2 yıllık açık; hala da açık!

Apple'ın 2 yıldır görmezden geldiği açık!

Safari'de, 2008'de ortaya çıkan açık Windows'ta çoktan yamandı, ama bazıları o kadar şanslı değil...

Bundan tam 2 yıl önce Mayıs 2008'de Apple'ın tarayıcısı Safari'nin bir güvenlik açığı ortaya çıktı. Bu güvenlik açığı internet sitelerinin, Safari yüklü bilgisayarlara kullanıcının bilgisi olmadan istedikleri tüm dosyaları yükleyebilmelerini sağlıyordu. Apple bu açığı çok da önemsemedi ama Microsoft sonunda Windows kullanıcılarına güvenlikleri için Safari kullanmamalarını önerince, Apple da kolları sıvadı ve bu açığı kapatacak bir yama paketi yayınladı. Fakat yama paketi sadece Windows işletim sistemlerini kapsayacak şekilde hazırlanmış, Mac OS'lar da ise açık kapatılmamıştı.

Aradan tam 2 yıl geçti ve Apple'ın tarayıcısı, Apple'ın işletim sisteminde hala aynı güvenlik açığına sahip. Apple muhtemelen indirilen dosyaların zararlı bile olsa, kullanıcını çift tıklayıp çalıştırmadığı sürece zararlı olmayacağını düşünerek bu konuda pek de acele etmiyor. Fakat güvenlik konusunun her geçen gün önemini arttırdığı günümüzde bu açığın hale devam ediyor olmasının Apple adına artı bir puan olduğunu söylemek çok zor.

Apple biraz da, siber suçluların öncelikli olarak Windows'u hedef almasına güveniyor olabilir ama bu tip açıkların doğurduğu en büyük risk, bu ibrenin tam tersine dönebilecek olması...

CHIP Online

Hepsini tek tek hack'lediler!

Tarayıcıları ve cepleri sıradan hack'lediler!

Firefox, Internet Explorer, iPhone ve Safari'yi sıraya dizdiler, tek tek hack'lediler...

Yıllık geleneksel Pwn2Own yarışması bu yıl da başarıyla düzenlendi ve pek çok ürün bu yarışmada hacklendi.

Mozilla Firefox, Microsoft Internet Explorer, Apple Safari ve iPhone gibi milyonların kullandığı ürünler, yarışmanın bir parçası olarak hızla çökertildi, ele geçirildi ve yarışmacılara puan kazandırdı.

Özellikle Safari, her yıl olduğu gibi bu yıl da açıklarla doluydu ve hackerlar için bu tarayıcıyı hacklemek çocuk oyuncağı gibiydi.

İşin ucunda para ödülü olduğu için kullanılan yöntemler de pek ortalıkta dolaşmayan açıklardan yararlanıyordu. En son güvenlik sistemleri bütün bu uygulamalarda başarıyla aşıldı.

Hackerlar Apple'ın korumalarıyla dalga geçerek bunların koruma amaçlı değil, kullanıcıları kısıtlama amaçlı olduğunu söylediler



SMS'leri bile okudular!



Aslında Apple'ın koruma sistemi o kadar da kolay değil ama hackerlar ne yaptıklarını iyi biliyor.

Zynamics'te güvenlik araştırmacısı olan Halvar Flake, iPhone'u kırmak için iş ortağı Vincenzo Iozzo'nun yazdığı açık kodlarından yararlandı. Luxemburg Üniversitesi öğrencisi Ralp Phillip Weinmann'ın çalışmalarından da iPHone hackinde yararlanıldı.

Sonuçta iPhone'un uygulama çalıştırmak için istediği geçerli imza aşıldı. Oluşturulan siteyi iPhone'la ziyaret edenlerin SMS'lerini kopyalamak mümkün. Bütün mesajlar, bağlantılar ve hatta slinmiş mesajlar bile okundu!

Bu hackerlar çok ustaydı, güvenlik uzmanlarının kırılması en zor, en güvenli dediği Microsoft'un DEP ve ASLR koruma sistemleri bile uzman güvenlik araştırmacısı hackerlar tarafından aşıldı.



Toplam 100.000 dolar ödül



Vreugdenhill Research Windows 7 ve IE8 kurulu bir dizüstünü ele geçirmeyi başardı. Bu kombinasyon beyaz şapkalı hackerların kırılması en zor dedikleri kombinasyonlardan birisiydi; çünkü DEP ve ASLR, IE8'de açık olsa bile IE8'in ele geçirilmesini engelliyor.

Adobe Flash ve 3. parti yazılım teknikleri kullanılmadı, hafızanın yeri, onu kullanan bir uygulama modülünün yeniden kullanılması ve yoğun uğraş sonucu tespit edilip ele geçirilebildi. Hacker bu açığın her zaman kullanılmasının mümkün olmadığını belirtti.

Bu esnada olayı izleyen Microsoft mühendislerinin harıl harıl not aldıklarını ve açıkları kapamak için çalışmaya başladığını da belirtmek gerekiyor. Aynı yöntemlerin kullanımlası ileride engellenecek.

Firefox da ağır bir darbe aldı ve geçen yılın tarayıcı katili hacker, Firefox'un korumalarını başarıyla aştı. İsminin açıklanmasını istemeyen 26 yaşındaki hacker, İngiltere'deki bir güvenlik danışmanlık şirketinde araştırmaların lideri.



Safari'nin acı sonu, ama bu kaçıncı?



Bu hack yarışmasının artık maskotu durumuna düşen ise Safari internet tarayıcı oldu.

36 yaşındaki Charlie Miller, bu yıl yarışmaya her durumda tarayıcıyı ele geçirmesini sağlayan 20'ye yakın saldırı metoduyla geldiğini açıkladı. Mac üzerinde Safari'nin hiç şansı yok.

Üstelik bu açıkların hepsini aynı 5 satırlık Python kodunu kullanarak arayıp bulduğunu söyledi. Ertesi gün tek tek bunları açıklayarak Apple'ın onarması için bilgi sunacağını belirtti. Ama esas isteği, bildirilen hataların düzeltilmesi değil, artık Apple'dakilerin balık tutmayı öğrenmesi ve açık tespit mekanizmalarını geliştirmesi.

Sonuçta iPhone hack'i 15.000 dolarla ve tarayıcı hackleri de tanesi 10.000 dolardan ödüllendirildi.
kaynak : veteknoloji.com