Hacking Team

Hacking Team

İtalya merkezli Hacking Team firması, bir başka ekip tarafından hack edildi ve geliştirdikleri yazılımların kaynak kodları da dahil olmak üzere, pek çok doküman ve e-posta arşivi internette yayınlandı. Konu basında geniş yer buldu ancak teknik yönlerine pek değinilmedi. Bunun üzerine merakımı gidermek için yazılım kaynak kodlarını inceleyerek sistemi çalışır hale getirdim. Bu yazıda konuyla ilgili teknik ya da değil herkese faydalı olabileceğini umduğum izlenimlerimi paylaşacağım.
Başlarken...
Günümüzde güvenlik ve özel hayatın gizliliği konuları arasında yoğun bir geçişkenlik bulunuyor. Bireyin özel hayatının gizliliği kavramı dijital dünyada suç işlemenin önünde bir kamuflaj olarak yoğun biçimde kullanılıyor. Fakat konuya devletler tarafından baktığımızda, bu defa da güvenlik kavramının, özel hayatın gizliliğine saldırmak için bir araç olarak kullanıldığını görüyoruz.
İşin bir noktadan sonrası ancak hukuk ile düzenlenebilir ve hukukun uygulamada ne şekilde kullanıldığına bağlı olarak, sonuçları ve bireyler üzerindeki etkileri farklılıklar gösterebilir. Bu nedenle sadece bu yazılımları kullanıyor olması sebebiyle bir devleti veya yazılımı üreten firmayı tümden eleştirmenin doğru olduğunu düşünmüyorum. Bununla birlikte, uygulamanın hukuk dışı kullanımlarının bulunmadığını ve tüm müşterilerinin pür-i pak olduğu fikrinde de değilim. İyi işleyen bir hukuk düzeni elbette hepimize lazım fakat hem bunun için teknolojiden en doğru şekilde faydalanmanın yollarını aramalı hem de art niyetli kullanımlara karşı, teknolojiyle nasıl korunabileceğinize dair gereken donanımımız da bulunmalı...
Yazılım güvenliği

Her yazılımcı için güvenlik konusu ilgi çekici özellikler barındırır. Yazılım güvenliği üst başlığını, popüler dil üzerinden ifade edecek olursak hack etmek kavramıyla sınırlı bir kümeye hapsetmek doğru olmadığı gibi, birinin Hotmail hesabını kırma ile de uzaktan yakından ilişkisi bulunmamaktadır. Bu hatırlatmayı, yazıdan sonra saçma isteklerden oluşan e-posta'lar almamak umuduyla yapıyorum.

Bir yazılımcı için yazılım güvenliğinin ilgi çekici motivasyonu, başkasına ait bir veriye izinsiz ulaşma olasılığı değildir. Asıl motivasyon, işin güvenlik boyutuyla ilgilenebilmek ve daha güvenli yazılımlar geliştirebilmek için gereken, sınırlı sayıda kişinin sahip olduğu ve sistem programlamanın zirve noktalarından birine giden yolda üst düzey bilgi birikimine ulaşmaktır.

Bu konuda çalışmaya başlamak dahi öncelikle bir kaç yıllık tecrübe, sonrasında da sürekli bir öğrenme isteği ve heyecanı gerektirir. Konuyla ilgilenmek isteyen gençlere şöyle bir tavsiyede bulunabilirim; eğer sürekli "sql injection nedir? wordpress nasıl hack edilir" tarzında araştırmalar yapıyorsanız, olayı tamamen yanlış anlamışsınız demektir. Bunlar popüler konular olmakla birlikte, "lamer" olarak tabir edilen kişilerin yaptığı, genellikle çocukça işlerdir. Başka birisinin tespit ettiği, bulunması ve atak edilmesi görece daha kolay konularla ilgili olan, hatta üzerine bir de kullanımınızı kolaylaştırıcı yardımcı araçlar geliştirilmiş bir uygulamayı kullanmayı becerebiliyor olmanız sizi "hacker" değil, ancak iyi bir son kullanıcı ve "lamer" yapar.

Yapmanız gereken, öncelikle C başta olmak üzere bir kaç programlama dili üzerinde tecrübe kazanmak, daha sonra işletim sistemi çekirdeği, mimari farklılıkları, bir miktar makine dili, binary formatları vb. konularını derinlemesine incelemektir. Söz gelimi günün birinde kendinizi Ingo Molnar'ın "Exec Shield and Address Space Randomizations" çalışmalarını veya Ulrich Drepper'in "How to write shared libraries" yada "What Every Programmer Should Know About Memory" yazılarını okurken bulursanız, doğru yolda ilerliyorsunuz demektir.