Candan Bölükbaş tarafından yazılmış tüm yazılar

7 yıl çeşitli kurumlarda yazılım geliştirme tecrübesi edindikten sonra ve 2010-2014 yılları arasında yaklaşık 5 yıl Network & Güvenlik müdür olarak T.C. Cumhurbaşkanlığı’nda görev yaptı. Network ve sistem alanlarında LAN, WLAN, VoIP, QoS, firewall, VPN, NLB, TCP/IP, IPv4/6, SMTP, DNS, DHCP, EGRIP, BGP, HSRP, OSPF, ACL, wireless 802.11 a/b/g/n, VLAN, 802.1x, SAN, CCTV, IP kamera ve smooth stream alanlarıda tecrübe sahibi olup aynı zamanda C# .NET ve Objective-C programlama dillerinde uygulama geliştirmektedir. 5 yıllık ağ güvenliği görevini yürüttüğü zaman diliminde çeşitli L2-L7 ve DoS/DDoS saldırılarına karşı koruma önlemlerinde sektöre öncülük etmesi 2014 yılında Bilgi Güvenliği Akademisi’ne katılmasını sağlamıştır. CCNA, CCNP, ITIL, CEH ve MCSA sertifikaslarına sahip olup, Bilgi Güvenliği Akademi’sinde Kurumsal Bilgi Güvenliği Yöneticiliği ve aynı zamanda İleri Seviye Ağ Güvenliği, Dijital Adli Analiz, Beyaz Şapkalı Hacker, Log Analiz eğitmeni olarak devam etmektedir.

ABD’de siber güvenlik şirketi kurma üzerine birinci el tecrübeleri

Hayatımda kritik bir değişiklik yapıp daha önce sadece iş amaçlı ziyaret ettiğim Amerika’ya kalıcı olarak yerleşmiş bulunmaktayım. Bu süreçte neler yaşadığımı, edindiğim tecrübeleri ve gözlemlerimi sizinle paylaşmak istedim. Öncelikle belirtmek isterim ki anlatacaklarım çoğunlukla siber güvenlik alanında ABD’de çalışmayı planlayan ya da burada iş kurmak isteyenler için faydalı olacaktır.

Siber güvenlik Amerika’da özellikle de doğu yakasında çok popüler bir sektör. Siber güvenliğin diğer IT kollarına doğu yakasında üstünlük sağlamasındaki önemli etmenlerin başında siber güvenliğin en büyük müşterisi Amerikan hükümeti olmasıdır ve çoğu devlet kurumu doğu yakasında bulunur. Birçok ülkede geçerli olan kural serbest piyasa ekonomisinin kültürel bir öge haline geldiği ABD’de bile geçerlidir: Devlete satıyorsan kazanırsın.

Bu durumun doğal bir sonucu olarak siber güvenlik firmalarının doğu yakasında daha fazla bulunmaktadır ve doğu yakasında kurulan şirketlerin çoğu Delaware merkezlidir. Bunun sebebi Delaware eyaletinde yasaların çok daha esnek, kolay olması ve bunların ABD’deki birçok yatırımcı tarafından çok iyi bilinmesidir.

Eğer şirket kumayı düşünürseniz Delaware de kurup, Virginia-Maryland-D.C Metro Area’da faaliyet gösterebilirsiniz. Şirket kurmak ve işletmek çok zor değil ve internetten yapılacak bir araştırmayla kolaylıkla kurulabilir ancak bizim gibi ABD vatandaşı olmayanlar için “vize” bahis mevzu olduğu için işler oldukça karmaşık hale gelebilir.

Öncelikle Amerikan hükümeti size 150 bin USD ve üzerinde Türkiye’de vergilendirilmiş bir yatırımla E2 vizesi almanıza imkan sağlıyor. Sadece bununla sınırlı değil tabi. E2 vizesi alacak kişinin kariyeri ve özelliklerinin de uygun olması gerekiyor. Bununla birlikte şirketi kurduğunuz zaman en az 1 Amerikan vatandaşını veya green card sahibini çalıştırmanız gerekiyor. Ayrıca çalıştırmayı planladığınız Amerikan vatandaşı / green card sahibi sayısını her yıl arttırmanızı bekliyor. Kısacası Amerika “paranı al gel, benim vatandaşıma iş imkanı sağla, sen de burada kalabilirsin” diyor. Bu vize türü için sağlam bir iş planı ve vize dosyası lazım olacaktır. Muhakkak avukat ile çalışmak gerekir.

Diğer bir vize imkanı ise Türkiye’deki bir firmanın Amerika ofisini açarsanız, şirketin en az 1 yıllık yöneticisi ABD’ye L1 vizesiyle gidebilir. Bu durumda US’de kurulan şirket TR’deki şirketin bir ofisi gibi çalışıyor. Nispeten daha kolay ancak yatırım almayı düşünüyorsanız yatırımcıların büyük bir kısmı böyle bir şirkete yatırım yapmak istemeyecektir. Aynı şekilde avukatla çalışmak gerekir. İki vize türü (E2 ve L1) de -şirket 5 yıl boyunca başarılı şekilde yürütüldüğü takdirde- vize sahibine green card başvusu yapma imkanı sağlıyor.

Şirket kurulumu ve vize işlerinin halledildiğini varsayıp, nasıl iş yapabileceğimizi de aktarayım. Öncelikle yabancı ortaklı bir şirket olduğumuz için hükümet kuruluşlarını iş yapmak çok zor. Çoğunlukla özel sektöre iş yapmak gerekecek. Tabi burada bir özel şirket milyarlarca dolar büyüklüğünde olabiliyor. Hatta bazı siber güvenlik şirketlerin 10 taneden az müşterisi var ve yine de çok büyük kazanç sağlayabiliyor.

Devlete iş yapamıyoruz, özel şirketlerle çalışmak lazım ama nasıl müşteri bulacağız? Benim gibi sürekli teknik işlerle uğraşan kişilerin oldukça zorlanacağı bir konu bu. Teknik kişiler zamanlarının büyük kısmında makinalar, uygulamalar, API’ler, scriptler vs uğraştığı için insanları da aynı şekilde programlayabileceğini düşünüyor 🙂 Ancak insanlar nondeterministic (aynı input ile farklı output verebililen) varlıklardır. Dolayısıyla onları avlamak için iyi bir marketing stratejisine ihtiyaç vardır. Benim tavsiyem ABD’de yerli birini bulup, şirkete ortak olarak alıp, marketingi onun yapmasını sağlamak. Tabi seçilecek kişi rastgele birisi değil, çevresi olan, konuşmayı bilen, marketingden anlayan biri olmalı.

Şirket kurulumu, marketing, strateji belirleme, tecrübe vs gibi şeyleri hızlıca kazanmanızı sağlayan “Accelerator”lar var. Mach37 doğu yakasında oldukça bilinen ve itibar gören böyle bir kurum. Mach37 gibi 1776, AOL… gibi daha birçok start-up şirketler için hızlandırıcı ve barındırıcı kurum bulunmakta. Bunlardan bir tanesiyle çalışmak acı tecrübelerle kazanılacak bir çok bilgiyi hızlıca almanızı sağlıyor.

Son olarak marketin büyüklüğü ve ‘ne kadarlık iş yapabiliriz’ sorularına cevap vermeye çalışayım.

Öncelikle “Market” bir start-up’ın boyunu ziyadesiyle aşan büyüklükte. Sadece ABD olarak düşünmeyin, Amerikan şirketleri Ortadoğu ve Arap ülkelerinde oldukça saygı gören kurumlar. Türkiye’den ulaşamayacağınız kurumlara buradan ulaşmak mümkün. Yapılacak iç hacmi ise ilk yıl 100K – 1M arasında sonraki yıllarda ise artarak  gidebilecek boyutlarda. Yaptığınız işe göre sayı değişiklik gösterecektir.

Özetlemek gerekirse, ABD’de şirket kurmak Türkler için kolay gibi gözükse de ciddi miktarda maddi & teknik birikim, sabır ve sıkı çalışma gerektiren ancak neticesi verimli olan oldukça zorlu bir yolculuktur.

Umarım aktardığım tecrübeler gelecekte bizimle aynı yollardan geçmek isteyenlere yol gösterici olur.

Kuran’ı casusluğa alet eden karanlık şirket: Hackingteam

Daha önce defalarca söylenen ve “siber savaş geleceğin savaşı olacak” sözlerini teyit eden bir olay geçen hafta dünya gündemini sarstı. Uluslararası istihbarat, polis, asker ve hükümet birimlerine siber silah üreten ve satan #HackingTeam adlı İtalyan merkezli şirket geçen hafta hack’lenerek sistemlerinden 400GB boyutunda veri dışarı sızdırıldı. Bu kadar önemli miktarda veri içerisinde neler var diye baktığmızda;

  • Siber silah satın alan ülkeler ve birimleri,
  • Yapılan yazışmalar,
  • Satılan siber silah içerinse bulunan 0-gün açıkları,
  • Ajan olarak kullanılmak üzere üretilmiş yazılımlar,
  • Ajan yazılımları satın alan ülkelere ait erişim bilgileri,

HAFTALIK SİBER BULTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]

Hacking Team kimdir?

Siber casusluk ve saldırı aracı olan Uzaktan Kontrol Sistemi (Remote Control System – RCS) yazılımını ve bu yazılımı hedef kitleye enjekte etmek için gerekli ajan yazılımları üreten İtalya, ABD ve Singapur’da ofisleri bulunan bir Siber Silah / Yazılım Üreticisi. Şirketin en önemli ürünü olan GALILEO adlı RCS yazılımı başlıca aşağıdaki fonksiyonlara sahip;

  • Ziyaret edilen web sitelerinin adreslerini kaydetmek,
  • Açılan, yazılan, değiştirilen dosyaları kaydetmek,
  • Basılan tuşları kaydetmek,
  • Yazıcıya gönderilen dokümanları kaydetmek,
  • Internet üzerinden yapılan sesli görüşmleri (VoIP – Skype, Viber vs.) kaydetmek,
  • Çalıştırılan programları kaydetmek,
  • Mikrofondan ortam dinlemesi yapmak,
  • Web kameradan ortam görüntüsü almak,
  • Ekran görüntüsü alıp, kaydetmek,
  • Mesajlaşma (Windows Live Messenger, Yahoo Messenger, Skype vb.) trafiğini kaydetmek,
  • Şifre çalmak,
  • Mobil cihazlarda telefon konuşmalarını kaydetmek ve dinlemek,
  • Mail trafiğini izlemek,
  • GPS ile konum bilgisi almak,
  • Adres defteri ve kişi bilgilerini çalmak,
  • SİBER BÜLTEN FACEBOOK SAYFASINA GÖZ ATIN  
GALILEO’nun tanıtımı için hazırlanan afiş

 

 

 

 

 

 

Görüldüğü üzere yapılan yazılım tamamen casusluğa yönelik saldırgan bir uygulama. Çalışma şeması aşağıdaki gibi kompleks ve servis sağlayıcılarla da entegre edilebilmekte. Bunun anlamı Network Injector modülü sayesinde bir hükümet ülke içerisinde istediği herhangi birinin bilgisayarına veya akıllı telefonuna sızabilir. Daha sonra yukarıdaki özelliklerden faydalanarak telefon dinlemesi, şifre çalma, konum bilgisi alma, ortam dinlemesi yapma ve web kamerasından bulunduğu yeri izleme gibi birçok kişisel gizliliği ihlal eden aktiviteler gerçekleştirilebilir.

İLGİLİ HABER >> TÜRKİYE HACKİNTEAM’IN AKTİF MÜŞTERİSİYMİŞ

Remote Control System uygulaması sistem şeması

 

 

 

 

 

 

 

 

 

Yazılım tehlikeli ama biz neden korkmalıyız?

HackingTeam hack’lendikten sonra ortaya çıkan dokümanlardan Emniyet Genel Müdürlüğünün 2011’den 2014 yılının sonuna kadar bu yazılımı senelik 150.000 EURO (~450.000 TL) karşılığında satın aldığını öğrendik. Toplamda 600.000 EURO (1.8 Milyon TL) harcanan yazılımın bir fatura örneği aşağıdaki gibi;

EGM’nin aldığı RCS yazılımının 2013 yılı faturası

 

 

 

 

 

 

 

 

 

 

Türkiye’de bu derece tehlikeli bir yazılımın kullanımını düzenleyen bir kanun bulunmuyor. Dolayısıyla yazılımın terör ve istihbarat maksadının haricinde kullanılması durumu söz konusu olabilir. Türkiye’de fuatavni hesabının yakalanması için herşeyin yapılabileceğini tahmin etmek zor değil. İsteyen birinin şifrelerimizi alması, bulunduğumuz ortamı dinlemesi hatta evimizin içini izlemesi kabul edilebilir bir durum değil. Bu sebeple bir vatandaş olarak rahatsız olmamak mümkün değil.

Ajan yazılım nedir? Benim bilgisayarımda yada telefonumda olabilir mi?

Ajan yazılım RCS komuta-kontrol-merkezinden gerekli direktifleri alıp buna göre hareket eden zararlı bir yazılım. Çoğumuz kendi halinde insanlar olarak zararlı yazılım indirip kullanmıyoruz diye düşünüyor olabilir, ancak ajan yazılımın üzerinde ‘AJAN’ yazmıyor zaten. Yaptığımız incelemelerde Android Quran (com.quran.labs.androidquran) adındaki bir Kur’an yazılımında ajan yazılım tespit ettik. Aynı şekilde Android Bible (joansoft.dailybible), Angry Birds (Hacking Team tarafından korsan marketlere yüklenen versiyonunda), Sound Recorder, SpyCam, Real Calc Plus ve bunun gibi birçok iOS ve Android yazlımının HackingTeam tarafından ajan olarak üretildiğini görüyoruz. Aşağıda bu yazılımlardan birinin telefonda talep ettiği izinler gösterilmiştir. Normal bir Kur’an uygulamasının SMS, kişiler, kamera, mikrofon gibi izinlere ihtiyacı olmaz, ancak bu uygulamanın sınırsız izinler istediğini görüyoruz. 

Android Quran uygulamasının istediği haklar

 

 

 

 

 

 

 

 

 

Ben bu yazılımlardan herhangi birini kullanmıyorum, bu durumda güvende miyim?

Ajan yazılımlar hedef kitleye ulaşmak için kullanılan yazılımların bir kısmı. HackingTeam arşivinde yaptığımız çalışmalar bunun haricinde Adobe Flash çalıştıran bilgisayarlara sızmak için kulanılan 0-gün (0-day) istismar kodlarının da şirket tarafından kullanıldığını gösterdi. Teknik olarak karışık gelse de demek istediğim en güncel Adobe Flash bile kullansanız, en güncel anti-virüs programına bile sahip olsanız bilgisayarınıza sızabilecek yollar mevcut.

Benzer şekilde Windows 8+, Linux dağıtımlarının bir kısmında hak yükselme açıklarını da bulup kullandıklarını görüyoruz. Aşağıdaki iki resimde normal haklara sahip birinin kendisini en yüksek haklara sahip yönetici seviyesine nasıl yükseltebildiğini göstermeye çalıştık. Özet olarak RCS ajan yazılımının bu özellikleriyle herhangi bir kişinin bir siteyi ziyaret etmesiyle o kişinin bilgisayarında en yetkili kişi haline gelebilir.

Flash 0-gün exploti kullanarak hesap makinesi uygulaması çalıştırılabilmiştir.

 

 

 

 

 

 

 

 

Windows 8 üzerinde normal bir kullanıcı ‘NT AUTHORITY’ haklarına yükseltilmiştir.

 

 

 

 

 

 

 

Ubuntu üzerinde normal bir kullanıcı ‘ROOT’ haklarına yükseltilmiştir.

 

 

 

 

 

Zafiyet barındıran herhangi bir uygulama (Adobe Flash dahil) veya crack uygulama kullanmıyorum, bu durumda güvende miyim?

RCS yazılımının en önemli özelliklerinden biri siz zararlı bir yazılım indirmek istemeseniz bile ajan yazılımı sizin legal yazılımınızın içerisine enjekte edebilmesi. Yani siz normal bir yazılım indirirken RCS yolda bu yazılımım içerisine ajan enjekte edip gönderiyor. Dolayısıyla indirilen legal(!) yazılımın kendisi ajan haline dönüşüyor.

Anti-virüs kullanıyorum, o engellemez mi?

RCS ajan yazılımları birçok anti-virüs tarafından tanınmıyor. HackinTeam’in yaptığı testlerde de bunu görebiliyoruz. Yani anti-virüs de sizi bu konuda korumaya yetmiyor. Aşağıdaki resimlerde Windows ve Mac OS X üzerinde çeşitli Anti-Virüs yazılımlarından görünmeden çalışdığı test sonuçları yer almakta.

 

 

 

 

 

 

Windows 7 üzerinde yapılan testlerde RCS ajan yazılımlarının çoğu Anti-Virüs tarafından tanınmadığı test sonuçları

 

 

 

 

 

Mac OS X üzerinde yapılan testlerde RCS ajan yazılımlarının Anti-Virüsler tarafından tanınmadığı test sonuçları

 

 

 

 

 

Benim bilgisayarıma veya telefonuma sızmış olabilirler mi? Nasıl bilebilirim?

Maalesef normal bir son kullanıcının bunu öğrenebilme şansı yok. Ancak ileri seviye hafıza (Memory) analizi ve adli analiz (Digital Forensic) yapabilen uzmanların bulabileceği bir ajan yazılımla karşı karşıyayız. Tabi bu seviyede bilgiye sahip insan sayısı Türkiye’de iki elin parmaklarından az.

Bu yazılım sadece Türkiye’de mi var?

Hayır, yazılım bizim haricimizde Kıbrıs, Mısır, Suudi Arabistan, Macaristan, Meksika, Tayland, Nijerya gibi birçok ülke var. Ancak Amerika, İngiltere, Almanya, Rusya, Çin, Kanada, Fransa gibi hiçbir büyük ülkede yok. Muhtemelen bu yazılım kendi içerisinde bir arka kapı (backdoor) barındırıyor ve bu nedenle yazılımı alan ülkeler asıl yazılımı üreten ve destek veren büyük ülkelere hizmet ediyor olabilir. İronik!

Dünya üzerinde Hacking Team RCS yazılımını kullanan / satın alan ülkeler

 

 

 

 

 

 

 

 

Sonuç

Muhtemelen bu yazılımı alarak Türkiye olarak en büyük siber saldırıya maruz kalmış olabiliriz. Artık dinlemelerin nasıl yapıldığını tahmin etmek zor değil. Büyük bir devlet asla bu derece tehlikeli özellikleri barındıran bir siber silahı ülkesine ve ülkesinin network’üne bağlamaz. Böyle bir yazılımı kendi mühendisleriyle ve kaynak kodlarına hakim olarak hazırlar. Tıpkı diğer büyük ülkelerin yaptığı gibi…

 

Bir Güvenlikçinin Hatıra Defteri

Özgeçmişime kısa bir bakış atanların bileceği gibi, daha önce 5 yıl TC Cumhurbaşkanlığı Sistem İletişim Md. Yrd. olarak çalıştım. Bu süre boyunca Cumhurbaşkanlığı çeşitli siber saldırılara maruz kaldı. Artık koruma görevini devrettiğimi göz önünde bulundurursak hatıralardan bahsetmenin zamanı geldi diye düşünüyorum.

Öncelikle yapılan saldırılar ile ilgili sosyal mühendislik saldırı haricinde hiç hacklenmediğimizi ifade etmeliyim. Zaten sosyal mühendislik saldırıları için henüz bilinen bir çare yok 🙂 Bunun haricine türlü türlü atak aldığımızı söyleyebilirim. Bir çok kişinin IP aralığımızı ve web sitemizi izinsiz olarak zafiyet tarama araçları tarafından taradıklarını, Anonymous ve RedHack gibi hacker gruplarının DoS/DDoS saldırıları yaptıklarını söylemem gerekiyor. Bu saldırıların hiçbiri başarıya ulaşmadığı için hiçbir IP adresi için suç duyurusunda bulunmadığımı da söyleyip saldırı yapanların merakını buadan gidermiş olayım.

Kamu kurumları içinde web sitesi hacklenmeyen tek kurum olduğumuz için birçok siyah şapkalı hacker veya grubun hedefi haline gelmiştik. Hemen her gün bir zafiyet tarama aracı tarafından sitemiz üzerinde SQL Injection, XSS, LFI/RFI veya command injection açıkları arandığını görüyordum. Çoğu otomatik araç kullanıp IP adresini gizleme zahmetinde bulunmayan acemi hacker ve vatansever(!) kişilerden oluşuyordu. Bir kısmı tarama araçlarının ürettiği false pozitive sonuçları bize “bir dost” olarak gönderiyordu. Gerçek bir zafiyet bulan olmamıştı.

Zafiyet taraması yapanların zamanlaması pek tahmin edilebilir olmasa da DoS/DDoS saldırılarının zamanı genellikle toplumda rahatsızlık oluşturan kanunların onaylanmasına denk geliyordu. En büyük saldırı vatandaş desteğinin de yoğun olduğu 2011 yılında çıkan “Güvenli İnternet Yasası(!)” zamanında olmuştu. Saldırı büyüklüğü pik zamanında 12Gbps’ye ulaşmıştı. Aynı saldırının asıl odak noktası olan TİB bu saldırı karşısında çaresiz kalmıştı. Yaklaşık 25Gbps saldırı altında çaresiz bekliyordu. Sürekli servisleri restart ediyordu. İşin garibi saldırıların olduğu zaman Cumhurbaşkanlığında savunma yaparken çıkarılan yasaya ben de karşıydım.

Diğer saldırılar ise Gezi olayları ve 17-25 Aralık sonrası hazırlanan “İnternet Yasası” zamanına denk gelmişti. Bu olaylar sırasında 6Gbps ve 5Gbps saldırı almıştık. Saldırıları başarıyla savunmamıza rağmen TT tarafında yapılan yanlış yapılandırma sonrasında UDP Port 0’dan gelen 600Mbps saldırı bizi kısa süreliğine de olsa ters köşeye yatırmıştı. Bu saldırılar sırasında asıl maksadın DoS/DDoS saldırıların arasına saklanarak ulaşılmak istenen hedef saldırıları gerçekleştirmek olduğunun farkındaydık ve bu saldırılara odaklanıyorduk.

DoS/DDoS saldırılarının yetersiz kaldığını fark eden hacker grupları sıkıcı olmaktan biraz sıyrılıp aradaki güvenlik cihazların üstesinden gelmeye çalışmaya başlamıştı. TT’den aldığımız DoS koruma hizmetinin 120 saniyede devreye girdiğini anlayan hacker grupları saldırıları 90 saniyelik periyotlarla gönderip Arbor’u atlatmak için gayret ediyorlardı. Doğrusu bu yaklaşımı görmek beni şaşırtmıştı.

Saldırılar sırasında birçok kişinin IP adresini tespit etmiştik ancak yapılan bu tür saldırıları yol kapatma eylemi gibi düşünüyordum ve suç duyurusunda bulunmak gerektiğini düşünmüyordum. Bu nedenle hiçbir IP adresi hakkında savcılığa suç duyurusunda bulunmadım. Ancak “Cumhurbaşkanına Yazın” uygulamasından Sn. Cumhurbaşkanına küfür derecesinde hakaret edenler hakkında sayısız davalar açıldığını biliyorum. Pastane, Internet Kafe, NAT ve 5651’e göre log tutulmaması gibi birçok nedenle çoğu dava sonuçsuz kaldı.

Bu kadar çok saldırıya maruz kalmak sonunda beni iyi bir güvenlikçi ve forensic araştırmacısı yaptı. Emeği geçen arkadaşlara teşekkürler 🙂

Siber Bülten Haftalık Raporuna abone olmak için formu doldurunuz

[wysija_form id=”2″]

Kripto Savaşları  

Kriptografi internette dahil olmak üzere tüm dijital ortamlarda verilerimizin güvenliği, bütünlüğü ve gizliliği için yaygın olarak kullanılan bir metod. SSL/TLS, IPSec VPN ve PKI yaygın olarak kullanılan ve son kullanıcıların da hayatında olan kripto ve güvenlik katmanlarıdır. Son kullanıcılar için oldukça kullanışlı olsada, tüm verilerimize erişmek isteyen “Five Eye (FVEY)” üyesi ABD, İngiltere, Kanada, Yeni Zellanda ve Avusturalya istihbarat birimleri için pek de kullanışlı (!) sayılmaz. Kriptolu trafiğin içerisinde ne olduğunu görmek ve kişisel verilere erişmek isteyen FVEY siber istihbarat birimlerinin  (NSA, GCHQ, CSEC, GCSB, ASD) yıllardır kriptografiye karşı savaş açmış olduğunu 28 Aralık 2014’te Edward Snowden tarafından yayınlanan yeni belgelerle bir kez daha görmüş olduk.

 

Yayınlanan belgelerde aşağıdaki alanlar başta olmak üzere aktif bir şekilde gizliliğin ihlal edildiğini görebiliyoruz;

  • Kripto algoritmalarının ve kriptolu belgelerin farklı yöntemlerle şifresinin çözüldüğü,
  • Kriptolu iletişim için kulanılan SSL/TSL katmanlarının zayıflatılarak kriptosunun çözüldüğü,
  • Alt seviye kriptolu iletişim için kullanılan IPSec VPN yönteminin ilk kurulumu esnasında trafiğin manipüle edilerek güvenliğinin zayıflatıldığını ve şifresinin çözüldüğünü,
  • Kriptografi algoritmalarına müdahale edilerek ilgili algoritmanın FVEY üyeleri tarafından çözülebilecek şekilde olmasının sağlandığı,
  • Kullanıcı trafiğini anonimleştirmek için kullanılan Tor ve benzeri servislerin içerisine sızarak, anonim trafiklerin kime ait olduğunun tespit edilmeye çalışıldığını,

 

Kripto saldırıları için BLUESNORT, LONGHAUL, SCARLETFEVER projeleri ve bunları bir çatı altında birleştiren BULLRUN projesi başta kriptolu iletişim olmak üzere VoIP, Skype, anahtar değişim sistemleri, SSH ve webmail gibi daha birçok güvenli (!) iletişim yöntemlerini hedef alıyor.

 

Kriptolu iletişim katmanları için İngiliz GCHQ istihbarat birimi “Flying Pig” adında bir veritabanında hemen tüm servislere ait kripto algoritmaların analizini ve açıklığını tutmakta. Kanada istihbarat birimi CSEC ise SSL/TLS kullanımını analiz ederek bu katmanların şifresinin çözülmesine yönelik çalışmalar yürütmekte. Tabiki NSA de SSL/TLS katmanlarının açıklıklarını tespit edip başta Debian SSL olmak üzere yıllardır kriptolu trafiğin şifresini kırmakta. İstihbarat birimleri kripto katmanlarını TURMAOIL, TUMULD, KEYCARD, EXOPUMB, NUCLEON ve XKEYSCORE gibi birçok proje ile kırmayı başardı. Tabi bunlar sadece Snowden tarafından açığa çıkarılan projeler, daha birçok proje olduğunu tahmin etmek zor değil.

 

SSL/TLS kripto katmanlarındaki bilinen kırılganlığa alternatif olarak geliştirilen alt seviye kriptolu iletişim yöntemlerinden IPSec/SSL VPN’de FVEY istihbarat birimleri tarafından hedef alındığı yine Snowden belgelerinden anlaşılmakta. VALIANTSURF, GALLANTWAVE, SPIN9, MALIBU, TURMOIL-APEX ve POISENNUT projelerinin ana amacı PPTP, IPSEC, SSL, SSH ve VPN gibi protokollere ait kriptolu trafiği çözmekti. Yıllardır yürütülen bu projelerle başta NSA olmak üzere birçok istihbarat biriminin alt seviye güvenli protokolleri dahi çözümledikleri anlaşılmakta.

 

Merkezi güvenliğe alternatif olarak bağımsız kullanıcılar tarafından geliştirilen kayıt-dışı-mesajlaşma (Off-the-Record OTR Messaging) ve oldukça-iyi-gizlilik (Pretty-Good-Privacy PGP) yöntemleri de FVEY tarafından hedef alınmış durumda. OTR ve PGP istihbarat birimlerinin direkt kontrol edebileceği kişiler/kurumlar tarafından değil de açık kaynak kod geliştiricileri tarafından geliştirildiği için FVEY ekibinin burada biraz zorlandığı ve kriptolu trafiği açamadığını Snowden belgelerinde görmekteyiz 🙂 Ancak istihbarat birimlerinin DISCOROUTE, BLACKPEARL, TOYGRIPE ve TREASUREMAP gibi birçok proje ile bu yöntemi kırmak için çalıştıklarını belirtmek isterim.

 

Kriptolu trafiğin bir şekilde çözülebileceği ihtimaline karşı iletişim trafiğini anonimleştirmek iyi bir fikir. Bu alanda başta Tor network’ü olmak üzere anonim proxy/VPN servisleri hatta JonDonym servisi yine istihbarat birimleri tarafından mercek altında. Proxy ve VPN servisleri NSA tarafından takip edilebilir durumda ancak Tor network’ü için henüz kesin bir çözüm bulunabilmiş değil. Potansiyel birkaç manipülasyon ve çıkış noktalarını yakalama yöntemleri üzerinde çalışıyorlar ancak henüz Tor network’ünü %100 takip edebilmekten çok uzaktalar. Tor destekçilerine ‘Candan’ teşekkürler.

 

İstihbarat birimleri ve kişisel gizlilik arasında devam eden kripto savaşları oldukça çekişmeli devam etmekte. FVEY üyeleri SSL/TLS, VPN ve kripto algoritmalarını çözebilme yolunda büyük ilerleme kaydetse de, gizlilik destekçileri PGP, OTR ve Tor gibi çözümlerle NSA, GCHQ, CSEC, GCSB, ASD birimlerini atlatmayı başarabilmekte. Sızacak yeni belgelerle FVEY üyeleri bu güçlü yöntemlere karşı bir çözüm üretebilmişler mi hep birlikte göreceğiz.

28 Aralık 2014 ta yayınlanan Snowden belgelerinin tamamı bu adreste bulabilirsiniz.

 

Yeni Nesil Teknolojik Silahlar: DoS/DDoS

Günümüz teknoloji dünyasının en önemli güvenlik bileşenleri Confidentiality, Integrity ve Availability (CIA) olarak ifade edilen Gizlilik, Doğruluk ve Erişilebilirlik’tir. Gelişmiş tüm kamu ve özel sektör kuruluşları verilerin gizlilik için kriptografi, doğruluğu için hash algoritmaları kullanarak istenilen güvenlik seviyesi yakalanmış sayılabilir. Diğer bileşen olan erişilebilirliği sağlamak ise diğer ikisi kadar kolay değil. Kurumlar veri merkezlerinde birçok güvenlik duvarı, yük dengeleyicileri ve DoS (Denial of Service – Servis Dışı Bırakma) koruma cihazı bulundurmalarına rağmen hala istenilen seviye yakalanabilmiş değildir. Rakam vermek gerekirse;

 

  • DoS/DDoS (Servis Dışı Bırakma / Dağıtık Servis Dışı Bırakma) ataklarının sayısı her yıl yaklaşık ikiye katlanıyor,
  • Saldırıların 2/3’ü 1 Gbps bant genişliğine sahip (çoğu kurumun internet çıkışından daha yüksek),
  • DRDoS saldırılarının genişliği bir ISP’yi bile durdurabilecek 300 Gbps bant genişliğine sahip olabiliyor,
  • Slow Post, ReDoS ve Buffer OverFlow gibi saldırılar büyük bir web sitesini bir ev kullanıcısı tarafından dahi çökertilmesine imkan verebiliyor,
  • 2014 yılında DoS saldırılarının toplam maliyeti milyarlarca dolardan fazla.

 

DoS saldırıları engellenmesi zor olması ve sonuçlarının yıkıcı olasından dolayı çoğu askeri ve istihbarat kurumunun ilgisini çoktan çekmiş durumda.

 

  • 2014 yılında İngiltere istihbarat biriminin bir parçası olan GCHQ, Anonymous ve LulzSec gibi hacker gruplarının iletişim kurmakta kullandığı chat odalarına DDoS saldırı düzenledi.
  • 2008 – 2014 yılları arasında Esad yönetimine bağlı çalışan istihbarat birimleri GSD ve AFID ele geçiremediği elektronik servislere sayısız DoS saldırı düzenledi.
  • 2012 yılında Orta Doğu Ülkelerini hedef alan Flame virüsünün altyapı sistemlerini servis dışı bırakmayı amaçlayan NSA & GCHQ yapımı bir kötücül yazılım olduğu iddia edildi.
  • 2010 yılında ortaya çıkan Stuxnet’in de, İran nüklüeer satrallerindeki Siemens SCADA sistemlere saldırıp santrifüj sistemlerinin çalışmasını aksatmayı başaran ve servis dışı bırakan NSA & MOSSAD ortak yapımı bir kötücül yazılım olduğu iddia edilmişti.

 

Henüz sıcak bir savaş bile yokken yapılan bu saldırıların gerçek bir savaş durumunda bir bölgenin elektiriğinin kesilmesine, suların boşa akıtılmasına, savaş uçaklarının rotasından çıkarılmasına ve kurumların iletişim altyapısının çökertilmesine ulaşması oldukça muhtemel.

 

1900’lü yıllarda yapılan savaşlarda elektrik santralleri hedef alınır, barajlar tahrip edilir ve tren ve kara yolları gibi altyapı sitemleri bombalanırdı. Bu tip saldırılar fiziksel DoS saldırları olarak kabul edilirdi. Günümüzde ise bu saldırılar daha az maliyetle ve daha anonim bir şekilde gerçekleştirilebilmekte. NSA, GCHQ, ASD, BND, CSIS, CSEC, DGSE, FSB, GCSB, MISRI, MSS, NRO, PLA ve RAW gibi birçok istihbarat birimi bu yeni silahı çoktan kullanmaya başladı.

 

DoS/DDoS saldırıları kolay gerçekleştirilebilir olması Anonymous, LulzSec, Telcomix ve Redhack gibi hactivist grupların da ilgisini çekmiş durumda. Yol kapatma eylemlerinin aksine DDoS saldırıları daha kolay ve az maliyetle organize edilebilir. 2011 yılında Anonymous grubu LOIC adı verilen bir yazılımla twitter üzerinden siber saldırı ekibi kurdu ve TİB başta olmak üzere birçok kamu kurumuna DDoS saldırısı düzenledi.

 

BotNet sahibi hacker’lar, yeraltı marketlerinde saatliği 10-100 dolar arasında DoS saldırısı satın alma imkanı sunuyor. Aynı şekilde reklam networklerini de DDoS saldırıları için kullanmak mümkün. Bu yöntemi kullanarak 2013 yılında BlackHat konferansında iki kişi 300 dolar maliyetle Akamai’ye 300 Gbps saldırı düzenlemeyi başarması bu tür saldırılara uygun bir örnek olarak gösterilebilir.

 

Savunulması oldukça zor, kullanımı oldukça kolay ve ucuz olan yeni nesil teknolojik silah DoS/DDoS/DrDoS saldırıları başta istihbarat birimleri olmak üzere hactivistler, siyah şapkalı hacker’lar ve script-kiddie’lerin kullanımına girmiş durumda.