Kategori arşivi: Siber Güvenlik

Siber güvenlik sosyal bilimlerin birçok alanıyla olduğu gibi strateji ve güvenlik çalışmaları ile de yakın ilişki içerisindedir. Bu bölümde ülkelerin siber güvenlik stratejileri ile ilgili izledikleri politikaları, attıkları adımları, özel sektör ile ilişkiler, faili bulma, bilgi paylaşımı gibi kritik konularda ki yasal düzenlemelerle ilgili haber ve yorumlar bulunmaktadır.

Çalıntı verilere ulaşan ABD’li gazeteciye hapis cezası

barret

ABD’de bilgisayar korsanlığı yapan Anonymous grubuyla bağlantısı bulunan gazeteci Barrett Brown, kullanıcıları çalıntı verilere yönlendiren internet bağlantılarını yayımlamaktan beş yıl hapse mahkum edildi.

Brown önce 100 yıldan fazla hapis cezası gerektiren suçlamalarla yargılanmış, ancak geçen yıl suçunu kabul edince cezası hafifletilmişti.

Barrett Brown yasaları, yasa dışı hükümet faaliyetlerini ortaya çıkarmak için çiğnediğini söylüyor.

Brown davası ifade özgürlüğü savunucuları ve medya haklarını savunan örgütlerce eleştirilmişti.

Brown’un destekçileri arasında, Edward Snowden’ın ortaya çıkardığı Ulusal Güvenlik Dairesi’nin (NSA) casusluk programını kamuoyuna duyuran gazeteci Glenn Greenwald da bulunuyordu.

33 yaşındaki Brown, eylemci kimlikleriyle bilinen Anonymous grubunun savunucularından biri olmuş ve sık sık grup hakkında mülakat vermişti.

‘Başkaları da yapıyor’

Amerikalı gazeteci, savunma istihbarat şirketi Stratfor’dan çalınan bilgilere ulaşım sağlayan bağlantıyı internette paylaşınca gözaltına alınmıştı.

Brown, Nisan ayında hakkındaki üç suçlamayı kabul etti. Bunlar, polis aramasını engellemek, internette tehdit etmek ve Stratfor’a ait verilerin yayılmasında rol oynamaktı.

Ancak Fransız Haber Ajansı AFP’ye göre, dünkü duruşmadan önce yayımladığı bir açıklamayla Brown, davayı çürütmeye yönelik güçlü bir savunmada bulundu.

Barrett Brown, “Herkesin ulaşabileceği bir dosyanın bağlantısını kopyalayıp yapıştırdığım için hükümet beni onlarca yıl sürecek hapis cezasıyla karşı karşıya bırakıyor. Bu bağlantıyı başka gazeteciler de herhangi bir hukuki işlemle karşılaşmaksızın paylaşıyor.” dedi.

Brown’un gazeteciliği yüzünden cezalandırıldığını belirten medya hakları örgütleri de gazeteciye büyük destek veriyor.

 

FBI ‘otçu’ hackerlara muhtaç mı kaldı?  

Siber tehditlerin milli güvenliği tehlike altına almaya başladığı günümüzde ülkeler bu yeni tehditlerle baş edebilmek için yeni birimler kurmak zorunda kalıyor. Bu durum yeni istihdam politikalarını da gündeme getiriyor. ABD’de marijuana kullanan hackerların FBI’ta çalışma izni getirilmesiyle ilgili tartışmalar yeniden başladı.

 

Dünyanın en büyük ordusuna sahip ABD’de askeri harcamalar, dünyanın en büyük 10 ordusuna sahip ülkelerin savunma bütçelerinin toplamından daha fazla. Yıllık 650 milyor dolar savunma harcamasına rağmen Amerikan vatandaşları hala kendilerini güvende hissetmiyorlar. Geçtiğimiz günlerde Sony saldırısında görüldüğü gibi, Amerikalılar oturup bundan sonra hangi hackerın milli menfaatlere zarar vermesini bekliyorlar.

 

ABD Başkanı Barack Obama Ulusa Sesleniş konuşmasında siber tehditlere dikkat çekerek “Hiç bir yabancı devleti veya hiç bir hacker sistemlerimizi kapatamaz. Ticari sırlarımızı çalamaz veya Amerikalı ailelerin mahremiyetini işgal edemezler.” ifadelerini kullanmıştı. Aynı konuşmada ABD Başkanı değişik kurumlardan sağlanan istihbaratın siber tehditler ile mücadelede entegrasyonunun sağlanması için ‘tıpkı terörizmle mücadelede olduğu gibi’ daha fazla gayret gösterme vaadinde bulunmuştu.

 

Fakat siber güvenlik uzmanlarından onlineathens.com yazarlarından Tina Dupuy FBI’ın bilgisayar yetenekleri olan insanlara ihtiyacı olduğunu fakat bu kabiliyete sahip insanların bir kısmının FBI’da çalışma koşullarına aykırı özellikleri olduğuna dikkat çekti.

 

FBI’ın başında bulunna James Comey White Collar Suç Enstitüsünde geçen sene yaptığı bir konuşmada kurumunun ‘marijuana kullanmayan bilgisayar suçları uzmanı’ bulmakta zorlandığını ifade etmişti. Comey “ Siber suçlular ile mücadele etmek için ciddi bir iş gücüne ihtiyacımız var. Hacking konusunda uzmanlığa sahip insanları iş görüşmesine çağırıyoruz. Bu insanlardan bazıları o kadar müptela ki, iş görüşmesi sırasında bile ot çekmek istiyorlar.” demişti.

 

Tecrübeli ajan işe alam şartlarını gevşetmek için ‘çırpındığını’ da ifade etmişti. FBI’da çalışma şartları arasında başvurudan önceki 3 yıl boyunca herhangi bir uyuşturucu kullanmama bulunuyor.

 

Bu konuşmadan sonra uyuşturucu madde kullanımına karşıtlığı ile bilinen Senatör Jeff Sessions bu öneriye şiddetle karşı çıktığını ifade etmişti. İşe alınma kuralı ise tartışmaların ardından değişmemişti.

 

ABD ordusu 11 Eylül saldırısının ardından Arapça bilen eleman arayışına girmiş fakat benzer kısıtlamalardan dolayı bu konudaki iş gücünü geliştirememişti. Arapça için ABD Ordusuna iş başvurusunda bulunanlardan ciddi bir kısmı gey olduğu için bu göreve alınmamıştı.  Tina Dupuy benzer bir hatanın siber güvenlik uzmanı istihdamında yaşanığı fikrini savunuyor.

 

Ot kullanımına karşı verilen savaşın kaybedildiğini öne süren Dupuy, vatanına hizmet etmek insanların çeşitli tercihlerinden dolayı bu işlere alınmamasının güvenlik zaafiyetini büyüteceğini ifade etti. İnsanların sadece eğlenmek amacıyla marijuanayı alkol tüketir gibi kullandığı bir dünyada, bu özgürlükten FBI için vazgeçmelerinin anlamlı olmadığı kaydetti.

 

 

İngiltere’de kriptolama yasağı neden uygulanamaz?

İngiltere Başbakanı David Cameron, Fransız mizah dergisi Charlie Hebdo’ya düzenlenen terörist saldırıların ardından yaptığı açıklamalarla siber dünyada sıkça adından söz ettirmeye başladı. Cameron, sosyal medya platformlarının, İngiliz istihbarat servisi GCHQ ile dirsek temasında kalarak, siber alanda terörist yapılanmalara fırsat verilmemesi gerektiğini belirtmişti. Önerileri arasında şifrelemenin yasaklanması da bulunan Cameron, açıklamalarının ardından siber uzmanlar tarafından bir dizi yorumun hedefi oldu. Computer Business Review’de (CBR) yayınlanan eleştiride, Başbakan Cameron’ın politika önerilerinin neden işe yaramayacağı 3 nedenle açıklandı.

 

  1. Güçlü şifreleme her yerde mevcut

Devletler genel olarak güçlü şifreleme yöntemlerinin bu kadar özgürce yayılmış olmasına karşı tepkisel olsalar da, bedava ele geçirilebilecek şifreleme her yerde kolaylıkla bulunabiliyor. Thales e-Security Strateji Başkan Yardımcısı Richard Moulds, konuyla ilgili “Cin çoktan şişeden çıktı. Bundan dolayı da kötü niyetlerle hareket eden bireyler eğer güçlü şifrelemeye bir şekilde ulaşabiliyorlarsa, bu durumda çeşitli değişiklikler yapman durumu çok da fazla değiştirmeyecektir.” Ifadelerini kullandı. Moulds’a göre devletler, güçlü şifrelemenin kolayca kırılamayacağını kabul etmeliler ve başka istihbarat yöntemleri geliştirmeliler.

 

  1. Arkakapılara ulaşımı olan sadece “iyi adamlar” değil

Cameron’ın önerilerinden biri olan üretilen siber ürünlere arkakapı ekleme yöntemi bir fantezi olarak nitelendirilebilir. Zira bu arkakapılardan yararlanacak olanlar sadece suçla mücadele eden devlet yetkilieri değil, aynı zamanda suç izleme niyetindeki bireyler de olacaktır. Çeşitli siber güvenlik şirketlerinde çalışan bir çok uzman, Cameron’ın önerdiği şekilde düzenlemelere gitmenin, siber güvenlik ile uğraşan herkes için bir felaket olduğunu belirtti.

 

  1. Önerilen politikalar Avrupa veri düzenlemeleri ile çelişecektir.

Cameron’ın önerdiği siber politikalar, Avrupa İnsan Hakları Sözleşmesi’nin ilgili hükümleri ile tezat teşkil edebilir. Sözkonusu sözleşmenin ilgili maddeleri, Avrupa ülkeleri vatandaşlarının mahremiyet hakkını garanti altına almayı amaçlıyor.

Cirius Messaging’de uzman olan Cameron Burke, sözkonusu düzenlemeler konusunda “Bu uygulamalar, İngiltere’yi Avrupe Birliği Veri Mahremiyeti düzenlemelerinin gerisinde bırakacaktır. Bu AB düzenlemeleri, vatandaşların kendi bilgilerini daha güvenli ve düzenli idare edebilmelerine olanak tanıyan bir belgedir.” şeklinde konuştu. Burke ayrıca sözkonusu önerilerin, finans mahremiyetini de zedeleyici bir yönü olduğunu belirtti.

 

Siber güvenlik uzmanları için en güzel Davos!

 

Dünya ekonomisine yön verenleri Davos’ta bir araya getiren Dünya Ekonomik Forumu’nun bu seneki gündem maddeleri arasında siber güvenliğin geçen senelere göre daha fazla olması dikkat çekti.

Son zamanlarda yaşanan Sony, eBay, Target ve JP Morgan gibi dünya çapında şirketlere yönelik saldırıların siber güvenliğe olan farkındalığı özellikle iş dünyasında artırmasının bu durumda payı olduğu belirtiliyor. BBC’nin konuyla ilgili haberine göre, geçmiş yıllarda da siber güvenlik Davos Zirvesi’nin gündemi arasındaydı fakat ilk kez 2015’de bu konu ‘başroldeydi.’

BBC katılımcılar arasında yer alan Kaspersky CEO’su Eugene Kaspersky’nin konferans salonunda iş adamı, politikacı ve akademisyenler tarafından sıklıkla yolunun kesilerek soru sorulmasının bu ilginin göstergesi olarak yorumluyor.

Kaspersky, İngiltere’nin Ulusal Suç Ajansı da dahil olmak üzere dünyanın birçok yerindeki hükümet ve şirketlere siber güvenlik danışmanlığı sağlıyor.

Zirveden önce hazırlanan bilgilendirme raporunda siber güvenlik problemlerinin küresel ekonomiye maliyetinin 3 trilyon dolar olduğu vurgulanmış ve şirketlerin yeni bir düzen oluşturmalarının önemine dikkat çekilmişti.

WISeKey güvenlik şirketinin sahibi Caros Moreira ‘Ne zaman dünyanın ilk 500 şirketinden birine siber güvenlikten bhasetsem, IT sorumlusu ile görüşmemi önerirlerdi. Şimdi ise yönetim kurulu üyeleri ve CEO’lar ilgi gösteriyor.” ifadelerini kullandı.

Kimilerinin siber güvenlikte ‘acil durum anonsu’ olarak değerlendirdiği bu yeni durum şirketlerin bütçelerine de etki etmiş gibi gözüküyor. Moreira geçtiğimiz yıl bir ABD bankasının siber güvenliğe 2.3 milyon dolar ayrıdığını söyledi.

25 yıldır siber güvenlik üzerine çalışan Kaspersky “25 yıl önce siber güvenlik basit bir bisiklet gibiydi. 10-15 sene önce araba haline geldi. Şimdi ise minibus gibi. Sadece saldırılar daha karmaşık hale gelmiyor aynı zamanda hedefler de daha zorlaşıyor.” diyerek sektörün gelişimini özetledi.

Siber güvenlikle ilgili oturumda şirketlerle ilgili dataya kimlerin ne kadar erişimi olacağı önemli bir gündem maddesi olarka tartışılırken, siber güvenlik yönetişimi için ‘küresel bir mekanizma’ kurulması dinleyici ve konuşmacıların destek verdiği bir fikir olarka öne çıktı.

 

ABD en güçlü siber silah simsarı olma yolunda  

 

Kim Zetter*

 

Yıllardan beri ABD hükümeti suçluların ve düşmanların bilgisayarlarını hacklemek için daha önceden keşfedilmemiş yazılım zaafiyetlerini (Sırıfıncı gün -0-gün- açıklıklarını) kullanıp kullanmadığına dair açıklama yapmayı reddetti. İlk kez bu yıl Obama Yönetimi herkesin bildiği bu sır hakkında ufak bir açıklama yaptı ve Ulusal Güvenli Ajansı (NSA) ve bazı kolluk kuvvetlerinin yazılım açıklıkları ile ilgili bilgileri saklayarak hükümetin sabotaj ve izleme faaliyetlerinde kullandığını ima etti.

 

Hükümet yetkililerinin New York Times’a verdiği bilgiye göre, geçen sonbahardan itibaren NSA yetkilileri buldukları bir yazılım açıklığını üretici firmaya ve sektördeki diğer aktörlere bildirmek zorunda. Ama bu güvenlik zaafiyeti milli güvenlik ve kolluk güçleri için kullanışlı ise hükümet bu açıklıktan faydalanmak için bu bilgiyi saklamayı tercih etme şansına sahip.

 

Wired.com’a bir röportaj veren Obama’nın siber güvenlik danışmanı Micheal Daniel, hükümetin gizlediği güvenlik açıklıklarının ‘çok büyük sayıda’ olmadığını söyledi. Daniel hükümetin yazılım açıklıklarını gizleme ve bunları milli güvenlik konularında kullanma konusunda 2010’dan bu yana aktif olduğunu da sözlerine ekledi. Başkan danışmanı bulunan açıklıkların ne kadarının paylaşıldığına dair bir bilgi vermese de, NSA ve ABD Siber Komutanlığının başında bulunan Mike Rogers Stanford Üniversitesi’nde yaptığı bir konuşmada bulunan açıklıkların ‘büyük bir çoğunluğunun’ gizli kalmadığını söylemişti.

 

Sıfırıncı gün açıklıklarının hangi durumlarda gizli kalacağı ve istismar edileceğine dair net bir politika bulunmuyor. Wired.com sitesinin haberine göre, Obama’ya bu konu hakkında verilen tavsiyeler arasında, bulunan bir güvenlik zaafiyetinin gizlenmesi ve hedeflere karşı kullanılması için ‘ilgili tüm kurumların’ bilgisine başvurulmalı ve bu açıklığı istismar etmenin belirli bir süresi olması da bulunuyordu. Fakat ABD Başkanı’nın bu tavsiyeleri kulak ardı ettiği anlaşılıyor. Heartbleed açıklığının ABD hükümeti tarafından önceden bilindiği ve istismar edildiğine dair haberler sıkça medyada yer almıştı. Daniel iddiaları yalanlasa da, 2010’dan beri (Stuxnet virüsünün ortaya çıktığından beri) yürülükte olan ‘açıklıkları açıklama’ politikasının her zaman başarılı bir şekilde yürümediğini belirtmişti.

Konuyla ilgili açıklığa kavuşturulması gereken başka bir soru daha var. ABD hükümeti sadece kendisi yazılım açıklıklarını bulmuyor. Aynı zamanda diğer firmaların bulduğu sıfırıncı gün açıklıklarını da satın alıyor. Daniel verdiği röportajda açıklığın gerçekten önemli olduğunu düşünüyorlarsa, ‘kamuoyuyla paylaşmak’ amacıyla açıklığı firmadan satın aldıklarını iddia ediyor.

*Bu yazı Kim Zetter’in US Gov Insists It Doesn’t Stockpile Zero-Day Exploits to Hack Enemies yazısından derlenmiştir.