Cypherpunk Hareketinden Bitcoin'e Merkeziyetsiz Teknolojilerin Yükselişi

Merkeziyetsizlik ve Cypherpunk Hareketi

P2P (Peer-to-Peer) ağları, BitTorrent, Tor ve Bitcoin gibi teknolojiler, internetin merkezi otoritelerden bağımsız olarak işleyebileceği fikrine dayanmaktadır. Bu fikir, 1980'ler ve 1990'larda ortaya çıkan Cypherpunk hareketinden büyük ölçüde ilham almıştır. Bu teknolojiler kronolojik olarak incelendiğinde, Bitcoin ve diğer kripto paralara uzanan sürecin zaman içinde nasıl gelişip olgunlaştığını anlamak mümkün olacaktır.

Cypherpunk Hareketi ve İlk Adımlar 

Cypherpunk hareketi, 1980'lerin sonlarında, özellikle dijital gizlilik, şifreleme ve bireysel hakların korunması konularına odaklanan bir grup aktivist ve kriptograf tarafından kuruldu. Bu hareket, merkezi otoritelerin vatandaşların kişisel bilgilerine erişimini kısıtlamak ve bireylerin gizliliğini korumak için kriptografi kullanımını savunuyordu.

- David Chaum: Kripto para fikrinin babası sayılan Chaum, kriptografinin dijital gizliliği nasıl koruyabileceğini araştıran ilk kişilerden biridir. 1982 yılında, "Untraceable Electronic Mail, Return Addresses, and Digital Pseudonyms" adlı makalesiyle anonim iletişim sistemlerini tanıttı ve 1990'da dijital para birimi olan eCash'i geliştirdi. eCash, merkeziyetsiz olmasa da dijital para birimlerinin öncüsü sayılmaktadır.

- Adam Back: 1997'de Bitcoin madenciliği sürecinde de kullanılan Hashcash'i icat etti.

- Wei Dai: 1998'de b-money adlı kripto para birimi sistemini tasarladı.

- Nick Szabo: 1998 yılında, bit-gold adını verdiği merkezi olmayan dijital para birimi için bir mekanizma tasarladı.

- Hal Finney: PGP Corporation'da çalıştı. 2004 yılında, Bitcoin'den önceki ilk yeniden kullanılabilir iş kanıtı sistemini yarattı. Ocak 2009'da, Satoshi Nakamoto tarafından test amacıyla gönderilen ilk Bitcoin işleminin alıcısıydı.

Cypherpunk E-posta Listesi

1990'ların başında kurulan Cypherpunk e-posta listesi, bu hareketin merkezi iletişim aracıydı. Bu liste, dünya çapında kriptografi, gizlilik ve dijital özgürlük konularında fikir alışverişinde bulunan pek çok önemli figürün buluşma noktası oldu. Bu tartışmalar, gelecekte geliştirilecek birçok teknolojinin temellerini attı.

P2P Ağlarının Doğuşu ve BitTorrent (2000'ler)

1990'ların sonlarından itibaren, internet kullanımının yaygınlaşmasıyla birlikte P2P ağlarına duyulan ihtiyaç da arttı. Bu ihtiyaç, büyük dosyaların merkezi sunuculara gerek kalmadan paylaşılmasını sağlamak üzere tasarlanmış protokollerin geliştirilmesine yol açtı.

Napster ve İlk P2P Ağları

- Napster (1999): Shawn Fanning ve Sean Parker tarafından geliştirilen Napster, müzik dosyalarının P2P yöntemiyle paylaşılmasını sağlayan ilk büyük çaplı uygulamalardan biriydi. Napster, müzik endüstrisinde büyük bir tartışma yarattı ve telif haklarıyla ilgili ciddi hukuki sorunlarla karşı karşıya kaldı, ancak P2P ağlarının potansiyelini gösterdi.

BitTorrent'in Gelişimi

- BitTorrent (2001): Bram Cohen tarafından geliştirilen BitTorrent, P2P ağlarının verimliliğini artıran yeni bir protokoldü. BitTorrent, dosyaları küçük parçalara bölerek kullanıcılar arasında dağıtır ve böylece dosya paylaşımını hızlandırır. BitTorrent, merkezi bir sunucuya ihtiyaç duymadan büyük veri dosyalarının paylaşılmasını sağlayarak internetin veri paylaşım şeklini değiştirdi.

Tor: Anonimlik için Bir Araç (2000'ler)

Tor (The Onion Router), ABD Deniz Araştırma Laboratuvarı'ndan Paul Syverson, Michael G. Reed ve David Goldschlag tarafından 1990'ların ortalarında geliştirildi. Başlangıçta ABD hükümeti tarafından kullanılmak üzere tasarlanan Tor, daha sonra sivil kullanıcılar için de erişilebilir hale getirildi.

Tor'un Gelişimi ve Yaygınlaşması

- 2002: Tor ağı ilk kez halka açıldı. Kullanıcıların internet üzerinde anonim olarak gezinmelerine olanak tanıyan bu ağ, çevrimiçi gizliliği artırmak için önemli bir araç haline geldi.

- 2006: Tor Projesi, kar amacı gütmeyen bir kuruluş olarak kuruldu. Bu aşamadan sonra Tor, dünya genelinde sansürden kaçınmak isteyen kullanıcılar ve gizlilik savunucuları tarafından yoğun bir şekilde kullanılmaya başlandı.

Bitcoin ve Blockchain: Merkeziyetsiz Finansın Doğuşu (2008 - Günümüz)

Bitcoin, ilk merkeziyetsiz dijital para birimi olarak 2008 yılında yine bir Cypherpunk olan Satoshi Nakamoto takma adını kullanan bir kişi ya da grup tarafından tanıtıldı. Eşler arası (P2P) bitcoin ağındaki düğümler, işlemleri kriptografi yoluyla doğrular ve bunları, merkezi bir denetim olmaksızın blokzincir olarak adlandırılan kamuya açık bir dağıtık deftere kaydeder. Düğümler arasında mutabakat, bitcoin blokzincirinin güvenliğini garanti eden, iş kanıtına dayalı ve hesaplama açısından yoğun bir süreç olan madencilik yöntemiyle sağlanır.

Bitcoin'den önce, 1990'larda David Chaum'un elektronik parasıyla başlayan çeşitli dijital nakit teknolojileri piyasaya sürüldü. Hesaplamalı bulmacaların çözümlerinin bir değere sahip olabileceği fikri ilk olarak 1992 yılında kriptograflar Cynthia Dwork ve Moni Naor tarafından önerildi. Konsept, 1997'de spam kontrolü için bir çalışma kanıtı programı (proof-of-work) olan Hashcash'i geliştiren Adam Back tarafından bağımsız olarak yeniden keşfedildi. 

Dağıtılmış dijital kıtlık temelli kripto para birimleri için ilk öneriler 1998'de Cypherpunklar Wei Dai (b-money) ve Nick Szabo'dan (bit gold) geldi. 2004 yılında Hal Finney, yeniden kullanılabilir iş kanıtına dayalı ilk para birimini geliştirdi ancak bu girişimler başarılı olmadı. Chaum'un konsepti, merkezi kontrol gerektiriyordu ve hiçbir banka imza atmak istemiyordu, Hashcash'in çifte harcamaya karşı koruması yoktu, b-money ve bit gold ise Sybil saldırılarına karşı dayanıklı değildi.

Bitcoin'in Gelişimi ve İlk Yılları

- 2008: Satoshi Nakamoto, "Bitcoin: A Peer-to-Peer Electronic Cash System" adlı makalesini yayınladı. Bu belge, Bitcoin'in temel prensiplerini açıkladı ve kriptografik olarak güvenli, merkezi olmayan bir dijital para birimi fikrini tanıttı.

- 2009: Bitcoin ağının ilk bloğu olan Genesis Block kazıldı ve Bitcoin ağı resmi olarak hayata geçti. İlk yıllarında Bitcoin, sınırlı bir kullanıcı kitlesi tarafından biliniyordu ve yalnızca meraklıları arasında kullanılıyordu.

- 2010: İlk Bitcoin işleminde, Laszlo Hanyecz adlı bir programcı 10.000 Bitcoin karşılığında iki pizza satın aldı. Bu işlem, Bitcoin'in ilk ticari kullanımı olarak tarihe geçti.

Bitcoin'in Yükselişi ve Kripto Para Ekosisteminin Gelişimi

- 2011 ve Sonrası: Bitcoin'in değeri artmaya başladı ve medyanın ilgisini çekti. Bu dönem, diğer kripto paraların (altcoinler) ortaya çıkışına da tanık oldu.

- 2017: Bitcoin'in değeri, tarihi zirvelere ulaştı ve finansal dünyada büyük bir ilgi uyandırdı. Aynı zamanda, blockchain teknolojisi finans dışındaki alanlarda da kullanılmaya başlandı.

- 2020'ler: Bitcoin ve blockchain, finansal sistemlerin yanı sıra sanat, tedarik zinciri yönetimi, veri güvenliği gibi çeşitli alanlarda uygulanmaya başladı. Bitcoin, artık dijital altın olarak kabul edilen bir değer saklama aracı olarak görülüyor.

Cypherpunklar, kriptografi ve merkeziyetsiz sistemlerin bireysel özgürlükler için ne kadar güçlü araçlar olabileceğini gösterdi. Gelecekte bu teknolojilerin daha da yaygınlaşması, daha fazla önem kazanması ve merkeziyetsizlik, anonimlik, gizlilik konularında daha fazla teknolojik inovasyonun bu mirası sürdürmesi muhtemeldir. 

Serdar Kocaoğlu

22.08.2024

Yazının devamı..

e-postalarda kriptolama mekanizmasını anlamak

Kriptolu bir mail gönderirken kullanılan mekanizma, güvenli ve gizli iletişim sağlamak için genellikle asimetrik şifreleme (public key encryption) ve simetrik şifreleme (symmetric encryption) kombinasyonunu içerir. Bu mekanizmayı anlamak için sürecin adımlarına göz atalım:

1. Hazırlık

Anahtar Çifti Oluşturma

• Her kullanıcının bir çift anahtarı vardır: bir açık anahtar (public key) ve bir gizli anahtar (private key).
• Açık anahtar herkese açıktır, gizli anahtar ise sadece sahibinde kalır.

2. E-posta Gönderme

Simetrik Şifreleme Anahtarının Oluşturulması

• Gönderen, mesajı şifrelemek için rastgele bir simetrik anahtar (oturum anahtarı) oluşturur. Simetrik anahtar, mesajı şifrelemek için kullanılan geçici bir anahtardır.

Mesajın Şifrelenmesi

• Mesaj, simetrik anahtar kullanılarak şifrelenir. Bu işlem simetrik şifreleme algoritmaları (örneğin, AES) ile yapılır.

Simetrik Anahtarın Şifrelenmesi

• Simetrik anahtar, alıcının açık anahtarı ile şifrelenir. Bu adımda asimetrik şifreleme kullanılır.

Şifreli Mesaj ve Şifreli Simetrik Anahtarın Gönderilmesi

• Şifreli mesaj ve alıcının açık anahtarı ile şifrelenmiş simetrik anahtar e-posta olarak alıcıya gönderilir.

3. E-posta Alma ve Okuma

Simetrik Anahtarın Çözülmesi

• Alıcı, kendi gizli anahtarını kullanarak simetrik anahtarı çözer. Bu adımda asimetrik şifreleme kullanılır.

Mesajın Çözülmesi

• Alıcı, elde ettiği simetrik anahtarı kullanarak şifreli mesajı çözer. Bu adımda simetrik şifreleme algoritması kullanılır ve mesaj okunabilir hale gelir.

Sürecin Adımları Özetle

1. Gönderen, simetrik bir anahtar oluşturur.
2. Mesaj, bu simetrik anahtarla şifrelenir.
3. Simetrik anahtar, alıcının açık anahtarıyla şifrelenir.
4. Şifreli mesaj ve şifrelenmiş simetrik anahtar, alıcıya gönderilir.
5. Alıcı, kendi gizli anahtarıyla simetrik anahtarı çözer.
6. Alıcı, çözülen simetrik anahtarla mesajı çözer ve okur.

Güvenlik Sağlamanın Nedenleri

• Gizlilik: Mesaj, yalnızca alıcının çözebileceği şekilde şifrelenir.
• Kimlik Doğrulama: Alıcı, gönderenin gerçekten kim olduğunu doğrulamak için dijital imzalar kullanabilir.
• Bütünlük: Mesajın gönderim sürecinde değişmediği doğrulanabilir.
• İnkar Edilemezlik: Gönderen, gönderdiği mesajı inkar edemez.

Bu mekanizma, PGP (Pretty Good Privacy) veya S/MIME (Secure/Multipurpose Internet Mail Extensions) gibi e-posta güvenlik protokolleri ile uygulanır ve güvenli elektronik iletişim sağlar.

Yazının devamı..

Bitcoin nasıl hacklenir? %51 saldırısı nedir?

Bundan 6-7 yıl kadar önce Bitcoin'in 20 bin dolara yaklaşıp herkesin diline düştüğü bir dönemde merak edip Satoshi Nakamoto tarafından yazılan temel dokümanı okumuştum. Bir bilişimci gözüyle daha ilk okumamda, yazıda geçen çoğunluk ve dürüstlük kelimeleri Bitcoin'in hacklenebileceğine dair içimde şüpheler uyandırmıştı çünkü sistemin kurgusu ağın çoğunluğunun (yani en az yarısının) dürüst olduğu varsayımına dayanıyordu. Bu yüzden Bitcoin'e hiçbir zaman tam olarak güvenemedim ve yatırım yapamadım. Cehaletin neden mutluluk kaynağı olduğuna güzel bir örnek daha... Neyse, son zamanlarda Bitcoin'in yeni zirve yapması üzerine konuyu tekrar araştırınca, şüphelerimin yersiz olmadığını, bu ihtimalin gerçekten var olduğunu ve bu açıklığa yönelik saldırı tipine ise "%51 Saldırısı" adının verildiğini gördüm.

Peki %51 Saldırısı Nedir? Bitcoin (BTC) nasıl hacklenebilir?

Bitcoin ve benzeri kripto para birimlerinde %51 saldırısı, ağın hesaplama gücünün yarısından fazlasını kontrol ederek gerçekleştirilebilecek teorik bir güvenlik zafiyetidir. Bu saldırı türü, blockchain (blok zincir) teknolojisinin merkezî olmayan doğasını tehdit eder ve kötü niyetli aktörlerin çifte harcama gibi dolandırıcılık eylemlerini gerçekleştirmesine olanak tanır.

%51 Saldırısının Mekanizması

1. Güç Biriktirme: Saldırgan, ağın hesaplama gücünün %51'ine ulaşacak şekilde madencilik kapasitesi biriktirir. Bu, genellikle büyük madencilik havuzlarının kontrolünü ele geçirme veya kiralama yoluyla olabilir.
2. Ayrık Zincir Oluşturma: Saldırgan, elde ettiği işlemci gücünü kullanarak, ana zincirden bağımsız bir yan zincir oluşturur. Bu aşamada saldırgan, kendi zincirine bloklar eklerken, diğer kullanıcıların eklediği blokları reddeder.
3. Çifte Harcama: Saldırgan, aynı kripto paraları önce meşru bir işlem olarak kullanır, sonra bu işlemleri içermeyen blokları kendi zincirine ekler. Böylece, harcadığı kripto paralar hiç harcanmamış gibi görünür.
4. Zincir Yeniden Entegrasyonu: Saldırganın oluşturduğu yan zincir, ana zincirden daha uzun olduğunda, blockchain ağının konsensüs kuralları gereği, daha uzun olan yan zincir meşru kabul edilir ve ana zincirin yerini alır.

%51 Saldırısının Zorlukları ve Maliyeti

Bitcoin gibi büyük ve geniş bir işlemci gücüne sahip ağlarda %51 saldırısı yapmak, teorik olarak mümkün olsa da, pratikte büyük zorluklar ve yüksek maliyetler içerir. Saldırıyı gerçekleştirmek için gerekli olan donanım ve enerji maliyeti, saldırının potansiyel getirisinden çok daha fazla olabilir. Ayrıca, böyle bir saldırı girişimi fark edildiğinde, ağdaki diğer katılımcılar hızla tepki göstererek saldırıyı engelleyebilir veya etkisini azaltabilir.

Korunma Yöntemleri

• Konsensüs Kurallarının Güçlendirilmesi: Ağın konsensüs kuralları güçlendirilerek %51 saldırısının etkileri azaltılabilir veya tamamen önlenir.
• Ağ Dağıtımının Artırılması: Madencilik gücünün daha fazla kişi ve kurum arasında dağıtılması, tek bir saldırganın ağın kontrolünü ele geçirmesini zorlaştırır.
• İzleme ve Alarm Sistemleri: Ağdaki anormal aktiviteleri sürekli izleyen ve şüpheli durumları bildiren erken uyarı sistemleri, olası saldırıları erkenden tespit edebilir.

Bitcoin ağı, geniş dağıtımı ve büyük işlemci kapasitesi sayesinde %51 saldırısına karşı büyük bir direnç göstermektedir. Ancak, daha küçük ve merkeziyetsizliği daha az olan blockchain ağları bu tür saldırılara karşı daha savunmasızdır. Bu nedenle, blockchain teknolojisinin ve kripto para birimlerinin güvenliğini sağlamak adına sürekli yenilik ve gelişim gerekmektedir.

Serdar KOCAOĞLU

30.04.2024

Blok zincir nedir? Uygulama alanları ve geleceği..

Yazının devamı..

Blok zincir nedir? Uygulama alanları ve geleceği..

Blok zincir teknolojisi, dijital dünyada güven, şeffaflık ve değişmezlik kavramlarını yeniden tanımlıyor. Bitcoin'in ortaya çıkışıyla birlikte popülerlik kazanan bu teknoloji, sadece kripto para birimleri ile sınırlı kalmayıp, çok daha geniş bir uygulama alanına yayılmış durumda. Peki, blok zincir nedir ve geleceği bizi nereye götürecek?

Blok Zincir Nedir?

Blok zincir, bir dizi blokta saklanan ve birbirine kriptografik yöntemlerle bağlanan veri yapısını ifade eder. Her bir blok, bir önceki bloğun hash değeri, zaman damgası ve işlem verileri gibi bilgileri içerir. Bu yapısı sayesinde, blok zinciri üzerinde yapılan işlemler değiştirilemez ve şeffaf bir şekilde kayıt altına alınır.

Uygulama Alanları Nelerdir?

Finans ve Kripto Para Birimleri

Blok zincirinin en bilinen uygulama alanı, Bitcoin ve diğer kripto para birimleridir. Bu alanda sağladığı güven ve şeffaflık, merkezi olmayan finansın (DeFi) temellerini oluşturur.

Akıllı Sözleşmeler

Ethereum gibi platformlar, blok zincir üzerinde çalışan akıllı sözleşmeleri mümkün kılar. Bu, taraflar arasındaki anlaşmaların otomatik olarak icra edilmesini sağlar, bu da emlak, sigorta ve tedarik zinciri yönetimi gibi birçok sektörde devrim yaratma potansiyeline sahiptir.

Tedarik Zinciri Yönetimi

Ürünlerin kaynağından tüketiciye ulaşana kadar geçirdiği sürecin izlenmesi, blok zincir teknolojisi sayesinde daha şeffaf ve güvenilir hale gelmiştir. Bu, sahteciliğin önlenmesine ve tedarik zinciri verimliliğinin artırılmasına yardımcı olur.

Sağlık Sektörü

Hasta kayıtlarının saklanması ve paylaşılması, blok zincir teknolojisiyle daha güvenli ve verimli bir şekilde gerçekleştirilebilir. Bu da, hasta mahremiyetinin korunmasına ve sağlık hizmetlerinin kalitesinin artırılmasına olanak tanır.

Geleceği

Blok zincir teknolojisinin geleceği, yalnızca teknolojik gelişmelere değil, aynı zamanda toplumsal ve ekonomik adaptasyona da bağlıdır.

Blok zincir teknolojisinin uygulama alanları, finans ve kripto para birimlerinin ötesine geçerek, e-devlet hizmetleri, dijital kimlik doğrulama, oy verme sistemleri ve daha fazlasını kapsayacak şekilde genişlemeye devam edecek.

Blok zincir teknolojisinin yaygınlaşmasıyla birlikte, yasal ve düzenleyici çerçevelerin de bu yeni teknolojiye uyum sağlaması gerekecek. Bu, teknolojinin potansiyelini tam olarak ortaya çıkarmak için gereklidir.

Enerji tüketimi ve ölçeklenebilirlik, blok zincir teknolojisinin karşı karşıya olduğu önemli zorluklardan bazılarıdır. Bu sorunların çözülmesi, teknolojinin daha geniş kabul görmesinin önünü açacaktır.

Blok zincir teknolojisi, dijital dünyada güven ve şeffaflık paradigmasını yeniden tanımlıyor. Teknolojinin sunduğu değişmezlik ve dağıtık yapı, farklı sektörlerde devrim yaratma potansiyeline sahip. Önümüzdeki yıllarda, blok zincirinin etki alanının daha da genişlemesi ve gündelik hayatımızın birçok yönünü dönüştürmesi bekleniyor.

Gelecekte Blok Zincir Teknolojisinin Rolü

• Dijital Varlıklar ve Ekonomi: Blok zincir, dijital varlıkların, sanat eserlerinin ve telif haklarının yönetimi için ideal bir platform sunar. NFT'lerin popülerliği, dijital ekonominin nasıl şekillenebileceğine dair bir örnek teşkil eder.
• Dijital Kimlikler: Güvenilir dijital kimlik sistemleri, blok zincir teknolojisi sayesinde mümkün hale gelebilir. Bu, çevrimiçi gizlilik ve güvenlik sorunlarına yenilikçi çözümler sunar.
• Oy Verme Sistemleri: Blok zincir tabanlı dijital oy verme sistemleri, şeffaflık, güvenilirlik ve manipülasyona karşı direnç sunabilir. Bu, demokratik süreçlerin daha erişilebilir ve güvenilir hale gelmesini sağlar.

Zorluklar ve Çözümler

Blok zincir teknolojisinin geniş ölçekte benimsenmesi, karşılaştığı zorlukların üstesinden gelinmesini gerektirir. Enerji tüketimi ve ölçeklenebilirlik, özellikle Proof of Work (PoW) konsensüs mekanizmasını kullanan sistemlerde önemli sorunlardır. Alternatif konsensüs mekanizmaları ve daha enerji verimli blok zincir çözümleri, bu sorunlara yönelik potansiyel çözümler arasındadır.

Ayrıca, blok zincir teknolojisinin yaygınlaşması için yasal ve düzenleyici çerçevelerin geliştirilmesi gerekmektedir. Kullanıcıların güvenliğini ve mahremiyetini korurken, teknolojinin potansiyelini kısıtlamayacak düzenlemeler, blok zincir ekosisteminin sağlıklı bir şekilde büyümesi için kritik öneme sahiptir.

Sonuç

Blok zincir teknolojisi, dijital dünyanın geleceğinde merkezi bir rol oynamaya aday. Finanstan sağlık hizmetlerine, eğitimden sanat dünyasına kadar geniş bir uygulama alanı sunan bu teknoloji, güven ve şeffaflık ihtiyacının her geçen gün arttığı bir dünyada çözüm sunuyor. Karşılaşılan zorlukların üstesinden gelinmesi ve teknolojinin sorumlu bir şekilde kullanılması durumunda, blok zincir teknolojisi, dijital toplumun temel taşlarından biri olabilir.

Bitcoin nasıl hacklenir? %51 saldırısı nedir?

Yazının devamı..

Keepass ile Şifre Yönetimi

Şifre konusunda uzun zamandır yazmak istediğim bir sorunu ve çözümünü paylaşmak istiyorum. Gördüğüm kadarıyla şifre yönetiminde pek başarılı değiliz. Kullanıcıların çoğu, unutmamak için her sitede aynı şifreyi kullanıyor. Oysa, şifre yönetim yazılımlarıyla bütün şifreleri güvenli bir şekilde depolamak ve kullanmak çok kolay. Benim bu konuda önerim, yıllardır kullandığım KeePass Password Safe. 

KeePass açık kaynak kodlu, ücretsiz, güvenli ve kullanımı kolay bir yazılım. Bilgisayarın yanı sıra, tablet ve akıllı telefonlarda da kullanılabiliyor. (Bkz: http://keepass.info) Ben bu yazılım sayesinde yıllardır şifrelerimin çoğunu bilmiyorum. çünkü bilmem gerekmiyor, üstelik şifrelerim o kadar uzun ve karmaşık ki bakarak bile yazmakta zorlanıyorum. Bu yazılım istediğiniz uzunlukta ve istediğiniz karakter kombinasyonlarıyla otomatik olarak şifre üretip dilerseniz şifreleri sitelere kendisi girebiliyor. Tek yapmanız gereken; belirlediğiniz ana şifreyi ezbere bilmek ve asla unutmamak. Tek risk ise ana şifreyi kaptırmanız halinde bütün şifrelerinizin çalınma olasılığı var. Sanırım bu riske de değer. Birbirinin aynı ve zayıf olan şifreleri onlarca sitede kullanmaktan iyidir. Ayrıca bu riske karşı önlem olarak bir anahtar dosyası kullanma seçeneğiniz de mevcut. Böylece şifreniz ele geçirilse bile belirlediğiniz anahtar dosyası olmadan şifre veritabanı açılamayacaktır. 

Güvenli kalın..

Serdar Kocaoğlu
01.05.2014

Benzer yazılar:
En çok Kullanılan 20 Şifre ve Şifre Güvenliği
Klavyeden Şifre Çalınabiliyor

Yazının devamı..

Heartbleed Açığı

Heartbleed açığı Google, Facebook, Yahoo gibi dünya çapındaki web sitelerini etkiledi. Sorun, web iletişiminin kriptolanmasında yaygın olarak kullanılan açık kaynak kodlu OpenSSL yazılımındaki bir hatadan kaynaklanıyordu. Bu zafiyet birilerinin şifrelerimizi çalmasına yol açmış olabilir. Her ne kadar firmalar bu açıklığa karşı önlem almış olsalar da kişisel güvenliğiniz için şifrenizi değiştirmenizi öneririm.

Serdar Kocaoğlu
01.05.2014

Yazının devamı..

DoS/dDoS Nedir?

Son zamanlarda bazı kamu kurumlarımıza yönelik Anonymous grubu tarafından yapılan dDoS saldırılarını duymuşsunuzdur. Peki nedir bu DoS/dDoS?

Öncelikle bu tip saldırılar hacking amaçlı değildir. Amaç; DoS (Denial of Service) adından da anlaşılacağı üzere servisi cevap veremez (iş göremez) hale getirmektir. Bu da aşırı talep yapılarak sağlanıyor. Bir benzetme yapmak gerekirse 40 kişilik bir otobüse 100 kişinin binmesi gibi birşey. 100 kişiyi bu otobüse bindirirseniz doğal olarak verilen hizmet aksar, aşırı yavaşlar veya durma noktasına gelir. Bu tip saldırılarda da durum böyle. Örneğin; saniyede 1000 bağlantıyı kaldırabilen bir web sitesine 5.000 bağlantı yapılması veya 1Mb bantgenişliği kullanan bir siteye 10Mb'lik istek gönderilmesi de bu tip saldırılarda kullanılan yöntemlerdir. Daha iyi bir örnek vermek gerekirse; ÖSYM'nin sınav sonuçlarını açıkladığı gün sitesine girmek nasıl pek mümkün olmuyorsa, bu tip saldırılarda da olan aynen budur yani aşırı talep.

Saldırı bir bilgisayardan yapılıyorsa DoS, birden fazla bilgisayar kullanılıyorsa dDoS (distributed DoS) oluyor. dDoS saldırıları için genelde daha önce ele geçirilmiş zombi bilgisayarlar (Botnetler) kullanılıyor. Anonymous grubunun yaptığı dDoS saldırılarında ise grup üyeleri bilgisayarlarının saldırı amaçlı kullanımı için gönüllü oluyorlar.

Başta da belirttiğim gibi bu tip saldırılar hackleme veya bilgi çalma amaçlı olmadığı için sitelerin zarar görmesi sözkonusu değil. Dolayısıyla burada asıl cezalandırılanlar bu web sitelerini kullananlar oluyor. Üstelik saldırı yapılan siteler devlet siteleri olursa, saldırı da bana göre tamamen halka yönelik olur. Bu yüzden bu tür saldırılara asla prim verilmemeli ve destek olunmamalıdır.

Serdar Kocaoğlu
22.06.2011

Yazının devamı..

Java ve Flash güncellemeleri yüzünden hacklenmek

Her ne kadar bir hacker olmasam da hackleme yöntemlerini daha doğrusu işin mantığını öğrenmeye ve mümkün olduğu kadar burada paylaşmaya çalışıyorum. Daha önce de bu konuda Arabellek taşması, Mail ekleri gibi yöntemlerden bahsetmiştim. Bu defa, okuduğumda çok hoşuma giden güzel bir hacking yönteminden bahsetmek ve ne gibi tehlikelerle karşı karşıya olduğumuzu bir kez daha vurgulamak istiyorum. Eminim bir çoğunuz bunu ilk defa duyacaksınız.

Java ve Flash güncellemeleri yüzünden hacklenmek   

Sanırım bilgisayarında Java ve Flash yazılımları kurulu olmayan yok gibidir. İnternete giriyorsanız; videoları izlemek için Flash, Java uygulamalarını çalıştırmak için de Java kurmanız gerekiyor ve bildiğiniz gibi bu yazılımların sürekli açıkları ve güncellemeleri çıkıyor. Güncelleştirmeler için bu yazılımların otomatik çalışan birer güncelleme programcıkları sisteminizde sürekli çalışarak yeni güncelleme olup olmadığını düzenli bir şekilde internetten kontrol ediyorlar. Evet buraya kadar herşey normal değil mi? Peki ya bilgisayarınız Flash veya Java güncellemesi yapıyorum zannederken hackerın sunucusundan gelen programları kuruyorsa? Üstelik bunu da siz hiç farkına bile varmadan size yaptırıyorsa?

Sanırım mantığı anladınız, peki bu nasıl mı oluyor? Bu da DNS veya Arp Poisoning gibi başka tekniklerle bilgisayarınız kandırılarak yapılıyor. Sonuçta bilgisayarınız Java veya Flash güncelleme sitesine bağlandığını zannederken güncellemeyi hackerın web sunucusundan alıyor. Burada ilginç olan nokta ise güvenlik nedeniyle sürekli yaptığımız güncellemeler yüzünden bile hacklenebileceğimiz gerçeği.

Siz siz olun bana birşey olmaz demeyin..

Serdar Kocaoğlu
07.05.2011

Windows Güncellemeleri Neden Önemli?

Yazının devamı..

Mail Ekindeki Dosyalar ve Mail Güvenliği

Çoğunuz tanımadığınız kişilerden ekinde bir word veya pdf dokümanı olan spam mailler alıyorsunuzdur ve umarım çoğunuz doc veya xls dokümanlarında virüsler bulunabileceği için bu dosyaları açmadan maili siliyorsunuzdur. Zaten xls gibi makro virüsleri içerebilecek çok riskli dokümanlar genelde antispam veya antivirüs yazılımlarına takıldıkları için mail kutumuza kadar pek gelemezler. Peki ya pdf uzantılı dosyalar?

Nedense pdf dosyalarına karşı bir sempati var, bu tür dosyalardan zarar gelmez gibi bir algı var. Halbuki bunlar da en az doc ve xls kadar riskli ve tehlikeli olabilir çünkü Adobe Acrobat veya Adobe Reader'ın da Office kadar güvenlik açığı ortaya çıkıyor. İşte gelen mailler bu güvenlik açıklarını kullanan zararlı kodlar barındırıyor. O yüzden tanımadığınız, bilmediğiniz, şüphe uyandıran ve en önemlisi beklemediğiniz bir dosyayı asla açmayın. İçinde zararlı kod bulunan dosyayı açtığınız anda dosyayı açacak olan program (doc ise MS Word, xls ise MS Excel, pdf ise Adobe Reader vs) güncel değilse yani en son yayınlanan güvenlik güncelleştirmelerini yapmamışsanız zararlı kodu çalıştırmış olursunuz ve bilgisayarınız başkalarının yönetimine geçebilir. Hiçbirşeyin farkında bile olmadan bir botnetin parçası olabilirsiniz. Üstelik siz son yamaları yapmış olsanız bile sıfır gün denen açıklar kullanılmış olabilir. Sıfır gün açıkları henüz ilgili yazılım firmasının bilmediği ve önlem almadığı yani yama yayınlamadığı açıklardır ki bu şekilde belki binlerce açık vardır ve bu açıklar genelde keşfedildikten çok sonra farkedilip kapatılabiliyor. Bu güvenlik açıkları nedeniyle MS Office yerine Open Office, Adobe Reader yerine de Foxit Reader kullanmak riski azaltan önlemlerdir.

Serdar Kocaoğlu
26.01.2011

İlgili Yazılar:
Spama Karşı Port Tedbiri
Alternatif ve Ücretsiz Yazılımlar
mail, email, e-mail, eposta, e-posta güvenliği, spam mail, .doc, .xls, .pdf, dosya, word, excel, office, adobe acrobat, adobe reader, açık, güncelleme, patch, yama, hack, update, virüs, antispam, zararlı kod, program, yazılım, bilgisayar, zombi, botnet, trojan, 0-gün, sıfır gün açıkları

Yazının devamı..

En çok Kullanılan 20 Şifre ve Şifre Güvenliği

Aralık 2009'da rockyou.com sitesinin 32 milyon üyesinin şifreleri bir hacker tarafından SQL injection yöntemiyle ele geçirildi. Bu şifreler hacker tarafından kullanıcı adları verilmeden internette yayınlandı ve bu sayede insanların en çok hangi şifreleri kullandıkları ortaya çıktı. Buna göre en çok kullanılan 20 şifre şunlarmış:

1. 123456
2. 12345
3. 123456789
4. Password
5. iloveyou
6. princess
7. rockyou
8. 1234567
9. 12345678
10. abc123
11. Nicole
12. Daniel
13. babygirl
14. monkey
15. Jessica
16. Lovely
17. michael
18. Ashley
19. 654321
20. Qwerty

Bu şifreler üzerinde yapılan araştırmalara göre:

1) Şifrelerin %30'u 6 veya daha az karakterden oluşuyor.
2) Şifrelerin %50'si isimler veya kelimelerden oluşuyor.
3) Şifrelerin sadece %0,2'si yani binde ikisi güçlü şifre tanımlamasına uyuyor.

Güçlü (Güvenli) Şifre için kurallar şu şekilde tanımlanıyor:
- Şifre en az 8 karakterli olmalı
- Şifrede 4 karakter grubunun en az 3'ü bulunmalıdır. Bu 4 karakter grubu şunlardır: büyük harfler (A,B,C..), küçük harfler (a,b,c..), rakamlar (0,1,2..), özel karakterler (!,@,*..)
- Şifre; ad, soyad, tarih ve sözlükte geçen kelimeler içermemelidir.

Örnekler:
def.4567
HLK*9657
Kt!123Mn
gibi..

Serdar Kocaoğlu
13.10.2010

Benzer yazılar:
Keepass ile Şifre Yönetimi
Kablosuz Adsl Modem Güvenliği
Klavyeden Şifre Çalınabiliyor

Yazının devamı..

Kablosuz İnternetin Sakıncaları

Ülkemizde ADSL'in yaygınlaşmasıyla internet kullanımı her geçen gün hızla artıyor. Buna bağlı olarak kullanıcının bilgi seviyesi, bilişim konularına ilgisi ve internetin kullanım alanları da artıyor. Artık herhangi bir yerde dizüstü bilgisayarımızı açtığımız zaman en az 2-3 kablosuz ağla karşılaşmaya başladık. Tabi bu da en sıradan kullanıcıların bile iştahını kabartmaya başladı. Bu iştahtan olsa gerek ki, hemen hemen her forumda kablosuz ağ şifrelerinin nasıl kırıldığı detaylarıyla anlatılıyor.
Kablosuz ağ standartlarındaki zaafların ve adsl abonelerinin alınması gereken güvenlik önlemlerini bilmemesi ve önlem almaması da tehlikenin boyutlarını gittikçe artırıyor.

Bu şartlar altında yeni çıkan 5651 sayılı kanuna göre artık internet kafe gibi toplu kullanım sağlayıcılarının, internet sağladıkları kullanıcılara ait kimlik bilgilerini ve ne zaman hangi sitelere girdiklerini kayıt altına almaları, bu kayıtları en az 6 ay saklamaları ve gerektiğinde yetkililere vermeleri gerekiyor. İnternet kafelerde kullanılan kablolu ağlar için fazla bir sorun yok, kullanıcının kimlik bilgilerini alıp şu bilgisayara otur diyerek kullanıcının hangi IP adresiyle neler yaptığını arşivleyip gerektiğinde belgeleyebilirler. Ancak mesele kablosuz ağ kullanmaya gelince iş değişiyor.

Sorun şu; müşterilerine kablosuz internet hizmeti sunan otel, pastane, kafeterya, kafe vb firmalar hangi IP adresinin kime tahsis edildiğini nasıl kontrol altına alacaklar? Yani kimin ne yaptığını nasıl bilecekler? Bu tür hizmet veren yerlerde klasik uygulama şöyle; vatandaş laptopunu getirir, eğer varsa WEP veya WPA şifresi vatandaşa verilir, internete rahatça bağlansın, IP ayarıyla falan uğraşmasın diye adsl modemdeki DHCP servisiyle otomatik IP adresi, ağ maskesi, ağgeçidi, dns ayarları da sağlanır ve kullanıcı internete erişir. Yani mevcut haliyle bu toplu internet sağlayıcısı, kimin nereye girdiğini bırakın, ağında kaç kişinin olduğunu, kimin ne IP aldığını, şifresinin müşterileri dışında birileri tarafından kullanılıp kullanılmadığını bile bilmez. Daha da kötüsü bunları bilmesi gerektiğini de bilmez.

Peki çözüm ne?

Bence en kolay ve en etkili çözüm kablosuz ağ hizmeti vermemek. Çünkü siz kullanıcıları kontrol altında tutamıyorsanız, her türlü bilişim suçuna zemin hazırlamışsınız demektir. Örneğin bir pastanenin yanındaki binada oturan birisi bu pastanenin kablosuz internetini kullanmayı ve çocuk pornosu sitelerine girmeyi alışkanlık haline getirmişse ve bu durum adliyeye yansımışsa ve siz pastane sahibi olarak çocuk pornosu sitelerinde ne işiniz vardı sorusuna verecek herhangi bir cevap veya aksi yönde bir delil getiremiyorsanız yapılacak pek bişey kalmaz. Ya bu konularda önlemler alacak ya da bu riski kabulleneceksiniz. Alınması gereken en temel güvenlik önlemleri için şu makaleyi inceleyebilirsiniz:
Adsl Modem ve Kablosuz Ağ Güvenliği
Ancak bu linkte anlatılan tedbirler de tehlikeleri bertaraf edecek kadar etkili olmayıp daha ziyade ev kullanıcıları içindir. Kablosuz internet hizmeti sağlayanların, daha profesyonel ve gelişmiş güvenlik önlemleri almalarını, kullanıcılarının kimlik bilgileriyle IP adreslerini eşleştirerek, eriştikleri bütün sitelerin kayıtlarını tutmalarını ve kanunda belirtilen katalog suçlara karşı içerik filtreleme önlemi almalarını öneririm..

Serdar Kocaoğlu
01.06.2008

adsl, kablosuz, ağ, internet, sağlayıcı, güvenlik, kimlik, kullanıcı, şifre, 5651 sayılı yasa, kanun, toplu internet kullanım sağlayıcı, çocuk pornosu, katalog suçlar, dhcp, IP, WEP, WPA, DNS

Yazının devamı..

Windows XP'den Kurtulun!..

Hatırlatmakta yarar var; Microsoft, Windows XP SP2 için güncelleme desteğini 13 Temmuz'da sonlandırdı. Daha önce Windows güncellemelerinin neden önemli olduğunu ve ihmal edilmemesi gerektiğini anlatmaya çalışmıştım.

Bence artık yapılması gereken asıl şey Windows XP'den bir an önce kurtulmaktır ama XP'den şu veya bu nedenle vazgeçemeyenlerin ise mutlaka SP3 ve son güncellemeleri yüklemeleri gerekiyor. SP3 (Service Pack 3) çıkalı zaten 2 yıldan fazla süre geçtiği için bilgisayarların bir çoğunda kurulu durumdadır ama ısrarla yüklemeyenler varsa büyük tehlike altında oldukları kesin.

Hülasa, Windows XP neredeyse 10 yıllık bir işletim sistemi ve artık güvenlik açıklarıyla, sistem zaafiyetleriyle başa çıkmak oldukça güç bir hal aldı. Bu yüzden siz siz olun artık XP'den kurtulmaya bakın. Tercihiniz yine Microsoft ise Vista değil Windows 7 kullanın ancak ücretsiz Linux Dağıtımlarını da bir düşünün derim..

Serdar Kocaoğlu
MCSE:S
17.08.2010

Yazının devamı..

Bir linki tıklamak..

Bir linki tıklamaktan ne çıkar demeyin! Mailinize gelen veya herhangi bir sitede gördüğünüz bir linki tıklamanız kişisel bilgilerinizin çalınmasına, bilgisayarınıza zararlı yazılımlar bulaşmasına, hatta bilgisayarınızın ele geçirilmesine yol açabilir.

Konuyla ilgili bir kaç örnek vermek gerekirse:

Senaryo 1) Mail kutunuza gelen bir mailde tıklamanız istenen bir link var. Linki tıkladığınızda antivirüs veya antispyware yazılımlarınızın tanımadığı yeni üretilmiş bir virüsü farkına varmadan bilgisayarınıza indirebilirsiniz. Bu indirme işlemi için linkin ille de exe, bat, cmd gibi uzantılara sahip olması gerekmez. Link, gayet normal görünen bir web sitesini açabilir ama arka planda çeşitli scriptler çalışmış ve olan olmuştur.
Çıkarılacak ders: Her linki tıklamayın.

Senaryo 2) Facebook'ta birisi bir link paylaştı ve tıkladınız. Facebook oturumunuz açık olduğu için, girdiğiniz web sitesinde bunun için özel yazılmış bir script Facebook bilgilerinizi çaldı.
Bu gibi tehlikelerden dolayı Facebook gibi siteler, başka bir web sitesine giden bir linki tıkladığınızda sizi uyarır. Link güvenli olmayabilir, ayağınızı denk alın gibi. Bir de bu senaryoda, Facebook yerine bir online bankacılık sitesini koyun. Bu durumda kaybınız çok daha büyük olabilir.

Çıkarılacak ders: Her linki tıklamayın.

Webde güvenliğiniz için şunlara dikkat etmenizi öneririm:

1) Bir sitede oturumunuz açıkken bilmediğiniz başka bir siteye girmeyin.
2) Her zaman açtığınız oturumları kapatın. (Oturumu Kapat veya Güvenli Çıkış gibi linkleri kullanın.)
3) Şifreyi (Parolayı) anımsa özelliğini kullanmayın.
4) Sık sık internet geçmişini ve çerezleri temizleyin.
5) Web tarayıcınız ne olursa olsun (Internet Explorer, Firefox, Opera, Chrome vs.) mutlaka güncel tutun.

Serdar Kocaoğlu
12.08.2010

İlgili Yazılar:
DNS Ayarlarına Dikkat!
Windows Güncellemeleri Neden Önemli?
Örnek bir phishing (olta) maili..
İnternet Bankacılığı Kullanımı ve Güvenliği
Tehlikeli Aramalar

Yazının devamı..

Açık Kaynak Neden Daha Güvenli?

Bilgisayar güvenliği için sayılabilecek pek çok önlem arasında en önemlisi hiç şüphesiz açık kaynak yazılım kullanmak. Eğer açık kaynak bir işletim sistemi ve üzerinde de mümkün olduğunca açık kaynak yazılım kullanmıyorsanız, alacağınız diğer önlemlerin sizi nereye kadar koruyacağı bir hayli tartışmalı hale gelir.

Eğer kaynak kodları kapalı bir yazılım kullanıyorsanız, yazılımın sıradan işlevinin dışında, arka planda ne yaptığını bilmeniz doğal olarak mümkün değil. Yazılımın içine size zarar verebilecek, bilgilerinizi çalıp başka bir yere gönderebilecek, yazılım üzerinde hakimiyet kurmanızı engelleyecek kodlar ve algoritmaların eklenip eklenmediğinin garantisini kimse veremez. Böyle durumlar halihazırda zaten yaşanmakta. Pek çok kapalı kaynak kodlu yazılımın içinde bulunan kodlar sayesinde belirli bir süre sonunda yazılımın lisans süresi sona ermekte ve sizi yeni lisans satın almaya zorlamakta.

Linux'ta ise açık kaynak yazılımlar kullandığımız için böyle bir durum mümkün değil. Yine GPL, BSD gibi lisanslara sahip olmayan açık kaynak yazılımlar olsa bile bunların içinde bu tür komutlar bulundurulamıyor.

Başka bir örnek verecek olursak, yine kaynak kodu kapalı yazılımlarda, yazılımın üreticisi bir güncelleme ile elinizdeki yazılıma müdahale edebiliyor ve siz de bunun farkında olmuyorsunuz. Geçtiğimiz yıllarda Çin'de, korsan Windows kullanan pek çok insanın bilgisayarında bir güncelleme sonucu bilgisayarları her açıldığında ekranda kısa süreliğine de olsa bir bug görünüyordu. Microsoft, böylece korsan Windows kullanıcılarının önünü bir güncelleme ile kesmeye çalışmıştı. Tabii, ne Windows'un ne de söz konusu güncellemenin kaynak kodları bilinmediği için kurulmuştu. Bu belki korsana karşı bir önlemdi ama başka amaçlar için de aynı şeyin yapılmayacağını /yapılmadığını nereden bilebiliriz?

Bir örnek daha verelim: Windows 7 ilk çıktığında “Windows 7'ye arka kapılar (backdoor) eklendiği ve kullanıcının bilgilerini gizlice Microsoft'a gönderdiği” iddiası ortaya atıldı. Microsoft ise böyle bir şeyin olmadığını belirtti. Elbette kaynak kodları bilinmeden, elde bir kanıt olmadan böyle iddiaları ortaya atmak iftira atmaktan başka bir şey olamaz belki fakat yine de bu iddiaların gerçek olmadığını, kaynak kodlarını göremediğimiz için kanıtlayamıyoruz. Microsoft, kaynak kodlarını göstermediği sürece bundan emin olamayız, sadece şirketin sözüne inanarak hareket edebiliriz. Şirketin sözüne güvenip güvenmemek ise kullanıcının kendi tercihine kalmıştır.

Sadece Windows'tan örnek vermiş olsak da bu durumun sadece Microsoft'un ürettiği yazılımlarla sınırlı olduğunu söyleyemeyiz. Bütün kapalı kodlu yazılımlar için aynı derecede şüphelenmemiz gerekiyor. Bu yazılımları geliştirenlerin bu şüphelerin bir temelinin olmadığını kanıtlamaları için kodları göstermekten başka bilinen bir yolları yok. Çünkü bu durum biraz yediğiniz pastaya benziyor. Satın aldığınız pastanın tadına ve görünümüne bakarak içindeki hangi malzemelerin bulunduğunu ve bu pastanın ne şekilde yapıldığını sadece tahmin edebilirsiniz, tarifi bilmezsiniz. Açık kaynak yazılımları ise tarifiyle birlikte dağıtılan bir pasta gibi düşünebilir, ne şekilde yapıldığını ve hangi malzemelerin kullanıldığını görebilir, içinde sağlığınıza zararlı bir şeyin bulunmadığına emin olabilir, aynısını ya da farklı biçimlerini evde deneyebilirsiniz.

Bu nedenle açık kaynak işletim sistemi ve diğer yazılımları kullanarak sistemin sizi arkadan vurmadığını kendiniz görebilirsiniz. Eğer kaynak kodlardan bir şey anlamıyorsanız bu sorun değil, dünyanın dört bir yanındaki binlerce yazılım geliştiricisi bu kodları anlıyor. Diyelim ki birisi Linux'ta kullanıcıya zarar verecek bir kod ekledi, hiç sorun değil. Dünyanın her yerindeki yazılım geliştiricileri bunu görüp, “Neden ekledin bu kodu, senin derdin ne?” diye sorabilir. Söz konusu durum hemen düzeltilebilir. Örneğin, geçtiğimiz yıllarda Mozilla Firefox'un Vietnam dilindeki sürümünün içine zararlı yazılım eklendiği fark edildi. Eğer Mozilla Firefox, kapalı kaynak bir yazılım olsaydı bunu kimse fark edemeyecek ve sadece bunu yapan kişi bilecek, yazılımı kullanan insanlar bundan zarar göreceklerdi. Fakat Mozilla Firefox, açık kaynak olduğu için durum hemen fark edildi ve sorun düzeltildi..

Yazar: Okan Akıncı
Kaynak: SUDO E-Dergi 19. sayı

İlgili Yazılar:
Devlet Pardus'a geçmeli mi?
Windows 7 incelemesi
Linux Dağıtımları ve Linux'u Denemek
Sanallaştırma Nedir? VMware ile Sanal Makine Kullanımı

Yazının devamı..

Bilişim Güvenliği Anket Sonuçları

45 gün süreyle bu sitede düzenlediğim Bilişim Güvenliği Anketi'nin sonuçlarını aşağıda bulabilirsiniz. Katılımlarınız için teşekkürler..

Katılımcı Sayısı: 315

İşyerinizde Bilişim Güvenliği için aşağıdakilerden hangileri uygulanıyor?

Web içerik (URL) filtrelemesi yapılıyor 162 (51%)
Facebook vb. sosyal paylaşım siteleri engelleniyor 148 (46%)
MSN, ICQ vb. messengerlar engelleniyor 114 (36%)
Teamviewer vb. engelleniyor 75 (23%)
Skype vb. engelleniyor 84 (26%)
LimeWire vb. engelleniyor 108 (34%)
Rapidshare vb. dosya paylaşım siteleri engelleniyor 115 (36%)
Ultrasurf vb. proxy veya tünel programları engelleniyor 88 (27%)
Kullanıcılara Admin yetkisi verilmiyor 98 (31%)
Program kurmak engelleniyor 99 (31%)
USB Bellek, CD yazıcı veya harici disk kullanımı yasak 70 (22%)
Yazıcı kullanımı kısıtlanıyor 43 (13%)
Ekran görüntüsü almak engelleniyor 42 (13%)
Ağ/İnternet Kullanıcı Sözleşmesi imzalatılıyor 62 (19%)
Kullanıcıların internet erişim bilgileri kaydediliyor 85 (26%)
Antivirüs kullanılıyor 128 (40%)
Veri sızması engelleme yazılımı kullanılıyor 56 (17%)
Spam mailler engelleniyor 94 (29%)
Firewall kullanılıyor 107 (33%)
IDS/IPS kullanılıyor 62 (19%)
Web Application Firewall kullanılıyor 65 (20%)
Database Firewall kullanılıyor 50 (15%)
Ağ Erişim Kontrolü (NAC, 802.1x vb) uygulanıyor 59 (18%)
Dijital (Elektronik) İmza kullanılıyor 52 (16%)
Karmaşık şifre kullanımı zorunlu 65 (20%)
Birimler arası ağ iletişimi kısıtlanıyor 59 (18%)
Lisanssız (kaçak, crackli) yazılım kullanımı engelleniyor 82 (26%)
IP, MAC adresi değiştirmek engelleniyor 71 (22%)
Windows güncellemeleri zorunlu tutuluyor 76 (24%)
Ağ ve uygulamaların güvenlik açıkları taranıyor 64 (20%)
Kullanıcılar bilişim güvenliği hakkında bilgilendiriliyor 56 (17%)
Güvenlik için açık kaynak kodlu yazılımlar tercih ediliyor 45 (14%)
Geliştirilen yazılımlarda güvenli kodlamaya önem veriliyor 53 (16%)
Bilgisayar ve sunucular arasında ağ iletişimi kriptolu yapılıyor 60 (19%)
3G, dial-up, adsl, AP engelleniyor 68 (21%)

--------------------------------------------------------------------

Eski Anketler:
Bilgisayar ve internet güvenliği için ne tür programlar kullanıyorsunuz?
TC Kimlik numaralarının yayınlanması hakkında anket sonuçları

Yazının devamı..

Bilişim Güvenliği Anketi

Bilgi ve iletişim teknolojileri geliştikçe kullanım alanları da gittikçe yaygınlaşıyor ama bu durum güvenlik zaafiyetlerini de beraberinde getiriyor. Bu nedenle orta ve büyük ölçekli bir çok firma veya kurum, bu zaafiyetleri giderici önlemler almaya çalışıyor. Ülkemizde bu önlemlerin yaygınlığını ve ne düzeyde olduğunu merak ettiğim için bir anket hazırlamaya karar verdim. Ankete aklıma geldiği kadarıyla bir çok cevap eklemeye çalıştım ancak unutmuş olabileceklerim dışında detaya girmemek için ihmal ettiğim konular da oldu. Ankete katılmanızı ve bildiğiniz kadarıyla cevaplamanızı umuyorum. Eğlenceli bir anket olduğunu düşünüyor ve sonuçları dört gözle bekliyorum. Serdar Kocaoğlu - MCSE:S - 15.04.2010

Anket:

İşyerinizde Bilişim Güvenliği için aşağıdakilerden hangileri uygulanıyor?

Web içerik (URL) filtrelemesi yapılıyor
Facebook vb. sosyal paylaşım siteleri engelleniyor
MSN, ICQ vb. messengerlar engelleniyor
Teamviewer vb. engelleniyor
Skype vb. engelleniyor
LimeWire vb. engelleniyor
Rapidshare vb. dosya paylaşım siteleri engelleniyor
Ultrasurf vb. proxy veya tünel programları engelleniyor
Kullanıcılara Admin yetkisi verilmiyor
Program kurmak engelleniyor
USB Bellek, CD yazıcı veya harici disk kullanımı yasak
Yazıcı kullanımı kısıtlanıyor
Ekran görüntüsü almak engelleniyor
Ağ/İnternet Kullanıcı Sözleşmesi imzalatılıyor
Kullanıcıların internet erişim bilgileri kaydediliyor
Antivirüs kullanılıyor
Veri sızması engelleme yazılımı kullanılıyor
Spam mailler engelleniyor
Firewall kullanılıyor
IDS/IPS kullanılıyor
Web Application Firewall kullanılıyor
Database Firewall kullanılıyor
Ağ Erişim Kontrolü (NAC, 802.1x vb) uygulanıyor
Dijital (Elektronik) İmza kullanılıyor
Karmaşık şifre kullanımı zorunlu
Birimler arası ağ iletişimi kısıtlanıyor
Lisanssız (kaçak, crackli) yazılım kullanımı engelleniyor
IP, MAC adresi değiştirmek engelleniyor
Windows güncellemeleri zorunlu tutuluyor
Ağ ve uygulamaların güvenlik açıkları taranıyor
Kullanıcılar bilişim güvenliği hakkında bilgilendiriliyor
Güvenlik için açık kaynak kodlu yazılımlar tercih ediliyor
Geliştirilen yazılımlarda güvenli kodlamaya önem veriliyor
Bilgisayar ve sunucular arasında ağ iletişimi kriptolu yapılıyor
3G, dial-up, adsl, AP engelleniyor

Yazının devamı..

Arabellek Taşması (Buffer Overflow) Açıklıklarına Karşı Temel Önlemler

En yaygın saldırı türlerinden biri olan Arabellek Taşması (Buffer Overflow) açıklıklarının kullanılması, Hackerların en sevdiği yöntemlerden birisi. Bu konuda, sözkonusu açıklıkların en başından kapatılması için programcılara/yazılımcılara yani kodculara düşen önemli görevler var.

Arabellek Taşması (Buffer Overflow) Açıklıklarını önlemek için kodcuların uygulaması gereken temel önlemler:

1. Library (Kütüphane) dosyalarını kullanmaktan kaçının: Programlama dillerinde kullanılan Library dosyalarının doğası gereği güvenliği zayıftır ve hacker saldırılarına açık bir hedef teşkil ederler. Hacker tarafından Kütüphane dosyasında bulunan herhangi bir zayıflık, aynı kütüphane dosyasını kullanan diğer programlarda da mevcut olacağından, bu tür açıklar hackerların iştahını kabartan bir saldırı aracı haline dönüşmektedir.

2. Kullanıcı girdilerini filtreleyin: Veritabanı problemlerine yol açabilecek, muhtemel tehlike oluşturabilecek HTML kod ve karakterlerinin filtrelenmesi gerekir. Örneğin, bir ASP kodunda, kesme işareti, tırnak işareti ve & işareti ayrılmış işaretlerdir. Bu işaretler kullanıcı girişlerinde bulunmamalıdır, aksi halde uygulama çökebilir. Bu tür karakterlerin süzme işleminden geçirilerek filtrelenmesi problemlerin önüne geçecektir.

Örnek bir kodlama:

strNewString = Request.Form("Review")
strNewString = Replace(strNewString, "&", "& amp;")
strNewString = Replace(strNewString, "<", "& lt;")
strNewString = Replace(strNewString, ">", "& gt;")
strNewString = Replace(strNewString, "'", "`")
strNewString = Replace(strNewString, chr(34), "``")

3. Uygulamaları test edin: Güvenli Kodlama (Secure Coding) için kullanıma geçmeden önce bütün yazılımların güvenlik testlerinden geçmesi gerekir. Bir hacker gibi hackleme denemeleri yapılmalı, sorunlar varsa giderilmelidir. Eğer bu denemeler sırasında yazılım çöküyorsa, hackerların kullanabileceği bir problem olduğu açıktır ve düzeltilmesi gerekir.

Kaynak: Yukardaki 3 yöntem http://searchsecurity.techtarget.com sitesinden Türkçe'ye çevrilmiştir.

Serdar Kocaoğlu
MCSE:S
06.04.2010

Yazının devamı..

MS10-015 Windows Güncelleştirmesi ve Mavi Ekran Sorunu

"Windows Güncellemeleri neden önemli?" yazımdan sonra 9 Şubat'ta Microsoft önemli bazı güvenlik güncelleştirmeleri yayınladı. Rastlantı bu ya güncelleştirmelerden birinin soruna yol açacağı tuttu. MS10-015 (KB977165) numaralı güncelleştirmenin rivayete göre 17 yıllık bir açıklığı kapattığı ama bazı bilgisayarlarda sistem çökmesine (Mavi Ekran, Blue Screen of Death) neden olduğu söyleniyor. Ancak bugün okuduğum bir makalede bu çökmelerin asıl sebebinin bir rootkit olduğu yazıyor. Anlatılana göre bilgisayarlara çöreklenmiş olan bu rootkit (TDL3/TDSS) Microsoft'un yaptığı güncellemeyle uyumsuz olduğu için sistemlerin çökmesine neden olmuş. Yani sonuç olarak iyi de olmuş. Kullanıcıların, bilgisayarlarında yıllarca farkında olmadan birlikte yaşadıkları bu tür zararlı yazılımların bir şekilde açığa çıkması elbette faydalıdır. Yalnız işin kötü tarafı, rootkit de güncellenmiş :) Bu savaş daha çok süreceğe benzer..
Serdar Kocaoğlu/MCSE:S/18.02.2010

Yazının devamı..

Windows Güncellemeleri Neden Önemli?

İzlenimlerime göre Windows ve diğer yazılımların güncellemelerine yeterince önem verilmiyor. Oysa bu güncelleştirmeler sistem güvenliği için son derece kritik öneme sahip olabiliyor. Windows'un özellikle güvenlik güncelleştirmeleri asla ihmal edilmemeli çünkü tesbit edilen güvenlik açıkları bu güncelleştirmelerle kapatılıyor. Güncellemelerin yapılmaması durumunda sisteminize dışardan sızmalara veya zararlı yazılımların saldırılarına karşı savunmasız kalmış olursunuz. Örneğin; 2009'a damgasını vuran ve hala etkisini sürdüren Conficker Virüsü, MS08-067 numaralı Windows açıklığını hedef alarak milyonlarca bilgisayara bulaştı. Sistemini otomatik olarak güncelleyenler, bu tip saldırı ve virüslerden korunmuş oluyorlar.

Bu noktada akla şu soru da gelebilir:
Windows'un neden bu kadar çok açığı çıkıyor?

Bu çok sorulan ve üzerine komplo teorileri üretilen bir soru ama çok da doğru bir soru değil çünkü bu açıklar ve güncellemeler bütün yazılımların ortak kaderi. Sadece Windows değil bütün yazılımlar zamanla geliştirilip eksik kısımları tamamlanıyor veya sonradan tesbit edilen eksikler, hatalar veya açıklar bu güncellemelerle kapatılmaya çalışılıyor. Örneğin Internet Explorer gibi Firefox'un, Opera'nın ve Chrome'un da sürekli güvenlik açıkları ortaya çıkıyor ve bu açıklar yeni sürümlerle kapatılıyor. İş bunlarla da sınırlı kalmıyor, aklınıza gelebilecek her türlü yazılımın (MS Office, Open Office, Adobe Reader, Winrar, Windows Media Player, BS Player, Java, Flash Player vs..) yeni versiyonları çıkıyor. Bu yeni versiyonlar hem yeni geliştirilmiş özellikleri hem de güvenlik yamalarını ihtiva ediyor.

Peki bu açıklar/açıklıklar nasıl kullanılıyor?

Açıklar kullanılarak uzaktan komut çalıştırma, hizmet dışı bırakma (DoS) veya komut enjeksiyonu gibi saldırılar yapılarak sistemlere yetkisiz erişim sağlanabiliyor, servis dışı bırakılabiliyor veya zararlı yazılımların sistemlere bulaşması ve yayılması sağlanıyor.

Özetle, kişisel bilgilerinizin güvenliğine önem veriyorsanız güncellemeleri ihmal etmeyin.

Güvenli bir bilgisayar için asgari olarak şu 3 kural unutulmamalı:

1) Güncelleştirmeler yapılmalı
2) Antivirüs kullanılmalı ve güncellenmeli
3) Güvenlik Duvarı (Firewall) kullanılmalı

Son çıkan önemli güvenlik açıklarını şu linkten takip edebilirsiniz: Ulusal Bilgi Güvenliği Kapısı - Güvenlik Bildirileri


Serdar Kocaoğlu
MCSE:S
30.01.2010

İlgili Yazılar:
Windows XP'den Kurtulun..
Bir linki tıklamak..
Güvenlik Anketi Sonuçları
İnternet Bankacılığı Kullanımı ve Güvenliği
DNS Ayarlarına Dikkat!

Yazının devamı..

GSM de Hacklendi!

GSM’in güvenlik şifreleri kırıldı
Cep telefonu görüşmelerinin dinlenmesini engelleyen ve sır gibi saklanan şifreleme sistemi hackerlar tarafından kırıldı. Alman hackerlar grubu, GSM (Global System for Mobile Communications) hatlarında konuşmaların başkalarınca dinlenmesini engelleyen son derece gizli şifreleme sistemini çözmeyi başardı. Sistemin kodlarını kamuoyuna da açan grup, GSM Association’ın şimşeklerini üstüne çekti.

Bilgisayar uzmanı Karsten Nohl liderliğindeki ekip, GSM şebekelerinin dinlemeye karşı iddia edildiği kadar güvenli olmadığını gösterme iddiasıyla 5 ay önce çalışmaya başladı ve Nohl’un önceden verdiği tarihte tüm güvenlik kodlarını yayımladı.

Nohl, daha önce beyaz şapkalı hackerların katıldığı bir konferansta GSM şifreleme sistemini çözeceğini duyurmuştu.

Algoritma Nasıl Kırıldı?
Yaklaşık iki düzine usta bilgisayar yazılımcısı ve mühendisin yardımıyla kırılabilen A5/1 algoritması, 22 yıldır GSM şebekelerinde kullanılıyor. Cep telefonuyla yapılan görüşmelerin elektronik yolla dinlenmesini önleme amacıyla geliştirilen şifreleme sistemi, 80 kanal arasında sürekli frekans değiştirerek çalışıyor. Yeni geliştirilen daha güvenli A5/3 anahtarıysa henüz pek çok GSM operatörü tarafından kullanılmıyor.

Kullanılan bilgisayar ağıyla tüm güvenlik şifresi kombinasyonlarını bir araya toplayan Nohl, güçlü bir masaüstü bilgisayar ve 30 bin dolarlık ek teçhizatla artık tüm GSM konuşmalarının dinlenebileceğini belirtti.

Algoritmayı geliştiren, uygulama standartlarını belirleyen ve kodları saklayan GSM Association, Nohl’un şifreleri kırarak kamuoyuna açıklaması karşısında küplere bindi. Kurumdan yapılan açıklamada Nohl’un eylemi, çok ciddi bir suç olarak nitelendirildi ve İngiltere dahil pek çok ülkede ciddi şekilde cezalandırıldığı vurgulandı.

Neden Kırdılar?
Nohl ise gerekçelerini şöyle açıkladı: "GSM şebekelerindeki güvenlik şifrelemesi hiç de söylendiği kadar güvenilir değil. Biz de bunu kanıtladık. Umarım müşteriler konuşmalarının dinlenmesini önleyebilecek daha güvenilir bir sistem için seslerini yükseltir."

GSM hatlarındaki görüşmelerin dinlenmesi teknik olarak daha önce de mümkündü ancak bunun için milyonlarca dolarlık bir sistem kurmak gerekiyordu. BBC’ye konuşan Cellcrypt çalışanı Ian Melkin, "Endişe verici bir gelişme. Artık suç örgütlerinin de cep telefonlarını dinleyebileceği ortaya çıktı" dedi.
(Kaynak: Ntvmsnbc)

GSM Nedir? Global System for Mobile Communications (Mobil Haberleşme İçin Küresel Sistem) bir cep telefonu iletişim protokolüdür.

İlgili Yazılar:
Cep Telefonu Nasıl Dinlenir?
Cep Telefonu Alırken Dikkat Edilmesi Gerekenler
3G Muhabbeti
112-Acil Yerinizi Biliyor

Yazının devamı..