iphone Korsanlığı: Bir Bilen den Dersler

Transkript

1 iphone Korsanlığı: Bir Bilen den Dersler Katkıda BulunanYazar: Lisa Phifer 2 Mart 2009 Search Mobile Computing.com İşletmeler gözardı etmek için büyük bir çaba harcasa da, geçen ayki Gartner Wireless ve Mobil Zirvesinde, odadaki fil (genellikle konuşulmayan tartışılmayan ama kocaman varlığıyla ortada duran sorun anlamında Ç.N.) Bilgi Teknolojileri ne (BT) muazzam meydan okuyan iphone du. Gartner analisti Ken Dulaney, mobil cihazlar konusunda yaptığı yıllık güncellemesinde giderek artan bir evrensel işletme gücüne sahip iphone u, tüketici-sınıfı mobil cihaz olarak tanımlamıştı. Apple Mac OS X akıllıtelefon satışları, Windows Mobile in satışlarını 2008 ın üçüncü çeğreğinde sollamıştı. %13 lere ulaşan ve oradan da daha yukarılara tırmanan iphone şimdilerde hızla RIM ın BlackBerry pazar payına yaklaşmaya başladı. Bununla birlikte, Dulaney Apple ın tükecitiyi birinci, işletmeleri ise ikinci sıraya koymaya devam edeceği beklentisini taşıyor. Apple ın özellikle işletmelerle çalışmaya (ya da onlara hizmete) alışkın olmadığını söylüyor. Dahası, özellikle artalan işlem gerektiren karmaşık iş başvurularını destekleme gerektiğinde, iphone SDK(Software Development Kit Yazılım Geliştirme Kiti) yetersiz kalıyor. iphone OS (Operating System İşletim Sistemi) nin biraz daha açılmasını bekliyoruz, ancak hiçbir zaman tam anlamıyla işletme yönelimli olamayacaktır, diyen Dulaney feromon (hayvanlarca salgılanan ve aynı türden diğer hayvanların fizyolojisini ya da davranışını etkileyen kimyasal madde Ç.N.)) değerlemesinde iphone a A+ notu verirken, güvenlik konusunda aşağı sıralardan bir C veriyor. Şimdilik, bolca bulunan tüketici uygulaması iphone u işletme uygulamalarına arka kapıdan girmeye zorluyor, bu da güvenlik boşluğu yaratıyor. Birçok Bilgi Teknolojisi departmanı, bu kaçak trenin tam gaz üstlerine doğru geldiğinin farkında ama durdurmak için de güçleri yok. Ambar Kapaklarını Kapatın! (Fırtınalı kötü havaya hazırlık anlamında söylenen bir denizcilik terimi Ç.N.) iphone Hukuku: Kişisel Bilgi ve Şirket Sırlarını Çalmak İsteyen Bir Hırsız Güvenlik Duvarını Nasıl Aşar başlıklı sunumunda McAfee araştırma bilimcisi Jonathan Zdziarski, hınca hınç dolu salondaki dinleyicilerine, bu trenin önünden nasıl kaçacaklarına ilişkin ders verdi. Ben burada size iphone için kurumsal uygulamalar geliştirmeyin demiyorum, uygulamalarınızı daha akıllıca geliştirin diyorum dedi. Namı diğer Sinir Gazı olarak ta tanınan Zdziarski, iphone ilk çıktığında, cihaza olan sevgisinden ötürü yeni türeyen ve platformu kırarak yeni uygulamaları mümkün kılan işlemlerle uğraşan korsan (hacking) topluluğuna katılmıştı. Bizim websitemizi ziyaret edip iphone unuz için yamalar yükleyebiliyordunuz, dedi SSH yi (Secure Shell - Güvenli Kabuk) ve bazı başka büyük uygulamaları uyarlayarak taşıdık. Apple SDK yı (Software Development Kit Yazılım Geliştirme Kiti) piyasaya çıkardıktan sonra, itunes AppStore u piyasaya sürdü ve ondan sonra korsan (hacker) kültürü değişti. iphone korsanlarının kötü niyetli alt gruplara ayrıldıklarını gördük örneğin, bir

2 grup DRM ı (Digital Rights Management Dijital Haklar Yönetimi) kırmaya ve korsanlığa yöneldi, diye kaydetti Zdziarski. Bir tarafta telefona kilit vurmaya çalışan Apple; öte yanda ise bu kilitleri kırmaya uğraşan korsanlar (hackerlar) görüyordunuz. İşte bu, bugün yaşadığımız sağlıksız ortama yol açtı. Sonuç olarak Zdziarski iphone konusundaki uzmanlığını adli alana taşıdı. Bugün, iphone kullanan suçluların kovuşturulması ve cezaya çarptırılması aşamasında kanun uygulayıcılara yardım ediyor ve mobil cihazlarda saklanan verilerin?dolaylı baskı ve kanıt olarak kullanılması için uğraşıyor. iphone 3G ve bu cihazla işlenmiş suçlar üzerinde çalışıyoruz, diyor. Cinsel tacizden, narkotiğe, cinayetten terörizme, ve hırsızlığın tanımlanmasından mali sahtekarlıklara kadar pek çok sayıda kovuşturmada Zdziarski nin katkıda bulunduğunu görüyoruz. Hatta bir iphone Hukuku El Kitabı bile yazmış ve bu kitap günümüzde 250 den fazla kanun uygulayıcı birim tarafından kullanılıyor. Zayıf Yanlarınızı Bilin Zdziarski iphone merakından kaynaklanan derin bilgisini, işletmelerin iş verilerini korumalarına yardım etmek amacıyla Gartner zirvesinde dinleyicilere sundu. Kötü niyetli herifler bunları yapacaktır, diyordu. iş arkadaşlarına casusluk yapacaklar; kimlik hırsızlığı yapacaklar, iş kontratlarını, kurum verilerini, resimlerini ve ticari sırları çalacaklar. Eğer biri, işverenin iphone unu çalarsa, bu türden bir sürü bilgi eline geçmiş olacak. iphone için uygulamalar yazan şirketler, nasıl daha güvenli uygulamalar tasarlamaları gerektiği konusunda bilgi sahibi olmalıdır, dedi Zdziarski. Bu konudaki birçok geliştirici yazdıkları uygulamalarla, iş bilgilerini potansiyel olarak iphone da ifşa etme riskini de beraberinde getiriyorlar. Bu riski azaltmak için işletmeler platformun zayıf noktalarını anlamak zorundalar. iphone un, başlatıldığında fabrika ayarlarında kalan bir salt-okunur bölümü vardır; bir de tüm bilgilerinizi saklayan kullanıcı veri bölümü bulunur, açıklamasında bulundu. iphone, gömülü yazılımın güncellemelerini RAM diskinden önyüklemeyle yapar ve kullanıcı data bölümüne zarar vermeden sistem bölümünün üstüne yazar. Bu noktada korsanlar, özel savaş başlıklarını (custom payloads) yüklemek için kolaylıkla kendi RAM disklerini geliştirebilirler. Artık o noktadan sonra, kullanıcı veri bölümüne yüklenen herşey, kurtarma ve analiz açısından meşru hedef haline gelir. iphone hırsızları bu durumu nasıl kullanabilir (sömürebilir)? Bu durumda en büyük problem, iphone un şifresinin kolaylıkla aşılabilir olmasıdır, diyor Zdziarski. Doğru teknik bilgiye sahip herkes artık bir dosyayı silebilir ve şifreniz yok olur gider. Cihazda gerçek bir dosya koruyucu (file vault) yok, dolayısıyla bütün verileriniz orada öyle korumasız duruyor Bütün bunlar bir dakikadan kısa bir sürede olabildiği için, birisi kolayca iphone unuzu alabilir, şifresini yok edip siz çalındığının farkına bile varmadan size geri verebilir. Şimdi bu kilidi yok edilmiş iphone, savunmasız bir şekilde başka bir tehlikenin şifrelenmemiş veri senkronizyonu tehlikesinin kurbanı olabilir. İki üç dakika daha harcayıp, itunes u çalınmış iphone ile senkronize etsem, bütün verileriniz benim masaüstüme taşınmış olacak, diye açıkladı

3 Zdziarski. O yedek dosyadaki kullanıcı verilerine ulaşmak son derece kolaydır. Zdziarski, Gartner oturumunda gerçekleştirdiği canlı demonstrasyonla, senkronize edilmiş bir sıkıştırılmış yedek dosyanın nasıl çabucak açıldığını, XML e (Extensible Markup Language --- Uzatılmış Biçimleme Dili) dönüştürüldüğünü, ve şifresi çözülerek çalınmış iphone un bütün dosya sistemini içeren bir masaüstü dosyasına aktarıldığını gözler önüne serdi. Eğer siz bir işletme uygulaması geliştiricisiyseniz, bütün bilgileriniz burada, yani korsanın dizüstü bilgisayarında beliriverecektir ve bu da pek iyi bir şey değil herhalde, diye uyardı Zdziarski. iphone un ham diski de veri teşhirini artırır. OS X (İşletim Sistemi 10) ham disklerine aşina olanlar, eposta, imgeler, sesli posta, ve uygulama verisi gibi silinmiş bilgiye nasıl ulaşılacağını bilirler, dedi Zdziarski. Ham disk, korsanlara yalnızca normalde senkronize edilmemiş zımbırtılar da dahil kullanıcı verilerine değil aynı zamanda iphone un bütün dosya sistemine erişim imkanı verir. iphone un ham diski maalesef geri yüklemeden etkilenmez. iphone unuzu e-pazarmayla satmaya kalktınız diyelim, ve bütün verilerinizi sildiğinizi sanıyorsunuz, ama aslında öyle değil işte. Fabrika ayarlarına döndürülmüş ikinci el iphone alan birini tanıyorum, daha önceki sahibinin tüm adresleri, hatta kız arkadaşının resimleri bile aynen duruyordu cihazda. Eski sahibin ailesini aradık ve o yenilenme listesinde yer almadan önce telefonunu Apple a geri verdiğini öğrendik. Apple, ham disk de dahil iphone un içindeki tüm verileri temizleyecek bir disk destek programı geliştirdi. Ancak bu güvenli silme işlemi maalesef birkaç saat sürüyor. Bu güvenli silmeden hala haberi olmayan pekçok kullanıcı var. Birinci nesil iphone lar da bu özelliğe sahip değil. Bu eksikliği kapatmak için Zdziarski, aktif kullanıcı verisini silmeden boş alan üzerine yazabilen kendi destek programını geliştirmiş. Dublajlı ierase destek programı hala itunes App Store un onayını bekliyor. Bir başka savunmasızlığı ise iphone un korunmasız anahtarlığı (Keychain Anahtarlık - Apple ın ilk kez Mac OS 8.6 işletim sisteminde sunulan daha sonra da Mac OS X ve OS 9 işletim sistemlerinde kullanılan bir şifre yönetim sistemi). Bu anahtarlık iphone içinde yüklenmiş ve hassas verilerinize ulaşmak için şifrenize ihtiyaç bile duyulmuyor, deiyor Zdziarski. Nelere karşı savunmasız olduğunuzu bilin Bütün bu savunmasızlıkları, iphone uygulama sisteminin nasıl çalıştığıyla birleştirin, epeyi bir değerli veri sahibi olduğunuz ortaya çıkar. Fakat bu, kişiler ve eposta mesajları gibi bariz kullanıcı verilerinin çok ötesine geçer. iphone işletim sistemi, yasal yürütme için iyi, korsanlık içinse kötü olan pekçok bilgiyi saklar, uyarısında bulundu Zdzsiarski. Adli çalışmalar sırasında en faydalı kanıtlar, iphone un her açılış sayfası butonuna basıldığında web tarayıcı sayfalar ve epostalar da dahil olmak üzere 3D geçiş efektini kullanarak ürettiği yüzlerce ekran resmidir. Örneğin Google haritalardan çıkarken açılış sayfası butonuna bastığınızda, gezindiğiniz baktığınız herşey saklanır. Uygulamadan çıkıldığında bu ekran resimleri silinir fakat daha önce de değindiğimiz gibi silinmiş bütün veriler ham diskte varlığını sürdürür. Zdzsiarski yaptığı demonstrasyonda, çağrı geçmişi, yazılı mesajlar, kişi ayrıntıları, Web taramaları, harita döşemeleri ve yön noktaları (waypoints) da dahil

4 iphone yedeklemesinden alınmış geçiş enstantanelerinde gezindi. Perl alfabesi (Perl - yüksek düzeyli, genel amaçlı dinamik bir programlama dili) kullanıp, bir dizi GPS haritasını bir araya getirerek bir suçlunun takip ettiği yolu yeniden gözler önüne serdi. iphone için uygulamalar geliştiriyorsanız, kullanıcıya sergilediğiniz herşeyin bu şekide saklanabilir olduğunu göz önünde bulundurmalısınız, İhtiyatla İlerleyin Ancak her şeye rağmen risk azaltmak için adımlar atan işletmelerin iphone güvenliğini kullanabileceklerini ileri sürüyor Zdzsiarski. İnsanlar iphone un güvenli bir cihaz olmadığını anlamak durumundalar iphone, bugün PC ler kadar dahi güvenli değildir. Fakat bunu telafi etmek üzere uygulama yazmaya niyetliyseniz, bugün iphone için oldukça güvenli bir uygulamayı hala yazabilirsiniz. Zdzsiarski nin yeni başlayan uygulama geliştiricilerine önerisi, tüm veriyi en az bir kez üstüne yazarak güvenli bir şekilde silmeleridir. İşverenler, yerli iphone uygulamalarının neler yaptığını kontrol edemeyecekleri için, çalışanlarına iphone kullanarak şirket verilerine ulaşmayı yasaklamalıdırlar. iphone ların şirket epostalarına erişmelerine izin vermeyiniz, diyor Zdzsiarski. Ve çalışanlarınıza iphone un Kişileri ve Ayarları Sil seçeneğini sıksık kullanmalarını söyleyin. Buna ek olarak, geliştiriciler de kendi uygulama dosyalarını şifrelemelidir. Bunu yapmamanız için hiçbir neden yok; birçok korsan (hacker), özel şifreleme kullanan özel uygulamayı kırmak için uğraşmayacaktır. Hiçbir zaman iphone un uygulama ya da maddi güvenlik sağlayan şifresi kullanılmamalı; ancak şirket uygulama tuşlarını da asla iphonu un tuşlar dizisine (Key chain -- bir ağ içindeki yönelticilerin iletişim güvenliğini sağlamak için yaratılmış tuşlar dizisi) yükleyip saklamayın. Kullanıcılardan kendi uygulama anahtarınızı ya da iki-faktörlü kimlik denetimi kullanmasını isteyiniz. Ham disk üzerindeki o iphone geçici enstantanelerini engellemek için Zdzsiarski özel verilerin görüntülenmemesini öneriyor. Hesap numaraları, kredi kartı numaraları ya da kullanıcıya gerçekten göstermek zorunda olmadığınız diğer özel bilgilerinizi görüntülemeyiniz. Ayrıca iphone un tuş önbelleğini Klavye Sözlüğünü Sıfırla seçeneğini kullanarak temizleyin. Bunu sıklıkla yaparsanız, muhtemelen üzerine yazılacaktır. İkinci el iphone lardaki herhangi bir eski/silinmiş ve potansiyel illegal içeriği ortadan kaldırmak için, telefon el değiştirmeden önce güvenli silme başlatmayı öneriyor Zdzsiarski. Bunları şirket politikanızın bir parçası haline getirirseniz, iphone u çalışanınıza verdiğinizde herşeyin temiz ve silinmiş olduğundan kuşkunuz kalmaz. Bu hem şirketi hem de çalışanınızı korur çalışanınıza zararlı ya da kötüye kullanılabilecek içerik taşıyan bir telefon verirseniz, şirket olarak siz de sorumluluk altına girersiniz. iphone uygulamaları geliştirenlerin verileri önbelleğe yazmaktan her zaman kaçınmaları gerekir. 3G bağlantısının avantajını kullanarak, ne zaman gereksinim duyulursa o zaman veriye ulaşmak en akıllıcası. Sonra da veriyle işiniz bitince, üzerine yazın. Hatta iş bittiğinde ya da askıya alındığında, üstüne yazıp geçici dosyaları da silin. Çalışanlara, bir dakikadan fazla süre işlem yapılmayınca kendiliğinden kilitlenen ve geçici dosyaları düzenli aralıklarla silme uygulamasını başlatan

5 iphone lar verilmesi daha uygun olur. Zdzsiarski son olarak, çekirdek bütünlüğünü denetleyebilmek için bir güvenlik mühürü (kilidi) yaratılmasını savunuyor. Güvenli çekirdek, yetkisiz uygulamaların çalışmaya başlamasını engeller. Kendi yaratıcısı tarafından imzalanmış bir uygulama çalışıyorsa, o zaman güvenli çekirdek kırılmış demektir ve casus yazılımların ya da kötü niyetli programların iphone a girme olasılığı artar. İşverenler kendi yaratıcısı tarafından imzalanmış bir uygulamayı çalıştırarak, kilidi kırılmış iphone ları saptayıp işle ilgili etkinliklerde kullanılmasını engelleyebilirler. Bütün bunlar ve iphone için güvenli uygulama tekniklerinin geliştirilmesi konularında daha fazla bilgi edinmek ya da iphone SDK Application Development: Building Applications for the AppStore [ISBN ] adlı yeni kitabı için Zdzsiarski nin web sitesini ziyaret edebilirsiniz ( Yazar Hakkında: Lisa Phifer, yeni çıkan ağ ve güvenlik teknolojilerinin iş alanında kullanılmasına odaklı bir danışmanlık şirketi olan Core Competence şirketinin yöneticisi ve ortaklarından biridir. Core Competence şirketinde 27 yıllık web tasarımı, güvenlik açığından ürün değerlendirmesine, kullanıcı eğitiminden beyaz kitap a kadar çok geniş bir uygulama ve denetleme deneyimi vardır. Büyük küçük pek çok şirkete ağ tenolojilerinin kullanımı ve risk yönetimi ile iş gereksinimlerinin karşılanabilmesi için en iyi güvenlik uygulamalarını önermiştir. Lisa wireless/mobil güvenliği, saldırıları engelleme, sanal özel ağ iletişimi ve ağa erişim kontrolü gibi teknoloji odaklı geniş bir yelpazede yazılar yazıp dersler vermektedir. Aynı zamanda SearchMobileComputing.com ve SearchNetworking.com da site uzmanıdır.