Yaşadıklarıma gelince... İlki MSN Messenger ile ilgili.
Hasta ruhlu bir vatandaşımız (büyük olasılıkla kendini büyük "cracker" sanıyordur) üniversitemizin kurucusunun e-posta adresiyle kendine bir MSN Messenger hesabı açmış, sonra da bir şekilde elde ettiği bir sürü MSN üyesinin bu adresi "Contact List"lerine eklemesini sağlamış. Sonra kimbilir neler dedi bu insanlara.
Bu durumu farkedince, MSN Messenger hesabı nasıl açılıyor bir göreyim dedim. MSN kullanıcı kodu olarak e-posta adresinizi ya da MSN Passport hesabınızı kullanma şansınız var. E-posta adresini kullanmayı tercih ederseniz bir e-posta adresi giriyorsunuz. Ardından kendiniz hakkında bir kaç birşey girdikten (ki bunlar isteğe bağlı) sonra ve (burası önemli) ekranda sadece bir insan tarafından algınabilecek bir karakter dizisini giriyorsunuz ve ANINDA; evet ANINDA, MSN Messenger hesabınız aktif hale geliyor.
Beyefendiler kendi güvenliklerini düşünerek o deforme edilmiş karakter dizisini (Obfuscated string) algılayıp girmenizi istiyorlar ama başkalarının güvenliği umurlarında değil! Girdiğiniz e-posta adresiyle artık bir MSN Messenger kullanıcısısınız. Aslında MSN'de sizi bu isimle görenler ismin yanında bir de "not confirmed" gibi bir laf görüyorlar ama acaba kaç kişi bunun anlamını biliyor?
Kısacası firstname.lastname@example.org, email@example.com diye bir MSN hesabı alabilirsiniz. Sonra da insanları işletebilirsiniz.
Bu arada beyan ettiginiz e-posta adresine bir mesaj gönderiliyor ama sadece haber vermek ve reklam yapmak amacıyla.
Oysa yapmaları gereken tek şey o gönderdikleri e-posta mesajına bir hesap aktivasyon kodu işlevi eklemek. Ama umurlarında değil! Bence tek kaygıları bir an önce sizi MSN Messenger servisine alıp reklamları gözünüze sokmak!
Onların kendi güvenliği önemli ama başkaları ne halleri varsa görsünler...
İkinci ihtişamlı Micros~1 uygulamasına gelince...
Varsayın ki 2. Dünya savaşında Avrupa ana kıtasına paraşütle ajanlar gönderiyorsunuz. Ajanların ellerinde birer telsiz var. Kendilerine saat başlarında 194.3 MHz'den yapılacak yayınla görev talimatlarının verileceğini bildirdiniz. Doğal olarak bu ajanların telsiz sessizliği kuralına kesinlikle uymaları ve kendi telsizleriyle yayın yapmamaları gerekir. Bunu da ajanlarınıza sıkı sıkı tembih ettiniz.
Ajanlar ana kıtaya indiler. Saat başlarında telsizlerini önceden kararlaştırılmış frekanslara ayarlayıp talimat bekliyorlar. Ancak bir nedenle talimat yayını yapılamıyor. Ajanlardan biri, talimat yayınını alamayınca telsizini kullarak; o kararlaştırılmış frekanstan "Ben ajan XYZ, yayını alamadım. Bana 194.3 MHz'den talimat verecek kimse var mı?" diye sorarsa neler olur?
İşte Micros~1 Wi-Fi yazılımı aynen bunun eşdeğerini yapıyor! Ofisinizde SSID'si yayınlanmayan bir Wi-Fi ağ kullanıyorsunuz diyelim. Bir gün, iş seyahati nedeniyle havalalanına gidiyorsunuz ve beklerken Wi-Fi kullanmak üzere diz üstü bilgisayarınızı açıyorsunuz. Bilgisayarınızın Wi-Fi arabirim yönetimi Micros~1 işletim sistemi tarafından üstlenilmiş durumda (Brrrrr... birden ürperdim). Bu yazılım etrafta bir Erişim Noktası (Access Point) arıyor. Diyelim ki bulamıyor! Olur a... O havaalanında Wi-Fi servisi olmayabilir.
Ne beklersiniz? "Wi-Fi ağ bulunamadı" mesajı falan değil mi? Yooo... o kadar basit değil! Bilgisayarınız öncelikle Wi-Fi arabiriminizi kullanarak en son bağlanmış olduğunuz Wi-Fi ağının adını yayınlayarak "bu ağa servis veren var mı?" diye soracak. Kardeşim! Etrafta bir erişim noktası servisi bulamayınca sus bekle; değil mi? Hayır! Etrafa bir SSID yayınlıyor ki, buna servis veren birisi çıksın. Aynen, kendi telsizinden yayın yapıp talimat isteyen salak ajan gibi.
Bu bir yazılım hatası, açığı, "bug" falan değil! Bu resmen bal gibi bir tasarım hatası ve umursamazlık. Bir kapı zili düşünün ki çalındıktan sonra bir dakika içinde kapı açılmazsa "Anahtar paspasın altında" diye anons yapıyor!
Görüşler
MSN'de bahsettiğiniz durum gerçekten berbat. En azından bir kişi var çevremde bu durumdan dolayı başı derde giren. Resmen sorumsuzluk.
İkincisi de en az birincisi kadar berbat bir durum. Ne desek boş. Önemli olan kendilerinin ve diğer satıcıların güvenliği ve hakları.
Kablosuz aglarla ilgili guvenlik sorununu pek anlayamadim. SSID'yi broadcast etmeyi bir guvenlik sorunu olarak gormuyorum. Microsoft oraya "ag yakindaysa otomatik olarak baglan" tarzi bir secenek koymus zaten. Bu ozelligi kullanmamak kisisel bir secim. Ayrica SSID saklamak diye bir sey soz konusu degil. SSID'yi bulmanin yaklasik 8 degisik yolu var kullanilan onlemlerle en fazla 4 tane yonteme karsi saklanmak mumkun. Guvenligi saklanma uzerine kurmak yerine WPA2 yada VPN uzerinden erisim kullanmak daha akillica olacaktir.
Bunun disinda, sifreleme kullanilmayan ad-hoc networklerle ilgili bir sorun mevcut. Bu tarz baglanti zaten tavsiye edilen bir kullanim olmadigi icin bahsedilen sorun bence onemli degil.
Microsoft'a saldirmadan once konu hakkinda daha ciddi arastirma yapmak akillica olabilir.
Microsoft üzerine düşeni yapmış değil. Girilen e-mail'i doğrulatmak için e-mail adresine bir doğrulama mesajı gönderip bunun sonucuna göre hesabı aktif hale getirebilirdi.
Ya da e-mail adresi istemez, sizden bir lakap seçmenizi ister ve bu alanın aynı zamanda e-mail hesabı gibi algılanmasını engellerdi.
- "inşaata alanına girmek tehlikeli ve yasaktır" tabelası haricinde herhangi bir önlem almamış inşaat alanları
- "çevreye verdiğimiz rahatsızlıktan dolayı özür dileriz" diyerek çevreyi rahatsız etmeye devam edenler
google groupstan herhangi bir e-posta adresi ile hesap açma prosedürüne bakarsanız daha sağlıklı ve alınması gereken bir örnek olduğunu göreceksiniz.
Domain'i bloklatabilme ozelligi eger uygulanirsa daha cok sorun yaratir bence. Alan adlari sahiplerini gunden gune degistirebiliyorlar. Her ulkenin farkli sorumlulari var. Merkezi bir sekilde bunlari yonetmenin mumkun oldugunu dusunmuyorum.
XSS tarzi seylerin fazlaca populer oldugu bir cagdayiz. Sorunlari kullanicilarin uyanmalari disinda bir yontemle halletmek mumkun degil. Siz ekstra guvenlik onlemi koydukca durumu karmasiklastirip insanlarin daha rahat kanmalarina sebep oluyorsunuz. 10 sene onceki email guvenligiyle simdigi arasinda pek fark gormuyorum. Bu konu IM icin de gecerli.
Ille de im uzerinden guvenli konusmak istiyoruz diyorsaniz sifreleme pluginiyle beraber gaim kurun key fingerprint'lerinizi de telefonla onaylayin. Benzer bir yontem kullanmadan karsinizdakinin kim oldugunu bilmeniz zaten mumkun degil. Eger bir sirketseniz ve ticari bir cozum ariyorsaniz pgp universal 500'i tavsiye ederim. Bizim sirkete basarili bir kurum yaptik. Guzel calistigini soyleyebilirim.
Wireless ile ilgili sorunun buyuk kismi microsoft'tan kaynaklanan bir sorun degil ayrica yeni cikmis bir sey hic degil. Schmoocon'daki sunum, sunumu yapan kisinin soyledigi gibi "lame".
Uc sene once de linux-microsoft ayrimi yapmadan fakeap vs. yontemlerle insanlarin size baglanmasini saglayabiliyordunuz. Linuxta network kartini bir ap'ye baglanmak icin ayarladiginizda baglanmaya calismiyor mu sanki? eger ap'yi mac adresi ile sabitlemediyseniz sadece ssid'ye baglanmasini soylediyseniz kim olduguna bakmaksizin baglaniyor tabii ki. bu nedenle hotspotlarin yaygin oldugu ulkelerde bu oldukca sik kullanilan bir avlama yontemi.
microsoft bundan 4 sene once sitesinde ad-hoc networkler icin "In most cases, for optimum protection and security, after your ad hoc network is running properly, you should return to Wireless Network Properties and specify WEP settings." diye yazmis. Eger ad-hoc baglantida wep kullanmaniza ragmen baskasi ayni isimde bir ap yarattiginda makinaniz ona sorgusuz sualsiz baglaniyorsa sorun ciddilesiyor bence. Ama bildigim kadariyla durum bu sekilde degil.
Microsoft buyuk bir sirket. Guvenlik sorunlarinin olmasi fanatik bir sekilde saldiriya gecmeyi gerektirmemeli. Bu haberde begenmedigim taraf o zaten. Sanki Java VM icin exploitler etrafta dolasmadi mi, sanki Oracle icin her gun yeni bir sey cikmiyor mu? OpenSSH'i patchlememiz lazim diye kivrananlar kimlerdi acaba?
OS X kullanan arkadasimizin "Microsoft'un kablosuz ag yonetim sistemi midemi bulandiriyor" sozunu okuyunca yaklasik 1 ay once makinelerin bir cogunun OS X 10.2 oldugu bir basimevin'in agiyla ugrasirken 10.2'nin WPA desteginin olmadigini anladigimda hissettiklerimi hatirladim.
Ayrica cok muhtesem guvenlikli kablosuz ozelliklerine sahip olan linux'un bluez'undaki remote exploitler kisiler microsoft kadar buyuk olmadigi icin pek dikkat cekmiyor galiba.
Ms - Linux tarzi bir tartismaya sebep vermemek icin Microsoft'a bir sempati beslemedigimi ekleyeyim.
Ms - Linux tarzi bir tartismaya sebep vermemek icin Microsoft'a bir sempati beslemedigimi ekleyeyim.
Insanlarin bunu demek zorunda hissetmeleri, doldurusun ne boyuta geldigini gosteriyor. Genelde 'taraftar' arasinda tabii. Bir alinti yapayim size:
Kim mi demis? Alan Cox. Ustelik bunun uzerine yukarida isaret ettiginiz 'son kullanici kolayligi' ve 'bilgi islem muduru cehaleti' vs. faktorler de biniyor. Propaganda bir tarafa bu konularda ciddi problemler var.
msn senaryosundaki sorun mümkün olduğu halde engellenmeyen bir davranış. microsoft'un yolladığı e-postaya bir link eklemesi geçekten basit bir çözüm.
buna nispeten benzer başka bir problem ise e-posta sistemindeki rahatsızlık. her e-posta adresinden başka bir e-posta adresine birşeyler yollamak mümkün fakat bunun çözümünün tüm dünyada uyarlanması bu kadar basit olmadığından "çabuk" bir çözüm olası değil. smtp sunucularının yolladığı e-postaları imzalaması hoş bir çözüm ama herkesten bu bir anda beklenemiyor (gmail'den gelen e-postaların headerlarına bakınız). bunun yaygınlaşması evrim gibi yavaş yavaş ve zamanla olacak.
bu iki bilgi ışığında, bilinçsiz kullanıcıyı korumak yönünde, çok basit olan bir adımın atılmadığı ortada. bu durumda gerçekten "daha çok reklam gösterelim" hedefi daha inanılır kılınıyor.
Peki
Bonibon
Kristal kola
Halbuki dün ntv cnbc-e de micirsoft türkiye genel müdürü tam tersi şeylerden bahsediyordu.
Çağlayan Arkan:
"güvenilir it şirketlerinin istatistikleri micirsoft'un daha güvenli olduğunu gösteriyor", " micirsoft yazılım tasarımı aşamasında güvenliği ön planda tutmaktadır " , " tüm açıkları zaten biz kendimiz tespit etmekteyiz, 3 gün gibi kısa sürelerde yama yayınlıyoruz "
programda 3 kişi vardı. sanıyorum diğer iki kişi linuxcu olarak gelmişlerdi. ama nedense sunucu beyfendi micirsoft müdürüne daha fazla söz hakkı verdi.
bill gates in türkiyeye gelecek olması, devletin micirsoft'la kazan-kazan oyunu oynaması, herkese bilgisayar kampanyasında "windoze starter edition" verilmesi falan derken. yine başka başka dolapların döndüğü ortada.
Yine kişisel analizime göre: Bu MSN Messenger kullanıcılarının en fazla %60'ı söz konusu ismin yanındaki "E-posta Adresi Doğrulanmadı" yazısının varlığından haberdar olacaktır. Bu yüzde altmışın en fazla %50'si bu yazının ne olduğunu merak edecektir. Bu yüzde ellinin en fazla %40'ı bu yazının ne anlama geldiğini araştırmaya niyetlenecektir. Bu yüzde kırkın en fazla %20'si ne olduğunu araştıracaktır. Bu yüzde yirminin de en fazla %25'i sonuca ulaşacaktır.
En nihayetinde bilgisiz Türk MSN kullanıcılarının sadece yüzde 0.54'ü ilgili kişiyi engelleyecektir. İnterneti yalnızca partner bulmak, koca bulmak, oynaşmak, fingirdemek için kullanan ortalama MSN kullanıcısından daha fazlası beklenemez.
Sonuçta Türk MSN kullanıcılarının tamamına yakınıyla Cem Uzan, Bülent Arınç, Tüpraş Genel Müdürü ya da TBMM idare amiri hattâ Zeki Müren olarak konuşmak mümkündür. Microsoft'un Passport ağına herhangi bir sahte e-posta adresi ile kaydolup MSN ağına giriş yapmak bu kadar kolay olmamalı. Doğrulama iletisi göndermeyi akıl edecek kadar zekâ parıltısı taşıyan saygıdeğer Passport yöneticileri, kullanıcının doğrulama yapmadan MSN ağına erişmesini engellemenin önemini idrak edecek kadar gri hücrelerini çalıştırmalılar, diye düşünüyorum.
Kablosuz ağ konusunda ise fazla söyleyecek sözüm yok. Kablosuz ağlara iBook ile (yani Mac OS X) bağlanıyorum. Windows'un kablosuz ağ yönetim sistemi midemi bulandırıyor.
Saygılarımla.
ama işin kötü tarafı, aradan iki gün geçmesine rağmen iki mail hesabıma da onay için herhangi bir mailin gelmemiş olmasıydı. bunun üzerine iki hesabımdan da microsoft destek birimlerine durumu bildiren yazılar yazdım ve el ile hesaplarımı aktif hale getirdiler.
kayıt işlemi tamamlanır tamamlanmaz msn messenger servisini kullanabilmek iyi bir hizmet ancak kayıt işleminin mail adresinin doğruluğunun onaylaması işleminden sonra bitmesi daha doğru gelmişti bana, hala da böyle düşünüyorum.
bunun yanında bir arkadaşım kendi ismi olan alanadına ait bir mail hesabıyla msn messenger kullanıyordu, kayıt işlemini onay kısmı da dahil olmak üzere tamamlamıştı. ancak alan adının süresi dolunca ve yenilemeyince alan adı ve kullandığı mail hesabı kullanımdan kalktı ancak arkadaşım hala bu msn hesabını kullanıyor. ortada böyle bir alan adı ve mail hesabı yok, ancak hizmet devam ediyor. Bu da ilginç bir detay.
SSID'yi bulamadigi zaman wireless cardin kendisi en son baglantigi SSID'yi bagirmaya basliyor. Yani aramiyor, kendisi o SSID'mis gibi davraniyor. (ad-hoc)
Hatayi public yapan Simple Nomad'in Shmoocon'da yaptigi sunumu bu linkte bulabilirsiniz.
Burada da advisory...
Her seferinde MS'e çok yükleniyorum diyorum ama kendimi tutamıyorum. Kusura bakmayın.
Window$ XP çok güvenliymiş diyorlar. Kullanıcı profilleri varmış o yüzden virüsler sadece bulaşanın hesabını etkiliyormuş vs... Vallahi külliyen yalan...
Buyrunuz benden de bir katkı: (Belki de bu açığı zaten biliyorsunuzdur)
Her PC toplamayı beceren bilgisayarcı artık işletim sistemi de kurmayı beceriyor malumunuz. Bkz. bir diyalog:
- PC'si Toplanan: Abi burda bi şifre girin diyor o ne ki ?
- Bilgisayarcı: Ha o mu ? İşte olur da başına bişiy gelirse cihazın CD'yi sokuyorsun, o şifreyi giriyosun, kurtarıyo aleti.
- PT: Hmm iyiymiş abi. Ne versek ki ?
- B: Valla bütün müşterilerim unutuyor diye ben boş bırakıyorum.
- PT: Haklısın abi. Ben de unuturum. Boş geçelim, akıllıca !
BIZZT ! (Erman hoca araya girer)
O boş şifre XP'de kullanıcı listesinde görünmeyen ama her nasılsa NT standardı (Northern Telecom mu desek Bill ?) ile tanımlanan her şeyi yapmaya yetkili Administrator kullanıcısının şifresi...
Artııı bu kullanıcının girmeye ve okumaya yazmaya hakkı olan varsayılan disk paylaşımları var, kaç bölüm varsa diskte o kadar yani C$ ila Z$ gibi.
Alalım bir non-XP kurulu PC'yi bu XP kurulu PC'ye ağdan bakalım. C$ vs hepsi yerli yerinde ve apaçık. SAMBA'nın smbclient'ı iş görür.
Eh bu durumda girelim bir XP makineye hackleyelim. MS burada işte güvenlik olayını çözmüş(mü?). XP kullanarak bu paylaşılan kaynaklar görünmüyor ! :) Ama \\\\makine\\C$ diye pat diye bağlanılabiliyor.
Windows'un Modern Tarihi boytunca bu NetBIOS zaten başlarına bela... Acaba IBM günlerinden "esinlenme" olduğu için mi dersiniz ?
Bence "3 Program Çalıştırmakla Kısıtlı Windows" yapacaklarına bu basit hataları kapatmalılar artık.
Pes diyorum ve yorumlarınızı bekliyorum.
Sevgiler, saygılar.
Administrator şifresi boş olan bilgisayarın paylaşımlarına ağ üzerinden Administrator olarak bağlanamazsınız, C$ Z$ da buna dahildir.
Peki boş olmasın da basit şifre olsun da uzlaşalım...
Kullanıcının bunu görememesi ve "registry"ye müdahale edecek gücünün olmaması başlı başına ayrı bir açık değil mi.
Yani MSN için almışsınız bir hotmail veya Msn hesabı onu kullanıyorsunuz ama bakıyorsunuz ortada böyle bir durum var. Sizden önce sizin çevrenizde tanınan mail adreslerinize bir pislik bulaşmasın, temizlemekle uğraşmak zorunda kalmayın diye koşup bu adreslerinizin her birisi için birer MSN hesabı alıyorsunuz. MSN'nin kayıtlı kullanıcı sayısı bir güzel artıyor.
Maksat bu olmayabilir ama sistemin yapısından dolayı iş bu noktaya varıyor. Özellikle böyle olması planlanmışsa tasarlayanın da yapanın da canı çıksın demekten başka bir şey gelmiyor elimden.