Özgür İnternet kavramına yönelik artan korkular ve tehditler ile, bunun insanlara daha önce neye benzediğini hatırlatmak için ilginç bir okuma olduğunu düşündüm. Ve sıradan insanların, nihayetinde siber güvenlik endüstrisinin doğuşuna yol açan istismarları ve güvenlik açıklarını nasıl buldukları.
1980’lerin başında internet korsanıydım. “Bugtraq” ın neden siber güvenlik dünyasındaki en önemli başarı olduğunu açıklamama izin verin.
1980’lerin korsanlık sahnesi hakkında bildiklerinizin çoğu İnternet değildi, “telefon dolandırıcılığı” ve “BBS’ler”. Bu şeyler hakkında pek bir şey bilmiyorum. Bunun yerine bir İnternet korsanıydım – DNS bir şey olmadan önce internette (‘hosts.txt’ elle dağıtıldığında).
1980’lerin sonunda, Sun Microsystems’in bilgisayarları çok önemliydi. Yine de Sun (ve diğer üreticiler) güvenlik açıklarının bildirimlerine karşı bağışıktı. Sorunların teknik destek tarafından ele alınması gerekiyordu ve bir destek sözleşmeniz yoksa, önemli değildiniz.
İşte olay şu, Büyük Lanet Şey: hackerların bir destek sözleşmesi yok. Elbette, bir dizi varsayım göz önüne alındığında, müşterilerin şikayet etmediği anlamsız hataları düzeltmek. Ama bu yanlış varsayımlar.
1980’lerin İnternet korsanlığı kültürü, kötü niyetli kişilerin, istismarların ve tekstil dosyalarının ticaretiydi. Arkadaşlarımızdan biraz alırdık ve daha fazlasını elde etmek için diğer insanlarla değiştirirdik. Örnekler SMTP DEBUG ve Finger istismarlarıdır. Kurban nasıl yapılacağını bilmeden bilgisayarları kırardık.
Bu nedenle satıcılar güvenlik açığı raporlarını görmezden geldi. Bu, Robert Tappan Morris’i bu düşüncenin yanlışlığını göstermeye teşvik etti. Vulnları sömüren, daha sonra internetteki diğer rastgele makineleri hedefleyen ve bunlarda da vulnları kullanan bir “solucan” yazdı.
Bu yüzden, Kasım 1988’de bir sabah erken saatlerde bilgisayar bilimi merkezine gittim ve sonraki birkaç günü solucanla savaşarak geçirdim. Denediğim bir şey, şu anda “tarpit” olarak adlandırılan, bağlantıyı açık tutan ve solucanı geciktiren şeydi.
Morris solucanından sonra DARPA, Bilgisayar Acil Durum Müdahale Ekibi / Koordinasyon Merkezi olan CERT / CC’yi kurdu. Buradaki fikir, CERT’nin bu tür solucanların gelecekteki oluşumlarına karşı koruma sağlayacağıydı.
Ama tam bir başarısızlıktı. Hâlâ kaba raporları görmezden geliyorlar, satıcıların düzeltmesini sağlamak yerine bunları örtbas etmeye ve bastırmaya çalışıyorlardı. Biz hackerlar, yeraltında hâlâ sataşıyor ve CERT’nin göremediği kargaşaya neden oluyoruz.
Sonra 1993’te Bugtraq posta listesi belirdi. Bu bildiğimiz gibi web’den önceydi, bu yüzden bu tür bilgileri yayınlayabileceğimiz bir web sitesi yoktu. Bunun yerine bir posta listesi kullanıldı.
Bilgisayar korsanları, herkesin görmesi için posta listesine kötülükler ve istismarlar yayınladı.
-
1984 Unix ‘Güvenlik Posta Listesi’
-
1985 Rutgers, Al Walker tarafından
-
1988 Gene Spafford tarafından Phage
-
1988 CERT / CC
-
1989 Zardoz, Neil Gorsuch tarafından
Daha sonra 1995 yılında SATAN yayınlandı – Bugtraq’tan gelen saldırıları / istismarları bir kurbanın onu ele geçirmesini hedefleyebilecek bir araca toplayan bir araç.
Bu, sistemleri hacklemek için Bugtraq’a gönderilen “komut dosyalarını” indiren, çok az uzmanlığa veya anlayışa sahip “komut dosyası çocuklarının” zamanıdır.
Bunların hepsi kulağa çok kötü geliyor, kaos dolu, ama mesele şu: satıcılar, müşteri olmayan biri tarafından sorun bildirilse bile, sorunlara dikkat etmeye ve sorunları gidermeye başladı.
Bütün bunlar, Kerckhoff’un kriptografi hakkında 1880’lerden kalma bir uygulamasıdır. Güvenlik açıklarının çözümü, onları örtbas etmek değil, açığa çıkarmaktır. Bu “tam ifşa” hareketidir – düşmana yardım etse bile hatalar ifşa edilmelidir. Ve halka açık olmalı.
2020’lerde günümüzde önde gelen internet şirketlerinin (Microsoft, Amazon, Apple, Google vb.) Karşı tavrını görüyoruz. Güvenlik açıklarını örtbas etmek yerine, insanlara bunları ifşa etmeleri için ödül sağlarlar. Pentagon bile bunu yapıyor.
Bugtraq’ın kendisi neredeyse 20 yıldır önemli değil, ama bunun sebebi kazanıyor. Artık hepimiz Bugtraq’ız.