Etiket arşivi: Bug bounty

Dijital Güvenlik

Singapur hükümeti sistemlerindeki açıkları bulan hackerları ödüllendiriyor

Yorum yapın

Singapur hükümeti sistemlerindeki açıkları bulan hackerları ödüllendiriyorSingapur hükümetinin CIO’su (Bilişim Daire Başkanı), beyaz şapkalı hackerları kamuda kullanılan sistemlerdeki zafiyetleri ortaya çıkarmaları karşılığında 5 bin dolara kadar ödüllendireceği bir bug bounty (ödül avcılığı) programı başlattı.

Hükümet Teknoloji Ajansı (GovTech), yeni güvenlik açığı ödül programının, iletişim teknolojisi sistemlerinin güvenliğini artırmak için hayata geçirdikleri üçüncü kitle kaynaklı girişim olduğunu söyledi. Hükümet aynı zamanda, potansiyel güvenlik açıklarını bildirmeleri karşılığında kamuya açık güvenlik açığı ifşa programları da yürütüyor.

Hükümet’e bağlı Bilişim Ofisi, bug bounty programlarının “dönemsel” olduğunu ve her çalışma sırasında beş ila 10 adet kritik ve “yüksek profilli” sisteme odaklanıldığını söyledi. Öte yandan yeni ödül programlarının yapılmaya devam edeceğini ve böylece temel dijital hizmetleri sunmak için gereken daha geniş kapsamlı kritik iletişim teknolojisi sistemlerinin “sürekli olarak test edileceğini” söyledi.

Ortaya çıkan güvenlik açıklarının ciddiyetine bağlı olarak, ödül programına katılmaları onaylanan hackerlara 250 ila 5 bin dolar arasında ödül takdim edilecek. 

HAYATİ ÖNEME SAHİP AÇIK BULANA 150 BİN DOLARLIK ÖZEL ÖDÜL

Ek olarak, seçilen sistemler ve veriler üzerinde potansiyel olarak “olağanüstü etki” yaratabileceği tespit edilen güvenlik açıkları için 150 bin dolara kadar özel bir ödül verilebileceği belirtiliyor. Bu tür güvenlik açıklarının içeriğine ilişkin detaylar sadece kayıtlı hackerlara verilecek ve yalnızca seçilmiş sistemler için geçerli olacak. 

GovTech’e göre, özel ödül programı, Google ve Microsoft gibi teknoloji devleri tarafından gerçekleştirilen küresel kitle kaynaklı güvenlik açığı programları ile kıyaslanabilecek boyutta bir program. 

Ödül programına yalnızca bir dizi kriteri karşılayan hackerların katılmasına izin verilecek ve kontroller bug bounty operatörü HackerOne tarafından yapılacak. Katılımcılar onay aldıktan sonra, HackerOne tarafından sağlanan belirlenmiş özel bir sanal network geçidi üzerinden güvenlik değerlendirmeleri yapmak zorunda kalacak ve katılım kurallarını ihlal ettikleri takdirde erişimleri geri çekilecek. 

2018’DEN BERİ DÜZENLENİYOR

Govtech’in yönetişim ve siber güvenlikten Sorumlu Genel Müdür Yardımcısı Lim Bee Kwan, kuruluşlarının ilk olarak 2018’de kitle kaynaklı güvenlik açığı bulma programlarını kabul ettiğini söyledi. O zamandan beri, 500 geçerli güvenlik açığını tespit etmek için binden fazla hackerla çalışıldı. 

Lim, “Yeni güvenlik açığı ödül programı, hükümetin kritik sistemlerimizi test etmek için küresel siber güvenlik yetenekleri havuzundan daha fazla istifade etmesine ve vatandaşların verilerini güvende tutmasına olanak tanıyacak.” dedi. 

Ağustos 2021 itibariyle Singapur hükümeti, her biri iki ila üç hafta süren ve 33 sistemi kapsayan dört bug-bounty programı başlattı. Katılımcılara 100 bin dolardan fazla para dağıtıldı.  

Kamuya açık güvenlik açığı bilgilendirme programı, Ekim 2019’da başlatıldı ve Mart 2021 itibariyle 59 devlet kurumunu kapsayan 900’den fazla güvenlik açığı bildirildi. Bunlardan en az 400’ü o zamandan beri geçerli olan hatalardı. 

Geçen ay yayınlanan bir rapor, Singapur hükümetinin bug bounty ve ifşa programları aracılığıyla 2020’de ortaya çıkarılan güvenlik açıklarının yarısının hala geçerli olduğunu ortaya koydu. Smart Nation ve Dijital Devlet Ajansı’nın raporuna göre, kamu sektörü geçtiğimiz yıl veri olaylarında yüzde 44’lük bir artış kaydetti, ancak hiçbirinin “yüksek şiddette” olmadığı değerlendirildi.

Dijital Güvenlik

Bug Bounty programı kalp hastası bebeğe umut oldu

Yorum yapın

Kızlarının kalp ameliyatı masraflarını karşılamak için paraya ihtiyaç duyan bir çiftin yardımına bug bounty yarışması yetişti.  Kuruluşların sistemlerindeki zafiyetleri bulmak amacıyla düzenlenen “Bug Bounty Programı” (Hata Ödülü) kalp ameliyatı olması gereken bir bebeğe umut oldu.

Aynı zamanda bebeğin babasının kardeşi olan bir güvenlik araştırmacısı çok ciddi bir zafiyeti tespit etti ve bunun karşılığında kazandığı ödülün bir kısmını bebeğin ailesine bağışladı.

Salı günü, güvenlik araştırmacısı Brett Buerhaus Twitter’da bir yardım çağrısı yaptı. Buerhaus, erkek kardeşi ve karısının, o sırada henüz doğmamış olan kızlarının dünyaya geldikten sonra gireceği hayati bir açık kalp ameliyatı için yardıma ihtiyacı olduğunu söyledi. 

BEBEĞİN AMCASI ZAFİYET AVINA ÇIKTI

Buerhaus daha sonra anne babanın kızları için başlattığı bağış kampanyasına katkıda bulunmak amacıyla bug bounty yarışmasına katılıp güvenlik açığı avına çıkacağını ifade etti. 

Söz konusu bebek sağlık durumuna bağlı olarak ya birkaç aylıkken ya da en kötü senaryoya göre sadece birkaç günlükken açık kalp ameliyatı olmak zorunda kalacak. Anne, bağış kampanyası için açılan web sitesinde ameliyatın özel bir sağlık kuruluşunda yapılması gerektiğini not düşmüştü.  Ayrıca kızlarının ömür boyu devam edecek bir tıbbi bakıma ihtiyacı olacağını belirtmişti.

KRİPTO PARA PROJESİNİN KODUNDA CİDDİ BİR HATA BULDULAR

Geçtiğimiz hafta çarşamba gecesi, Buerhaus ve başka bir güvenlik araştırmacısı olan arkadaşı Sam Curry, büyük bir kripto para projesi kapsamında güvenlik açığı avına çıktılar. Sadece birkaç saat sonra, projenin kodunda ciddi bir hata bulan ikili bu durumu bildirmelerinin ardından 50 bin dolar kazandılar. 

Sam Curry yaşadıklarını şu sözlerle anlatıyor: “Çok şanslıydık. Aradığımızı ilk günden bulduk ve bu sadece iki üç saatimizi aldı.” Curry, kazandıkları ödülün 4 bin 497 dolarlık kısmını hedefi 25 bin dolar olan kampanyaya bağışladı.  O günden beri de toplanan bağış miktarı 29 bin doları aştı.

Apple’dan bug bounty avcılarına ödül : Hindistanlı beyaz şapkalı hackerlar 50 bin dolar kazandı

Baba Drew Buerhaus, Motherboard’a yaptığı açıklamada şunları söyledi: “Birden çok duyguyu bir arada yaşadığımız, dünyanın dört bir yanından gelen sevgi ile karşılaştığımız zor bir haftaydı.” 

SİBER GÜVENLİK TOPLULUĞU OLMADAN KAMPANYA HEDEFİNE ULAŞAMAZDI

Buerhaus ayrıca, kendisinin ve karısının kardeşine gönderdiği ve siber güvenlik topluluğuna hitaben yazılmış bir notu da paylaştı. Notta şu ifadeler yer alıyordu: “Karım ve ben ne diyeceğimizi bilmiyoruz. Yardımınız olmadan, bu kadar kısa bir sürede bu paraya ulaşmamız mümkün olmazdı. Hepiniz tanımadığınız birine özverili bir şekilde yardım ettiniz ve bu bizim için son derece önemli.”

Curry de Buerhaus’un güvenlik açığı aramaya başladığı andan itibaren siber güvenlik topluluğundan başka kişilerin de kampanyaya bağışta bulunmak için akın ettiğini belirtti ve ekledi: “Gerçekten mutluyum. Topluluktaki herkesin bir araya gelmesi gerçekten çok güzeldi.”

Attığı bir tweet ile kardeşinin durumuna dikkat çeken Brett Buerhaus, bu kadar yardım toplanacağını tahmin etmediğini belirterek şunları ifade etti: “Bu olay bize siber güvenliğin dev bir aile olabileceğini ve bu toplulukta çok iyi kalpli insanların olduğunu hatırlattı.”

Sektörel

Microsoft kritik zafiyeti bulana 50 bin dolar ödül verdi: Güvenlik açığı hesap ele geçirmeye izin veriyor 

Yorum yapın

Bir güvenlik araştırmacısı, Microsoft’a herhangi bir hesabın ele geçirilmesine yol açabilecek bir güvenlik açığını bildirdiği için kendisine 50 bin dolarlık bounty ödül verdiğini duyurdu.

Hindistan merkezli bağımsız güvenlik araştırmacısı Laxman Muthiyah, bahsi geçen açığın Microsoft’un çevrim içi hizmetlerindeki herhangi bir hesabın şifresini sıfırlamak için istismar edilmiş olabileceğini ifade etti.

Araştırmacının açıkladığı saldırının hedefinde, Microsoft’un kullanıcının e-posta veya telefon numarasını girmek suretiyle bir güvenlik kodu alıp sonrasında bu kodu girmesini öngören  “parola kurtarma” işlemi yer alıyordu. 

Parola kurtarma için genellikle 7 basamaklı bir güvenlik kodu alınmakta, bu da kullanıcıya 10 milyon olası koddan birinin verildiği anlamına geliyor. Hedefteki kullanıcının hesabına erişmek isteyen bir saldırganın, kodu doğru bir şekilde tahmin etmesi veya doğru kodu girene kadar mümkün olduğunca çok sayıda bu kodu deneyebilmesi gerekiyor.

Microsoft, saldırıları önleme noktasında  otomatik “brute forcing”i (kaba kuvvet saldırısı) önlemek için yapılan girişim sayısını sınırlamak ve peş peşe girişim yapıldığında söz konusu IP adresini kara listeye almak da dahil olmak üzere bir dizi mekanizmaya sahip.

PAROLA DEĞİŞİKLİK İSTEKLERİ AYNI ANDA GÖNDERİLİRSE SİSTEM ÇARESİZ KALIYOR

Öte yandan Muthiyah’ın keşfettiği şey, yalnızca isteklerin gönderilmesini otomatik hale getirmeye yönelik bir teknik değil, aynı zamanda isteklerin sunucuya aynı anda ulaşması halinde sistemin bunları engellemeyeceği gerçeğiydi (zira en ufak bir gecikme bile savunma mekanizmasını tetikleyecekti).

Araştırmacı, “Doğru olan da dahil olmak üzere yedi haneli yaklaşık 1000 kod gönderdim ve parolayı değiştirmek için bir sonraki adımı atabildim.” diyor.

Apple’dan bug bounty avcılarına ödül : Hindistanlı beyaz şapkalı hackerlar 50 bin dolar kazandı

SALDIRI İKİ FAKTÖRLÜ KİMLİK DOĞRULAMASI ETKİN OLMAYAN HESAPLAR İÇİN GEÇERLİ

Muthiyah, saldırının iki faktörlü kimlik doğrulaması (2FA) etkin olmayan hesaplar için geçerli olduğunu ancak ikinci kimlik doğrulama adımının bile aynı saldırı türünü kullanarak atlanabileceğini ifade etti. Özellikle, kullanıcıdan önce authenticator uygulaması tarafından oluşturulan 6 haneli bir kod ve daha sonra e-posta veya telefon yoluyla alınan 7 haneli bir kod oluşturması isteniyor.

Araştırmacıya göre tüm bunlar bir araya getirilince bir saldırganın 6 ve 7 haneli güvenlik kodlarının tüm olasılıklarını  göndermesi gerekiyor, bu da yaklaşık 11 milyon istek girişimine tekabül ediyor ve herhangi bir Microsoft hesabının parolasını değiştirmek için bunların  aynı anda gönderilmesi gerekiyor (iki faktörlü kimlik doğrulaması etkin olanlar dahil)

ZAFİYETİN DERECESİ: “ÖNEMLİ”

Güvenlik açığı, geçtiğimiz yıl Microsoft’a bildirildi ve Kasım ayında bir yama kullanıma sunuldu.  Microsoft, zafiyetin önem derecesini ‘önemli’ olarak değerlendirmek suretiyle Kimlik Ödül Programı (Identity Bounty Program) kapsamında araştırmacıyı 50 bin dolar ile ödüllendirdi. 

Araştırmacı, zafiyetin kritik önem taşımasının tek nedeninin, saldırının karmaşıklığı olduğunu bildirdi. Zira çok sayıda eş zamanlı isteği işlemek ve göndermek için, saldırganın binlerce IP adresini taklit etme yeteneğinin yanı sıra iyi bir işlem gücüne sahip olması gerekiyor.

 

Siber Bülten abone listesine kaydolmak için formu doldurunuz

 

 

Sektörel

Intel, güvenlik açıklarının yarısını Bug Bounty programıyla tespit etti

Yorum yapın

Şirketlerin ve kuruluşların sahip oldukları yazılımların güvenliğini test etmek amacıyla dışarıdan hackerlara ve yazılımcılara yönelik gerçekleştirdiği ve zafiyetleri bulmaları karşılığında ödüllendirdiği bir program olan Bug Bounty güvenilirliğini kanıtlamaya devam ediyor.

İşlemci devi Intel’in kendi uzmanları tarafından yürütülen araştırma ve dışarıdan destek alınan hata ödül programları (bug bounty yarışmaları) işbirliği ile şirketin yazılımındaki güvenlik zaafiyetlerinin çok büyük kısmı tespit edildi. 

Bu, Intel’in dahili araştırma ekipleri ve gerçekleştirdikleri bug bounty yarışmalarına yaptığı yatırımların meyvesini verdiği anlamına geliyor. Üst üste iki yıl boyunca, Intel’in ürünlerinde bulunan güvenlik açıklarının büyük çoğunluğu (yüzde 92) özellikle dahili araştırma ekiplerinin çabalarından ve hata ödül programları yoluyla tespit edildi.  

DARPA, ilk bug bounty yarışmasından geçer not aldı: Sistemler yazılım tabanlı donanım tehditlerine dayanıklı çıktı

AÇIKLARIN YÜZDE 45’İ BUG BOUNTY VASITASIYLA TESPİT EDİLDİ

Şirketin “2020 Ürün Güvenliği” raporuna göre, 2020’de Intel ürünlerinde bildirilen 231 güvenlik açığından 109’u (yüzde 47) Intel çalışanları tarafından bulunurken, 105’i (yüzde 45) bir hata ödül programına katılan harici araştırmacılar tarafından tespit edildi. Şirket, farklı farklı programlara ne kadar yatırım yaptığını ayrıntılı olarak açıklamazken, hata ödül programları için yılda ortalama 800 bin dolar ödediğini belirtti.

Intel’in Güvenlik İletişim Direktörü Jerry Bryant, şirketin güvenlik konusundaki çok yönlü yaklaşımını sürdüreceğini ifade etti ve ekledi: “Güvenlik bir kez yatırım yapılıp bırakılabilecek bir şey değil” Güvenlik geliştirme uygulamalarının iyinin ötesinde bir konumda olması gerektiğini belirten Bryant, “Bu, şirketinizde bir zihniyete dönüşmeli, güvenlik açığı yönetim süreçlerine yatırım yapmalısınız.”  

RAPOR BUG BOUNTY’NİN ÖNEMİNİ ORTAYA KOYUYOR

Rapor, uygulama ve yazılım geliştiricileri için hata ödül programlarının ne derece önemli olduğunu göstermesi bakımından dikkat çekici.  Beş yıl öncesine kadar birçok şirket hata ödül programlarının etkinliğini tartışıyordu. Ancak şimdilerde çoğu şirket harici araştırmacılarla işbirliği yapılmasına artan oranda önem veriyor.  

Intel, şirketin Ürün Güvencesi ve Güvenlik Grubunu kurmasının ardından 2018’de kendi hata ödül programını başlatmıştı. Rapor, şirketin söz konusu çabalarının karşılığını aldığını ortaya koyuyor. Ödül programları aracılığıyla sürece dahil olan harici araştırmacılar, Intel’in ana konusu olan işlemciler, ağ oluşturma ve grafik platformları üzerinde daha fazla etkiye sahip olma eğiliminde olan daha karmaşık ürün yazılımı veya donanım güvenlik açıklarını aramak yerine, genellikle yazılım sürücülerine odaklandı. Raporda, şirketin dahili araştırmacılarının aygıt yazılımı ile ilgili güvenlik sorunlarının yüzde 69’unu ve donanım sorunlarının yüzde 57’sini tespit ettiği belirtildi.

Intel raporda” harici araştırmacılar tarafından bulunan sorunların büyük bir kısmı, çoğunlukla grafik, ağ oluşturma ve Bluetooth bileşenleri için yazılım desteği ve yazılım sürücülerinden oluşan yazılımlarla ilgiliydi. Bunlar ele alınması gereken önemli konular olsa da, ürün aygıt yazılımımız, platformlarımıza olan güven noktasında temel teşkil ediyor ve veriler bunun iç güvenlik araştırmamızın öncelikli hususu olduğunu gösteriyor.”

Intel’in dahili araştırma ekibi veya hata ödül programı dışında bir yöntemle tespit edilen güvenlik açığı sayısının sadece 17 olduğu bildirildi.  Şirket, bu araştırmacılara Intel’in ortaklarının, müşterilerinin ve ödül motivasyonu olmayan kuruluşların dahil olduğunu söyledi. 

Apple’dan bug bounty avcılarına ödül : Hindistanlı beyaz şapkalı hackerlar 50 bin dolar kazandı

EN FAZLA GÜVENLİK AÇIĞI SÜRÜCÜLERDE VE DİĞER YAZILIM BİLEŞENLERİNDE TESPİT EDİLDİ

En fazla güvenlik açığı (93), sürücülerde ve diğer yazılım bileşenlerinde meydana gelirken, cihaz yazılımında 66, cihaz yazılımı ve yazılımda 58 güvenlik açığı tespit edildi.  En az sayıda güvenlik açığı (14) donanımı (işlemciler vb.) etkiledi. Branching speculative execution’daki (spekülatif yürütme) gözden kaçan sorunların neden olduğu Spectre ve Meltdown tasarım zaafiyetleri gibi donanım güvenlik açıkları, ürün üretildikten sonra düzeltilmesi veya hafifletilmesi çok zor zaafiyetler olarak biliniyor. 

Rapora göre, genel olarak, grafik bileşenleri (22), güvenlik açıklarının en büyük bölümünü oluşturdu. Bunların neredeyse yarısı yüksek riskli olarak sıralandı. En kritik güvenlik açıkları, herhangi bir Intel tabanlı bilgi işlem platformunun güven ölçümünün temelini oluşturan Intel Güvenlik ve Yönetim Motoru’nda (CSME) meydana geldi. 

Hata ödülleri programı vasıtasıyla bildirilen güvenlik açıklarının sayısındaki artış göz önüne alındığında, şirketin harici araştırmacılara ayırdığı bütçeyi artıracağı düşünülüyor.  

Siber Bülten abone listesine kaydolmak için formu doldurunuz

 

Dijital Güvenlik

DARPA, ilk bug bounty yarışmasından geçer not aldı: Sistemler yazılım tabanlı donanım tehditlerine dayanıklı çıktı

Yorum yapın

ABD Savunma Bakanlığı’na bağlı Savunma İleri Araştırma Projeleri Ajansı (DARPA), Temmuz-Ekim 2020 tarihleri arasında, kuruluşların sistemlerindeki güvenlik açıklarını bulmak amacıyla tarihinde ilk kez  “Bug Bounty Yarışması” düzenledi

Yaklaşık 580 siber güvenlik araştırmacısının 13 bin saatten fazla süreli hackerlik faaliyetlerini üç ay boyunca incelemesinin ardından DARPA tarafından yapılan açıklamada Donanım ve Yazılım Aracılığıyla Sistem Güvenliği Entegrasyonu (SSITH) kapsamında geliştirilen güvenli donanım mimarilerinin başarısının kanıtlandığı duyuruldu.

Yarışma, Savunma Bakanlığının Dijital Savunma Hizmeti (DDS) ve kitle kaynaklı bir güvenlik platformu olan Synack ile ortaklaşa gerçekleştirildi. Synack’in mevcut araştırmacı topluluğu tarafından 980’den fazla SSITH işlemcisi test edildi ve tüm güvenli mimari uygulamalarında sadece 10 güvenlik açığı keşfedildi. 

DARPA’NIN SSITH PROGRAMI DONANIM AÇIKLARINA KARŞI KORUMA SAĞLIYOR

DARPA’nın SSITH programı, elektronik sistemleri yazılım aracılığıyla kötüye kullanılan yaygın donanım açıklarına karşı koruyan güvenlik mimarileri ve araçları geliştirmeyi amaçlıyor. SSITH üzerinde çalışan ekipler, araştırmalarını test etmeye ve değerlendirmeye yardımcı olmak için yeni donanım güvenlik korumalarını RISC-V işlemci çekirdeklerine sahip FPGA tabanlı “benzetilmiş“ sistemlere entegre etti. Korumasız işlemcilerde kötüye kullanılabilecek savunmasız uygulamalarla doldurulmuş her sistemin üzerine tam yazılım yığınları oluşturuldu. Bu benzetilmiş sistemler daha sonra, kuruluşun güvenlik araştırmacıları grubu olan Synack Red Team’e (SRT) Amazon Web Services (AWS) EC2 F1 bulutu aracılığıyla iletildi. 

İsrailli şirket yarışma açtı, 16 ülkeden 3500 hacker saldırdı

SİSTEM OLDUKÇA ETKİLİ 

SSITH ve FETT’ten sorumlu DARPA program yöneticisi Keith Rebello, “Neredeyse hiçbir sistemin hacklenemez olmadığını bildiğimiz için işlemcilerdeki hataları keşfetmeyi bekliyorduk, ancak FETT sayesinde SSITH teknolojilerinin yaygın yazılım tabanlı donanım istismarlarına karşı korumada oldukça etkili olduğu ortaya çıkmış oldu” dedi. 

Üç aylık süre içinde SRT tarafından yalnızca 10 güvenlik açığı ortaya çıkarıldı. Common Vulnerability Scoring System 3.0 (Genel Zaafiyet Puanlam Sistemi) standartlarına göre bunlardan yedi tanesi “kritik”, üçü “yüksek” olarak belirlendi. Bug Bounty yarışması sırasında keşfedilen güvenlik açıklarından dördü yamalanıp ve SRT tarafından doğrulandı. SSITH araştırma ekiplerinin, programın üçüncü aşaması sırasında güvenlik açıklarını azaltmaları beklenmektedir.

SSITH programı şu anda üçüncü ve son aşamasında. Araştırma ekipleri, daha da fazla güvenlik korumaları için ısrar ederken teknolojilerinin performansını iyileştirmeye odaklanıyor. 

Siber Bülten abone listesine kaydolmak için formu doldurunuz