Açık Sistemler ve Güvenlik - 3

0
FZ
"Sana söylemem gereken çok gizli bir şey var: 934FAB9234ASFDGER345ASDF" Anonim

Açık sistemlerde serbestçe kullanabileceğiniz şifreleme yazılımı GnuPG (Gnu Privacy Guard - gpg) isimli özgür güvenlik yazılımını temel alarak anlattığım yazı dizisinin 3. ve son bölümüne hoş geldiniz.

Bu bölüm en kısa ve az detay içeren bölüm ancak burada kısaca ele alacağım konuları ve yazılımları tam olarak kavrayabilmek için 1. ve 2. bölümleri okumuş olmanız gerekiyor.
İlk iki bölümde GnuPG (ve wipe) isimli yazılımları ele almış ve ne şekilde açık anahtar / gizli anahtar (public key/private key) çifti oluşturabileceğimizi gördükten sonra bunları kullanarak bir belgeyi şifrelemiş sonra da şifreli bir belgeyi çözmüştük. Ayrıca bir başkasının açık anahtarına anahtar sunucular üzerinden nasıl erişeceğimize de değinmiş ve benzer şekilde elimizdeki bir belgeyi başkası için nasıl şifreleyebileceğimizi de görmüştük.

GnuPG şifreleme amaçlı çok güçlü bir yazılım ancak temel işlevi kendisine verilen parametreler doğrultusunda verilerinizi şifrelemek ya da çözmek olan bu yazılımın çıplak halini sadece komut satırından kullanabilirsiniz ve orada yazmanız gereken parametreleri de ancak ilgili man sayfalarından ya da Internet üzerindeki dokümantasyonundan öğrenebilirsiniz. Oysa GnuPG'den faydalanmak için komut satırındaki pek çok parametreyi hatırlamak ve sürekli komut satırını kullanmak zorunda değilsiniz: Kullanabileceğiniz pek çok GKA (Grafik Kullanıcı Arayüzü) mevcut. Bunların listesine http://www.gnupg.o rg/(en)/related_software/frontends.html.en adresinden ulaşabilir ve dilediğinizi kullanabilirsiniz (ya da sisteminiz en çok hangisi için elverişli ise). Benim ev bilgisayarımda çalışan işletim sistemi Debian GNU/Linux 3.0 (Woody) olup burada anlatacağım ve arka planda gpg yazılımını kullanan GKA ise yine GNU projesi kapsamında geliştirilen GPA - Gnu Privacy Ass istant isimli yazılım.

Bu yazılımın kaynak kodunu yukarıdaki adreste belirtilen "download" linkine bağlanıp çektikten sonra (yaklaşık 400 KB) sisteminizde derleyip kullanabilirsiniz. Bur ada değinmek istediğim iki nokta var: Birincisi, açık kaynak kod şu anda ilgilendiğimiz bağlamda çok önemli. Neden? Çünkü bir güvenlik yazılımını kullanan bir arabirim çekip derleyip kullanacaksınız ve eğer gerçekten güvenliğe önem veriyorsanız (söz gelimi bu konuda çok hassas olan bir kurumda çalışıyorsanız) işte o zaman elinizdeki yazılımın sizin arkanızdan iş çevirmediğinden ve yazılımda geliştiriciler tarafından bilinçli olarak bırakılmış herhangi bir "gizli kapı" (backdoor) bulunmadığından emin olmanız mümkün. Gnu Privacy Assistant isimli görsel gpg arabiriminin tüm kaynak kodu elinizin altında ve siz C/C++ dilinde uzman olmasanız bile eğer güvenlik konusunda ciddi bir yatırım yapmış bir ortamda iseniz o zaman size yardımcı olabilecek bir C/C++ uzmanı bulmanız zor olmayacaktır (aslında düşündüğünüzden biraz daha zor olacaktır ama bu yüzden GNU projesini suçlayamayız ;-). Tabii ki eğer benim gibi bir "ev kullanıcısı" iseniz biraz daha gevşek davranabilirsiniz ancak bu tip yazılımların ordu, gizli servis, devlet organizasyonları, banka gibi yerlerde de kullanıldığını ve/veya kullanılabileceğini lütfen unutmayın. Ayrıca GPA için son söylediğime benzer şeylerin tamamı elbette işin çekirdek ve önemli kısmını yapan GnuPG (gpg) için de aynen geçerlidir. İkinci olarak değinmek istediğim nokta ise derleme esnasında benimkine benzer sorun yaşayabilecek olan Debian GNU/Linux kullanıcılarına yönelik: eğer ./configure komutunu verip ilk aşamada "gtk-conf bulunamadı, GTK+ ile ilgili sorun var, vs." gibi bir hata mesajı ile karşılaşırsanız bunun sebebi çok büyük ihtimalle sisteminizde GTK+ fonksiyon kitaplığının bulunmuyor olmasıdır. libgtk1.2-dev paketini yükleyerek bu problemi kolayca çözebilirsiniz. Bu paketi yüklemek için yapmanız gereken apt-get install libgtk1.2-dev komutu ile paketin yüklenmesini sağlamaktır. Debian paket yöneticisi gerekli işlemleri otomatik olarak halledecektir (yani paketi ya Internet üzerinden indirip ayarlayacak ya da eğer varsa elinizdeki cd'lerden birini isteyecek ve gerekli ayarlamaları yapacaktır). Artık sorunsuz bir şekilde sırası ile ./configure, make ve make install ile GPA'yı derleyip kurabilirsiniz.

Yukarıdaki aşamaları geçtikten sonra komut satırından gpa komutu ile GPA'yı çalıştırdığınızda karşınıza bu şekildeki gibi bir görüntü çıkacaktır. İlk seferde sadece tek bir pencere açılması sizi şaşırtmasın, File Manager isimli ikinci pencereye karşınıza çıkan ilk penceredeki (Keyring Editor) ana menüye erişip "Windows" başlığı altındaki "Filemanager" seçeneğine tıklayarak erişebilirsiniz. Karşınıza çıkan ilk pencere hem kendiniz hem de sisteminizdeki diğer insanlarla ilgili anahtarları yönetmenizi, düzenlemenizi, vs. sağlarken diğer pencere yani File Manager penceresi de elinizdeki her türlü hassas (!) dosyayı istediğiniz kişiye özel olarak şifrelemenizi veya çözmenizi sağlar. Yani bu iki pencereyi kullanarak hem anahtar yönetimi hem de dosyalarla üzerinde şifreleme/deşifreleme/imzalama/onaylama ile ilgili hemen her türlü işlemi kolayca gerçekleştirebilirsiniz. Bunlara ek olarak eğer farklı bir kimlik ya da e-posta adresi için apayrı bir anahtar çifti yaratmak isterseniz yine Keyring Editor penceresindeki ana menüden "Keys" maddesinin altındaki "Generate Keys..." maddesini seçerek ve size sorulan basit soruları cevaplayarak kolayca yeni bir anahtar çifti oluşturabilirsiniz.

İlk iki bölümü dikkatli şekilde okumuş ve kavramış olan okuyucular yukarıda dediklerimi anlamakta ve sunduğum ekran görüntüsünü yorumlamakta güçlük çekmeyecekir diye tahmin ediyorum. Bunun sebebi GPA'nın sunduğu görsel arabirimdeki her işlemin aslında komut satırındaki belli bir gpg komut dizisine karşı geliyor olmasıdır. Temel kavramları ve uygulamaları çıplak hali ile uygulamış olan kişiler görsel arabirimdeki seçenekleri kavramakta da zorlanmayacaktır.

Daha önce de belirttiğim gibi GNU/Linux dünyasındaki pek çok iş için geliştirilen yazılımda olduğu gibi burada epey çok sayıda seçeneğiniz var. GPA dışında farklı grafik kullanıcı arayüzlerini de deneyebilir, bunların haricinde doğrudan kullandığınız e-posta istemcisi ile tümleşik olarak çalışan sistemleri de verdiğim adreslerden çekip kurcalayabilirsiniz. Bu tür denemeler yapıp kendi sistemlerindeki tecrübelerini bize aktaracak arkadaşlara şimdiden teşekkürler ;-) Şimdi biraz daha genel ve güvenliğin "ürün"den çok "süreç" ile ilgili kısımlarına bakalım ve yavaş yavaş yazı dizimizi sonladıralım.

Şifreleme Kullanırken Dikkat Etmeniz Gereken Birkaç Nokta

Birkaç dediğime bakıp rahatlamayın ;-) Dikkat edilmesi gereken nokta sayısı "birkaç" sözcüğünün çağrıştırdığından çok daha fazla ancak ben burada sadece en önemli olan birkaç tanesine değineceğim.

1) Oluşturduğunuz anahtar boyuna dikkat edin. GnuPG normalde 1024 bitlik anahtar üretmenizi sağlar ve bu çoğu iş için güvenlidir. Ancak üzerinde çalıştığınız projede insanlar kuracağınız güvenliğin hassasiyetine bağlı olarak daha da ileri seviyeli bir güvenlik isteyebilirsiniz. Bu durumda bir güvenlik ve şifreleme uzmanı ile konuşmanızda fayda var.

2) Anahtarlarınızı daha doğrusu gizli anahtarınızı çok ama çok iyi koruyun! Mümkünse CD'ye yazıp güvenli bir yerde saklayın. Unutmayın ki eğer bir şekilde bu gizli anahtarın başına bir şey gelirse ve elinizde başka bir kopyası da yoksa o zaman sizin adınıza şifrelenmiş hiçbir dosyayı çözemezsiniz (mantıklı şartlar altında çözebileceğinizi iddia ediyorsanız lütfen benimle temas kurun, kısa sürede epey meşhur olmanızı sağlayabilirim ;-)

3) Parola ifadenizi (passphrase) sakın, asla, kesinlikle, kat'i surette unutmayın, bir yerlere yazmayın! Gizli anahtarınız her türlü kötü ihtimal düşünülerek olduğu gibi hard diske yazılmaz, bunun yerine bu gizli anahtar parola ifadeniz kullanılarak şifrelenir ve şifrelenmiş hali diske yazılır. Yani eğer kötü niyetli biri tüm ağ güvenlik önlemlerini aşıp bir şekilde bilgisayarınıza girse, şifreli belgelerinize, e-postanıza ve hatta gizli anahtarınızın bulunduğu dizindeki ilgili dosyalara ulaşsa bile parola ifadenizi bilmeden gizli anahtarınızı deşifre edemez, dolayısı ile gizli belgelerinizi okuyamaz. "Ne kadar güzel, %100 güvenlik, içim rahatladı" dediğinizi duyar gibiyim. Böyle diyeceksiniz ve sonra da kalıbımı basarım ki çoğunuz parola ifadesi olarak ismini, sevdiği takımla ilgili en meşhur sloganı, kız arkadaşının adını, en sevdiği romandaki en çok sevdiği cümleyi, vs. kullanacak! Üzgünüm ama henüz namlusunu beyninize dayayıp tetiğe bastığınızda sizi öldürmeyecek bir silah icat edilmedi. Benzer şekilde aptalca uygulamalara direnebilecek bir şifreleme algoritması da henüz ufukta görünmüyor. Kısaca: Tahmin edilebilecek bir sözcük ya da cümle kullanmaktan kaçının!

4) Bir anahtarı imzalamak ne demektir, bir arkadaşınız tarafından imzalanmış üçüncü bir şahsın anahtarına nasıl olur da güvenirsiniz, bütün bu anahtar halkası (keyring) ya da güven ağı (web of trust) hikayesi, vs. nedir bunları iyice öğrenin, kurcalayın, anlayın. Biliyorum hepsini anlatmadım ama kaynakça diye de bir bölüm ekledim yazıların sonuna değil mi? En azından ilk iki bölümün sonuna ;-)

Üçüncü ve son bölüm de burada bitiyor. Sürç-ü lisan ettiysem affola. Siz gene de izlenimlerinizi ve eleştirilerinizi benimle paylaşmaktan lütfen çekinmeyin. Dilerim ki "bilgisayar güvenliği" denilen okyanustaki "şifreleme" alt başlığına dair pratik/teorik bir miktar bilgi edinmenizi sağlamışımdır.

CVSBEBFODPLLVMMBOJMBOIBSGB

Not: Bu yazı (birkaç dakika ;-) önce ileriseviye.org isimli sitede yayınlanmıştır.

Görüşler

0
m1a2
Eline sağlık FZ. Küçük bir düzeltme, GPA`nın debian paketi mevcut, Debian kullanan arkadaşlar doğrudan bu paketi kurabilirler.
0
FZ
Bilgi için teşekkürler m1a2, seni Debian Türkiye Baş Danışmanı atadım (bir kez daha :), yani bu da demek oluyor ki acil bir durumda başının eti yenilecek, mesaj yağmuruna tutulacak ilk adamsın ! :)

Gecenin 3:30'unda nedendir bilinmez oturdum derlemekle falan uğraştım, herhalde dalgınlığıma geldi ve paket listesinde ya GPA'yı hiç aramadım ya da aradı isem gözümden kaçtı (şimdi tam hatırlamıyorum).
0
Maverick
GPA'nın 0.6.0 versiyonu birkaç gün önce freshmeat`de gözüme çarpmıştı..
0
Maverick
>GPA'nın 0.6.0 versiyonu birkaç gün önce freshmeat`de gözüme çarpmıştı..

GTK 2 istiyor..
0
FZ
0.6.0 sürümünü inceleme imkanım olmadı ama yazımda bahsettiğim sürümün FileManager'ının biraz geliştirilmesi lazım. Buna ek olarak bir de şu anahtar sunucudan anahtar çekme işinin sadece ID'ye bağlı halden çıkarılması lazım aksi takdirde bu iş için GKA (Grafik Kullanıcı Arayüzü) kullanmanın pek bir manası kalmıyor. Ancak henüz 1.0 sürümü olmadığına göre bu gibi durumları da normal kabul ediyorum.
0
FZ
Bu arada merak ettiğim şey şu ki yazının sonunda yer alan:

CVSBEBFODPLLVMMBOJMBOIBSGB

şifreli metnini çözmeye kalkışacak birileri var mı? Meraklısı olursa birkaç ipucu da verebilirim ;-)
0
cazz
ben ipucuna merakla bekliyorum ;-)
0
FZ
1. ipucu : Harf frekansı.
0
cazz
ben asil turkce karakter kullanip kullanmadigini sorsam? ;)
0
cazz
BURADAENCOKKULLANILANHARFA
0
FZ
İşte bu yüzden şifreleme işini bilgisayarlara yaptırıyor ve monoalfabetik şifrelerden uzak duruyoruz ;-)
0
cazz
nuahauhheh ;))))
kesinlikle ;P
0
FZ
Biraz konu ile alakasız olacak ama bir de şunu sorayım, genel UNIX bilgisi ile ilgili:

Bana öyle bir script yazın ki her gün sabah saat beşte çalışsın. Ancak bu düzeneği kurmak için cron yazılımından faydalanmak yok. Yani bir shell script olacak ve onu bir kez çalıştırdım mı komut satırından artık her sabah beşte otomatik olarak çalışacak. Unutmayın cron kullanmak yasak. Sadece ve sadece her sistemde bulabileceğim standart UNIX komutları olacak. Ayrıca gidip öyle C ile özel bir program falan da yazmayacaksınız ;-) 1984 (!) yılında yazılmış ve halen UNIX ile ilgili en iyi kitaplardan biri olma özelliğini koruyan bir kitapta gördüğüm örneklerden biriydi bu.

İsteyenlere gene ipucu verebilirim ;-)
0
cazz
ipin ucu neymis? ;) (sleep mi?)
0
FZ
Değil. Biraz daha kurcalayın.
0
cazz
FZ merkimdan sorucam FrankZappa'dan mi? ;)
bir de neymis su script olayi merak ettim ;)
0
FZ
Takma isimle ilgili olarak beni açıklama zahmetinden kurtardığın için teşekkür ederim. Hem o hem de f(z)'yi çağrıştırsın diye kullanıyorum, kompleks fonksiyonlar analizi hesaaabı ;-)

Bu arada sorduğum UNIX sorusunun da cevabını vereceğim bir ara, birazcık daha kurcalayın, belki benim vereceğim cevaptan daha kestirme ya da yaratıcı bir cevap öneren birileri olabilir. Biraz bekleyelim ve görelim.
0
FZ
Bu soruyu sormama yol açan bir kitaptı: 1984 yılında Brian W. Kerninghan ve Rob Pike tarafından yazılmış olmakla birlikte halen UNIX üzerine yazılmış en iyi kitaplardan biri olma özelliğini koruyan The UNIX Programming Environment.

Sorunun cevabına gelince: Misal her sabah saat beşte bir dosyayı kontrol edip bunun sonucuna göre bize kısa bir e-posta yollamasını istediğimiz p1 isimli bir programımız olsun. cron kullanmadan bunu nasıl yapabiliriz? Şöyle bir kabuk betiği (shell script) yazarak (dosyanin ismi de p1periodic olsun
ve dosyaya execute hakkı verildiğini varsayalım):


#!/usr/bin/bash
#periyodik olarak bu betik dosyasini calistir
p1; p1periodic | at 5:00 am


Yukarıdaki dosyayı bir kez çalıştırdığımızda kabuk gidip önce p1 programını çalıştırır ve hemen ardından da at komutuna bir sonraki sabah saat 5'te p1periodic dosyasını yani yukarıdaki dosyayı çalıştırmasını söyler ve bu böyle sürüp gider (biz müdahale etmediğimiz sürece).

Buradaki GNU/Linux üstadlarına belki bu açıklamalar biraz aşırı ve gereksiz gelmiş olabilir. Belki bu örneğin ve sorunun kendisi de saçma gelmiş olabilir ancak benim çok hoşuma gitti ilk karşılaştığımda ve FM okuyucuları ile paylaşmak istedim. Budur yani ;-)
0
cazz
ama olmadi ki cron yok dedigin icin ben kafadan at'i de kullanmiyacagiz zannemistim yaw ohooo!! ;)))

teskurler bu arada ;)
0
FZ
Çocuklarını yiyen ve Zeus'un kendisinden son anda kurtulduğu Chronos kovalasın seni e mi! :-P

Neyin söylendiğine değil, neyin söylenmediğine dikkat edin bazen derler ;-)

Misal: İki çocuk aynı anda aynı anneden doğdukları halde ikiz değildirler. Bunu nasıl açıklarsınız?...

gibi :)

Neyse, en iyisi conan ile elrond M$-Sendo savaşlarında kapışırken biz gidip biraz caz dinleyelim ;-)
0
Maverick
n-izler, n > 2
Güzel bir bilmece ;)
0
FZ
Yıllar önce almaya yeltendiğim bir popüler matematik bilmeceleri kitabındaki 0. soru idi :)

Cevabın doğru sayılır ancak fiziksel gerçekliğe de uygun olması için n değişkenini yukarıdan bir tamsayı ile sınırlasak fena olmaz diye düşünüyorum :-P

Her ne kadar M$-Linux tartışması kadar ilgi çekmiyorsa da bu tip yazışmalar gene de bu fırsatı bana sundukları için tüm FM ekibine minnettarım ;-)
0
Maverick
Uhm, bence n-izler tanımı zaten üst sınırı (üstü kapalı olarak) belirliyor. Bence tam puanı hakediyor bu cevap :D
0
FZ
Tam puanı çoktan aldın ;-) Yine de bir jinekolog ile konuşup maksimum çocuk sayısı ile ilgili bilgi edinmekte fayda var :-P
0
Maverick
#!/binsh

# A template script for starting jobs
# at a predetermined hour beginning, once a day..


MAXTIMEERROR=04 # job start time error tolerance as positive seconds.
# must be 2 digits

STARTJOBAT=4 #start job at 04:00


thejob ()
{
echo Hello World!
}

checkhour_runjob ()
{
if [ `date +%k` = $STARTJOBAT ] ; then
thejob # run the job. time should be $STARTJOBAT:00:[00-$MAXTIMEERROR]
sleep 60m # sleep for an hour. Zzz..
fi
}


#check if script is run in $STARTJOBAT hour. if so, wait for an hour
# and leave job for next day
if [ `date +%k` = $STARTJOBAT ] ; then
sleep 60m
fi


while [ 1 ] # know a more elegant or normal way ?
do

checkhour_runjob

#calibration
while [ `date +%S` -gt $MAXTIMEERROR ]
do
sleep 1
done

#must be repeated before sleep 60
checkhour_runjob

sleep 60

done
0
FZ
TIMTOWTDI ;-) (Perl calışanlar bu abuk sabuk kısaltmanın manasını bilirler :-P

Katkıda bulunduğun için çok teşekkürler Maverick.
Eğer elimden hiçbir şey yoksa en azından canavar gibi programlanabilir UNIX shell var ve bu bile bana yeter diyorsun ;-) Programlamanın Taosuna doğru emin adımlarla ilerlediğin belli oluyor ;-)

Bakalım başka seçenekler ya da yöntemler önerecek birileri çıkacak mı ;-)
0
Maverick
There's more than one way to do it..

Burada mümkün olduğunca fazla `uyuyarak` ve buna rağmen `işe geç kalmayarak` hedefe ulaşmaya çalıştım :^)
0
FZ
Bir önerim var, neden bu yazdığın kodu temel alarak bir 'makale' hazırlamıyorsun, yani hangi kısıtlamalardan yola çıktığını, neyi neden yaptığını, bir sürümden diğerine nasıl geçtiğini, aradaki farkları, yaptığın denemeleri falan?

Benimle daha detaylı yazışmak istersen fz at ileriseviye nokta org adresini kullanabilirsin.

Görüşmek üzere.
0
Maverick
Version 0.0.2 :

#!/bin/sh
# A template script for starting jobs
# at a predetermined hour beginning, once a day..
MAXTIMEERROR=04 # job start time error tolerance as positive seconds.
# must be 2 digits
STARTJOBAT=4 #start job at 04:00
thejob ()
{
echo Hello World!
}
checkhour_runjob ()
{
if [ `date +%k` = $STARTJOBAT ] ; then
thejob # run the job. time should be $STARTJOBAT:00:[00-$MAXTIMEERROR]
sleep 60m # sleep for an hour. Zzz..
fi
}
#check if script is run in $STARTJOBAT hour. if so, wait for an hour
# and leave job for next day
if [ `date +%k` = $STARTJOBAT ] ; then
sleep 60m
fi
while :
do
checkhour_runjob
#calibration
if [ `date +%S` -gt $MAXTIMEERROR ] ; then
flagA=1
while [ -n flagA ]
do
sleep 1
if [ `date +%S` -le $MAXTIMEERROR ] ; then
flagA=
fi
done
checkhour_runjob
fi
sleep 60
done
0
anonim
metin türkçe mi?
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Açık Kaynağın Yararları

Soulblighter

Geçen hafta çalınan Windows 2000 kaynak kodlarını inceleyen iyi niyetli :) bir yazılımcı, IE 5 gözatıcısında açık tespit etti.

Bu açık kullanılarak, bitmap dosyası ile (ne alakaysa, klasik M$ açığı) kullanıcının bilgisayarında aşırı yüklenme meydana getirilebiliyor. Açığı bulan yazılımcı, haberi www.securitytracker.com adresinde duyurdu.

DEF CON 10 zamanı açıklandı

anonim

DEF CON'un 10.sunun zamanı ve yeri açıklandı. Yer: Las Vegas, Nevada Alexis Hotel. Zaman ise 2-4 Agustos arası. DEF CON'u ilk defa duyanlar icin kısa bir açıklama: Dünyanın en büyük hacker partisi!

Elime geçen programa gore: Alan içerisinde 802.11b wireless network olacakmış. (Laptopını al ve konferans sırasında fazlamesai'ye haber yaz yani) Call for Papers icin ise su linke başvurmanız gerekiyor. Bu sene 3 konuşma alanı olacakmış. Ayrıca da 150'şer kişilik iki tane de demo odası. Örneğin TiVOnuzu nasıl hack edersiniz gibi toplu gosteriler oralarda yapılacakmış.

Kötü adamlar ve arka kapılar

sundance

Uzun bir süreden beri (Truvalılardan bu yana ;) hileli oyuncaklar hep güncelliğini korumuşlardır. Truva şehrinin düşmesinden, James Bond numaraları ile çeşitli sırları ele geçiren casuslara kadar tarih boyunca, asıl amacını gizleyen aletler hep büyük avantaj olmuştur.

Son yirmi yılda ise, bilgisayarın ve ağların yaygınlaşması ile, bu eski hileli savaş araçlarının yerini sistemdeki zayıflıklar, belli bir işi görüyormuş gibi davranan ama arka planda başka numaralar çeviren programlar almıştır. Tacettin Karadeniz arkadaşımız da, sözkonusu zayıflıkları sağlayan Arkakapıları [Backdoor] anlatan enfes bir makale yazmış, ilgi ile okuyoruz.

Solaris Sistemlerde Ciddi Güvenlik Açığı

FZ

Dün yayınlanan ve sadece Sun Solaris 10, Solaris 11 işletim sistemlerini etkileyen güvenlik açığı telnet servisine herhangi bir sistem kullanıcısının parolasız bağlanabilmesini sağlıyor. Eğer root kullanıcısının telnet erişim yetkisi varsa bu, parolayı bilmeden sisteme tam yetkili erişilmesi manasına geliyor. Benzer bir açık 1994 yılında bazı UNIX sistemlerinde de görülmüştü.

Güvenlik açığını nasıl test edersiniz?

DNS Önbellek Zehirlenmesi: Açıklık ve Kapanması

auselen

Internet'in temel protokollerinden olan DNS üzerinde çok ciddi bir açık bulunmuştur.

Son günlerde görünürlüğü, etkisi ve alınan önlemleri açısından çokça tartışılan, Dan Kaminsky tarafından bulunan DNS protokol açığı, belli başlı ürünler için çözülmüş olmasına rağmen, açıklığı suistimal edebilecek saldırı araçlarının ortaya çıkması ve hala tüm ağ ve bilgisayar markaları tarafından çözümlerin sunulmamış olmasından dolayı, daha uzunca bir süre güvenlik açısından bir sorun olmaya devam edecek gibi görünmektedir.