tehditler
Haber siteleri sık sık geçen yıl düzenlenen WannaCry ve NotPetya saldırıları gibi büyük ölçekli sofistike suçlar işlemek için kullanılan bilgisayar hatalarını ve sistem açıklarını konu alan hikayeler yayınlar. Ama uzmanlara göre en başarılı hack’ler ve crack’ler, sistem geliştiricileri veya yükleyicilerinin basit hataları sonucunda ortaya çıkıyor.
Yanlış bir şekilde yapılandırılmış sistemler her yerde bulunmakta ve bir hacker’ın böyle bir sistemi ortaya çıkarması ve sistemin insan zekasına tamamen teslim olması sadece bir kaç saat sürüyor. 2018 Güvenlik Analisti Zirvesi’nde (TheSAS) konuşmacı olan İsrailli araştırmacı Inbar Raz, konuşmasında bu üzücü gerçeği doğrulayan bir çok örnek verdi.
Bedava kahve
Birçok kahve dükkanının sadakat kartı şu şekilde çalışır: Müşteri bir kart alır, bunu banka kartı gibi doldurur ve daha sonra kafede ödeme yapabilmek için kullanır. Büyük veya sık yapılan alımlarda bonuslar kazanır. Müşteri ne kadar bakiyesi kaldığına kafenin web sitesine kart numarasını girerek bakabilir.
Kendisi de bu karta sahip olan Inbar Raz; web sitenin, kullanıcılarının herhangi bir kart numarasını istedikleri kadar girmesine izin verdiğini belirtti. Böylece Raz, yarım saatte yazdığı küçük bir programı kullanarak birtakım farklı kart numaraları denedi ve içinde epey para olan kartları belirledi.
Kartındaki manyetik şeriti ucuz bir USB okuyucusu ile okuduktan sonra Raz, karta yazılmış olan rakamın şifrelenmemiş olduğunu gördü ve karşılaştığı tek güvenlik önlemi, hesaplaması kolay olan “control bit” mekanizmasıydı. Kartın manyetik şeridindeki numarayı bir önceki adımda bulunan numaralardan biri ile değiştirme ve böylece başkalarının parasını kullanma işi, çocuk oyuncağıydı.
Ahlaka aykırı olmaması açısından Raz, bu konsepti kanıtlarken başka bir kart satın alıp, para yükletti ve işlemi ilk karta bunun numarasını yazarak gerçekleştirdi. Yöntem işe yaradı. Teoride, dikkatli bir kafe çalışanı karta basılmış numarayı fişteki numara ile karşılaştırarak aldatmacayı tespit edebilir. Fakat pratikte bu gerçekleşmeyecektir. Bu yüzden bu durum esasen hacker için sınırsız bedava kahve ve belki ekstra birkaç kek demek.
Uber stili takip
Kısa süre önce Uber, çalışanlarının mobil uygulamayı kamuoyunda iyi tanınan yolcuları takip etmek için suistimal ettiklerinin iddia edilmesiyle ilgili bir skandal ile gündeme geldi.
Sonunda anlaşıldı ki diğer taksi hizmetleri, bu olayı onlar için çalışma zorluğuna girmeden yapmanıza izin veriyormuş. Inbar Raz, bir taksi online olarak tutultuğunda durumunun irtibat telefon numarası kullanılarak takip edilebildiğini keşfetti; üstelik kahve örneğinde olduğu gibi burda da kaba kuvvet (brute-force) metodu ile yapılan aramalara karşı bir koruma bulunmuyor.
Raz, numara yakalayan küçük bir program yazdı ve bu hizmetteki yakın zamandaki bütün taksi taleplerinin adreslerini gösteren kullanışlı bir harita elde etti.
Havalimanı güven(siz)liği
Standart şifresiz Wi-Fi, içinde bazen gizli sürprizler barındırır. Inbar Raz, Doğu Avrupa havalimanlarından birinin birinci sınıf bekleme salonundayken yerel erişim noktasının yapılandırmasını kontrol etmeye karar verdi.
Bulduğu yönlendirici ayarları, standart Web adresi üzerinden herhangi bir yönetici şifresi gerekmeden açılabiliyordu. Raz, ayarları inceledikten sonra bunun sadece bir misafir erişim noktası olmadığını, havalimanının hayati dağıtım ve güvenlik sistemlerinin bağlı olduğu ana yönlendiricisi olduğunu fark etti. Bu hizmetler, dizüstü bilgisayara veya akıllı telefona sahip herhangi biri tarafından etkisiz hale getirilebilirdi.
Programcılar ve sistem yöneticileri, dikkatli olun. Küçük kafenizin (veya taksi hizmetinin, veya havalimanının) hacker’lar için fazlasıyla niş olduğunu zannetmeyin. Standart ayarlar, “admin” veya “12345” gibi basit şifreler ve otomatik saldırılara karşı güvenlik kod (CAPTCHA) veya diğer tedbirlerin olmaması gibi durumlar en yaygın güvenlik hatalarıdır ve işgalciler için de en kolay yoldur. En düşük seviye hacker’lar bile bunları istismar edebilir. Ve Inbar Raz gibi zayıf noktaları istismar etmek yerine duyarlı bir şekilde meydana çıkaran insanların sayısı çok ama çok azdır.
İpuçları