Etiket arşivi: GÜVENLİK AÇIĞI

Sektörel

Google Bug Bounty’de kesenin ağzını açtı: Zafiyeti bulana 31 bin dolar ödül!

Yorum yapın

Google Bug Bounty'de kesenin ağzını açtı: Zafiyeti bulana 31 bin dolar ödül!Google, açık kaynaklı projelerinde güvenlik açığını bulana 31 bin dolar ödül verecek.

ABD’li teknoloji devi düzenlediği yeni bir bug bounty yarışması (hata ödül programı) ile açık kaynaklı projelerindeki güvenlik açıklarını bulup bildirenleri ödüllendiriyor. Firma böylece yazılım tedarik zinciri güvenliğini güçlendirmeyi umuyor. 

Açık Kaynak Kodlu Yazılım Güvenlik Açığı Ödül Programı (OSS VRP), açık kaynak kodlu güvenlik teknik program yöneticisi Francis Perron ve bilgi güvenliği mühendisi Krzysztof Kotowicz’e göre, hata avcılarına 100 dolar ve 31.337 dolar arasında ödeme yapacak. En yüksek ödemeler “olağandışı ve ilginç güvenlik açıklarını” bulanlara yapılacak. 

Öte yandan, Google tarafından sürdürülen Bazel, Angular, Golang, Protocol Buffers ve Fuchsia gibi açık kaynak projelerinin “en hassas”larındaki güvenlik açıklarını bulan ve bildirenleri de büyük ödüller bekliyor. 

Bug Bounty, finans sektörüne siber güvenlikte hız kazandırabilir

Bu projeler, internet devinin birçok ürününde kullanılıyor. Örneğin, Google tarafından tasarlanan Go programlama dili, depolama ortamlarına yönelik analizlerde yoğun olarak kullanılırken, Fuchsia OS ise Alphabet’in sahip olduğu Nest de dahil olmak üzere akıllı ev cihazlarına güç veriyor.

2021 DERS OLDU, ÖDÜL PROGRAMLARINA AĞIRLIK VERİLDİ

Tedarik zinciri ve açık kaynaklı yazılım saldırıları açısından önemli bir yıl olan 2021’in ardından, Google’ın en son VPR’si (Güvenlik Açığı Ödül Programı) beyaz şapkalı hackerların tedarik zincirinin tehlikeye girmesine ve ürün güvenlik açıklarına neden olan tasarım sorunlarının yanı sıra sızdırılan kimlik bilgileri, zayıf parolalar ve güvensiz kurulumlara yol açabilecek güvenlik açıklarını tespit etmelerini istiyor. 

Perron ve Kotowicz, “Geçen yıl, Codecov ve Log4j güvenlik açığı gibi tek bir açık kaynak güvenlik açığının yıkıcı potansiyelini gösteren önemli olaylar da dahil olmak üzere, açık kaynak tedarik zincirini hedef alan saldırılarda bir önceki yıla göre yüzde 650 artış görüldü” diye yazdılar ve eklediler:  

“Google’ın açık kaynak projelerine odaklanan yeni Güvenlik Açığı Ödül Programı, hem Google kullanıcıları hem de dünya çapındaki açık kaynak tüketicileri için bu tür saldırılara karşı tedarik zincirini güvence altına almak da dahil olmak üzere siber güvenliği geliştirmeye yönelik 10 milyar dolarlık yatırım taahhüdümüzün bir parçasıdır.”

Google’ın bu yıl 12.’sini düzenlediği VRP’si yıllar içinde genişledi ve Chrome, Android ve diğer ürün ve projelere odaklanan hata ödülleri eklendi. Bu ayın başlarında, Google’ın Linux çekirdeğindeki hataları açığa çıkarmaları için araştırmacılara ödeme yapan Kubernetes tabanlı capture-the-flag projesi, ödemelerini kalıcı olarak 133.337 $’lık maksimum ödüle yükseltti.

Toplamda, Google geçen yıl çeşitli VPR’lerinde yaklaşık 700 araştırmacıya 8.7 milyon dolar ödül verdi.

BEYAZ SARAY TOPLANTISI SONRASI BUG BOUNTY MİKTARI ARTTI

Bu hamle aynı zamanda özel yazılım şirketlerinin yanı sıra federal hükümetin tedarik zinciri ve açık kaynak güvenliğini geliştirmeye yönelik daha geniş çaplı çabalarının bir parçası.

Mayıs ayında Beyaz Saray’da yapılan bir toplantının ardından Google ve diğer büyük teknoloji şirketleri, açık kaynak ve yazılım tedarik zinciri güvenliğini iyileştirmeye yönelik bir planın uygulanması için 30 milyon doların üzerinde yatırım yapacaklarına dair  taahhütte bulunduklarını açıkladılar. Bundan kısa bir süre sonra Google, işletmelerin açık kaynaklı yazılım bağımlılıklarını güvence altına almalarını kolaylaştırmaya çalışan “Assured Open Source Software” adlı bir hizmet duyurdu.

Sektörel

Zafiyet raporlarını çalıp bug bounty istedi: HackerOne kapıyı gösterdi!

Yorum yapın

Bug Bounty platformu olan HackerOne, bir çalışanını “kendi kişisel çıkarı için güvenlik açığı raporlarına eriştiği ve buradan ek ödüller talep ettiği” gerekçesiyle işten çıkardı.

Zafiyet raporlarının HackerOne programı dışında ifşa edildiğini açıklayan platform yetkilileri “Bu, değerlerimizin, kültürümüzün, politikalarımızın ve iş sözleşmelerimizin açık bir ihlalidir.” ifadelerini kullandı.

“MESLEKTAŞLARININ EMEĞİ ÜZERİNDEN KAZANÇ ELDE ETMEYE ÇALIŞTI”

Şirketleri siber güvenlikçilerle buluşturan bir Bug Bounty platformu olan HackerOne, çalışanını işten çıkarma gerekçesinde “kendi kişisel çıkarı için güvenlik açığı raporlarına eriştiği ve buradan ek ödüller talep ettiği ve bunları HackerOne programı dışında ifşa ettiği”ni bildirdi.

Söz konusu olay, HackerOne müşterisi olan bir şirketin aynı güvenlik zafiyetini iki kişinin farklı yollardan raporladığını, normalde böyle olaylar yaşansa da bu vakada bir kişinin güvenlik açığıyla ilgili oldukça tehditkâr bir dil kullandığını belirttiği bir mesajı HackerOne’a iletmesiyle ortaya çıktı.

Konunun üzerine düşen HackerOne araştırmacıları daha sonra çalışanların güvenlik açığı açıklamalarına erişimiyle ilgili günlük verilerine baktı ve müşterilerin şüpheli olarak bildirdiği açıklamaların her birine yalnızca bir çalışanın eriştiğini buldu.

Hackerlikte “racon” değişti: Kim korkar deşifre olmaktan?

HackerOne, “Müşterimizden gelen mesaj sonrası 24 saat içinde söz konusu çalışanın sistem erişimini sonlandırmak için adımlar attık ve araştırmamızda derinleşmek için dizüstü bilgisayarlarını uzaktan erişime kapattık.” açıklamasında bulundu.

“BUG BOUNTY PROGRAMLARINA GÜVEN SARSILABİLİR”

Vulcan Cyber’dan Mike Parkin, bunun gibi olayların, HackerOne’ın yönettiği gibi kitle kaynaklı güvenlik açığı programlarının başarısının anahtarı olan güveni baltalayabileceğini ifade etti.

Parkin, “Güven, güvenlik açığı araştırmalarında büyük bir faktördür ve birçok bug bounty programında önemli rol oynar. Yani, birisi başka bir araştırmacının çalışmasını çalıp onu kendisininmiş gibi sunduğunda, bu temel güven sarsılabilir.” diye konuştu.

Bunun yanı sıra Parkin, HackerOne’ın şeffaf olduğunu ve durumu çözmek için hızlı davrandığını belirterek, “Umarım olay güvenlik açığı araştırma ekosistemini genel olarak etkilemez. Fakat ileriye dönük bug bounty başvurularının daha derin incelenmesine yol açabilir.” değerlendirmesinde bulundu.

Olayın ardından HackerOne, kontrollerin ve taramaların artacağını, çeşitli iyileştirmeler yapılacağını duyurdu.

Teknik

Piliniz bitince hackerlar daha kolay saldırıyor

Yorum yapın

iPhone’larda bulunan düşük güç modu (LPM) uygulamasının ciddi güvenlik riskleri oluşturduğu ortaya çıktı. Almanya’daki bir üniversitede yapılan araştırmaya göre, uygulama saldırganların kapalı cihazlarda kötü amaçlı yazılım çalıştırmasına olanak tanıyor

Darmstadt Teknik Üniversitesi Güvenli Mobil Ağ Laboratuvarı’ndan bir grup araştırmacı iOS 15’te tanıtılan özelliklerin bir analizini yaptı ve son iPhone modellerinde Bluetooth, NFC ve Ultra geniş bant (UWB) kablosuz iletişim sistemlerinin, cihaz kapatıldıktan sonra bile etkin kaldığını ortaya çıkardı. 

Araştırmacılar, LPM’ye (örneğin Find My iPhone) dayanan uygulamaların amaçlandığı gibi çalışıp çalışmadığını ve ayrıca donanım ve aygIt yazılımı üzerindeki etkisini kontrol etti. Uzmanlar üretici yazılımının güvenliğinin ihlal edilmesi durumunda, saldırganın, cihaz kullanıcı tarafından kapatıldıktan sonra bile cihazın sınırlı kontrolünü elinde tutabileceğini iddia ediyor. Araştırmayı yürüten uzmanlar, Bluetooth LPM donanım yazılımının, cihaz kapatıldığında bir iPhone 13’te kötü amaçlı yazılım çalıştırmak için nasıl değiştirilebileceğini de ayrıntılı olarak anlattı.

Düşük güç modu (LPM), kullanıcı iPhone’u kapattığında veya düşük pil nedeniyle cihaz kapandığında etkin hale geçiyor. Bu sırada cihaz tamamen kapalı gibi görünse de aralarında cihazın bulunmasını sağlayan Find My hizmeti, dijital araba anahtarları, ödeme uygulamaları ve seyahat kartları dahil olmak üzere belirli özellikler kullanılabilir olmaya devam ediyor. Sıradan kullanıcılar için birçok faydası olmakla beraber, LPM’nin özellikle iyi finanse edilen tehdit aktörleri tarafından hedef alınma olasılığı daha yüksek olan gazeteciler ve aktivistler gibi kişilerce göz ardı edilemeyecek bazı güvenlik risklerini de beraberinde getiriyor.

Apple’ın kayıp bulma aracı AirTag, yanlış ellerde tehlikeli bir cihaza dönüşebilir

CİHAZ KAPANDIKTAN SONRA İZLEMEYE İMKAN TANIYOR

Araştırmacılar makalelerinde, “LPM özelliklerinin tasarımında amaçlanan uygulamaların dışındaki tehditler dikkate alınmaksızın çoğunlukla işlevsellik ön plandaymış gibi görünüyor.” eleştirisine yer verdi. Find My iPhone hizmetinin cihazın kapanmasının ardından bir izleme cihazına dönüştüğünün belirtildiği çalışmada, “Bluetooth aygıt yazılımı içerisindeki uygulama, manipülasyona karşı güvenli değil. İzleme özellikleri, sistem düzeyinde erişime sahip saldırganlar tarafından gizlice değiştirilebilir.” denildi.

Uzmanlar, Apple’ın pilin bağlantısını kesmek için bir donanım anahtarı eklemesi gerektiğine ve “gizlilik ile ilgili kullanıcılar ve gazeteciler gibi gözetleme hedefleri için durumu iyileştireceğine” inanıyor.

Araştırmacılar ayrıca bulgularını Apple’a bildirdiklerini, ancak teknoloji devi geçen hafta makaleleri yayınlanmadan önce herhangi bir geri bildirim sağlamadığını açıkladı.

Türkiye

Tarihin en büyük siber soygunu Türkiye’de gerçekleşti: Samsunlu kardeşler 16 milyar lira çaldı

Yorum yapın

Türkiye’de bir bankacılık uygulamasında bulunan yazılım hatası tarihin en büyük soygununa kapı araladı.

Hürriyet gazetesi yazarı Sefer Levent’in yazısına göre  Samsun’da Recep Gezek ve Emre Gezek isimli kardeşler bir bankadan 16 milyar lirayı hesaplarına aktardı.

Levent, yazısında Gezek kardeşlerin dolandırıcılık ile suçlandığı duruma dair çıkarımlarını şu ifadelerle anlattı:

Samsun’da bir benzin istasyonunda çalışan Recep Gezek ve ağabeyi Emre Gezek 16 milyar TL gibi bir rakamı nasıl oldu da hesaplarına aktarabildi. Bu tarihi soygunu müthiş bir habere imza atarak ortaya çıkaran Musa Kesler ile yaptığım görüşmeden çıkardığım sonuçlar şöyle:

* Eldeki veriler bankanın yatırım bölümü ile mevduat bölümü arasındaki yazılım hatasından kaynaklandığını düşündürüyor. Yani olayda bir hackleme ya da hacker girişimi yok. Varsa soruşturmanın başka safhalarında ortaya çıkar.

Yapay zeka kullanarak bankadan 35 milyon dolar çaldılar

* Olay mahkemeye yansıdı. Ayrıntıların süreç içinde netleşeceğini belirtmemizde fayda var.

* Tarihi soygun girişimi hafta sonu olduğu için banka, hesaplarındaki korkunç mevduat patlamasını çok geç fark ediyor.

* İki kardeş iki günde 70’e yakın sözde transfer işlemi yapıp sonunda 16 milyar TL’yi yatırım bankacılığından mevduat hesaplarına aktarmayı başarıyor.

* Banka başta bir anormallik olduğunu anlıyor transferler devam ederken hesaba bloke uyguluyor ama yine de ne olduğunu kestiremiyor. Kardeşlerin uyarısıyla da blokeyi kaldırıyor. Sonradan tekrar bloke koyuyor ama transferler çoktan yapılmış…

* 2 Mart’ta ‘çok para taşıdıkları için’ silahla polise yakalanmasalar belki de iki kardeş şimdiye çoktan sırra kadem basmıştı. Yakalanırlar mıydı, paranın ne kadarı kurtarılırdı, bilemem.

SOYGUNDA DÜNYA REKORUNU KIRDILAR

* 2003’te Irak Savaşı başlamadan önce yağmalanan Merkez Bankası’ndan çalınan para 920 milyon dolar.

* Bağdat’taki Es Salaam Bank’tan bizzat bankanın güvenlik birimlerinin de işbirliği ile çalınan miktar ise 282 milyon dolardı.

* 1987 yılında Knigtsbridge’e giren soyguncular banka görevlileri ve müşterilerini rehin alarak kiralık kasaları boşalttı. Bu soygunun değeri ise 98 milyon dolardı.

* Brezilya Merkez Bankası’na 78 metre tünel kazıp ulaşan soyguncular 71 milyon doları çaldılar.

* Bugüne kadarki en büyük kripto para soygunu ise geçtiğimiz yılın ağustos ayında yaşandı. Poly Network üzerinden 610 milyon dolarlık token çalındı. Şirket tüm parayı iade etmesi için hacker’a iş teklifinde bulundu. Böylece para geri alındı.

BANKANIN SİSTEMİNDE BİR GÜVENLİK AÇIĞI MI VAR?

Samsun’daki bu tarihi soygun girişimini soruşturmanın sadece adli makamlarla sınırlı kalmayabilir. Bankanın kendi güvenlik sistemlerini, yazılımlarını baştan aşağı elden geçirmesi ve soruşturmasının yanı sıra Bankacılık Düzenleme ve Denetleme Kurumu’nun da ayrıca bir inceleme yapması bekleniyor.

Bugüne kadar bankanın yatırım bankacılığı biriminden mevduat hesaplarına aslında ‘olmayan’ başka paraların da aktarılıp aktarılmadığı bilinmiyor.

Kaynak: Hürriyet, Independent Türkiye

Dijital Güvenlik

Singapur hükümeti sistemlerindeki açıkları bulan hackerları ödüllendiriyor

Yorum yapın

Singapur hükümetinin CIO’su (Bilişim Daire Başkanı), beyaz şapkalı hackerları kamuda kullanılan sistemlerdeki zafiyetleri ortaya çıkarmaları karşılığında 5 bin dolara kadar ödüllendireceği bir bug bounty (ödül avcılığı) programı başlattı.

Hükümet Teknoloji Ajansı (GovTech), yeni güvenlik açığı ödül programının, iletişim teknolojisi sistemlerinin güvenliğini artırmak için hayata geçirdikleri üçüncü kitle kaynaklı girişim olduğunu söyledi. Hükümet aynı zamanda, potansiyel güvenlik açıklarını bildirmeleri karşılığında kamuya açık güvenlik açığı ifşa programları da yürütüyor.

Hükümet’e bağlı Bilişim Ofisi, bug bounty programlarının “dönemsel” olduğunu ve her çalışma sırasında beş ila 10 adet kritik ve “yüksek profilli” sisteme odaklanıldığını söyledi. Öte yandan yeni ödül programlarının yapılmaya devam edeceğini ve böylece temel dijital hizmetleri sunmak için gereken daha geniş kapsamlı kritik iletişim teknolojisi sistemlerinin “sürekli olarak test edileceğini” söyledi.

Ortaya çıkan güvenlik açıklarının ciddiyetine bağlı olarak, ödül programına katılmaları onaylanan hackerlara 250 ila 5 bin dolar arasında ödül takdim edilecek. 

HAYATİ ÖNEME SAHİP AÇIK BULANA 150 BİN DOLARLIK ÖZEL ÖDÜL

Ek olarak, seçilen sistemler ve veriler üzerinde potansiyel olarak “olağanüstü etki” yaratabileceği tespit edilen güvenlik açıkları için 150 bin dolara kadar özel bir ödül verilebileceği belirtiliyor. Bu tür güvenlik açıklarının içeriğine ilişkin detaylar sadece kayıtlı hackerlara verilecek ve yalnızca seçilmiş sistemler için geçerli olacak. 

GovTech’e göre, özel ödül programı, Google ve Microsoft gibi teknoloji devleri tarafından gerçekleştirilen küresel kitle kaynaklı güvenlik açığı programları ile kıyaslanabilecek boyutta bir program. 

Ödül programına yalnızca bir dizi kriteri karşılayan hackerların katılmasına izin verilecek ve kontroller bug bounty operatörü HackerOne tarafından yapılacak. Katılımcılar onay aldıktan sonra, HackerOne tarafından sağlanan belirlenmiş özel bir sanal network geçidi üzerinden güvenlik değerlendirmeleri yapmak zorunda kalacak ve katılım kurallarını ihlal ettikleri takdirde erişimleri geri çekilecek. 

2018’DEN BERİ DÜZENLENİYOR

Govtech’in yönetişim ve siber güvenlikten Sorumlu Genel Müdür Yardımcısı Lim Bee Kwan, kuruluşlarının ilk olarak 2018’de kitle kaynaklı güvenlik açığı bulma programlarını kabul ettiğini söyledi. O zamandan beri, 500 geçerli güvenlik açığını tespit etmek için binden fazla hackerla çalışıldı. 

Lim, “Yeni güvenlik açığı ödül programı, hükümetin kritik sistemlerimizi test etmek için küresel siber güvenlik yetenekleri havuzundan daha fazla istifade etmesine ve vatandaşların verilerini güvende tutmasına olanak tanıyacak.” dedi. 

Ağustos 2021 itibariyle Singapur hükümeti, her biri iki ila üç hafta süren ve 33 sistemi kapsayan dört bug-bounty programı başlattı. Katılımcılara 100 bin dolardan fazla para dağıtıldı.  

Kamuya açık güvenlik açığı bilgilendirme programı, Ekim 2019’da başlatıldı ve Mart 2021 itibariyle 59 devlet kurumunu kapsayan 900’den fazla güvenlik açığı bildirildi. Bunlardan en az 400’ü o zamandan beri geçerli olan hatalardı. 

Geçen ay yayınlanan bir rapor, Singapur hükümetinin bug bounty ve ifşa programları aracılığıyla 2020’de ortaya çıkarılan güvenlik açıklarının yarısının hala geçerli olduğunu ortaya koydu. Smart Nation ve Dijital Devlet Ajansı’nın raporuna göre, kamu sektörü geçtiğimiz yıl veri olaylarında yüzde 44’lük bir artış kaydetti, ancak hiçbirinin “yüksek şiddette” olmadığı değerlendirildi.