu ile ilgili savunması ise ilginç. Onların belirttiğine göre “hassas bölgelerden” kasıt sinemalar, tiyatrolar, konser yerleri. Fakat bu özelliğin polis veya hükümetler tarafından da sansür amacıyla kullanılabileceğini gizlemiyor.

Bu gidişle yakın gelecekte Android, Ubuntu OS, Firefox OS gibi açık kaynaklı mobil işletim sistemleri mahremiyet konusunda endişeli kullanıcıların ilk tercihi olacak. Elbette Android gibi platform bazlı fragmentasyon, uygulama güvenliği gibi konular büyük ölçüde çözümlendikten sonra…