Facebook, sizin arkadaş listenizdeki kullanıcılarla diğer bir kişinin arkadaş listesini karşılaştırarak size ortak tanıdıklarınızın bir listesini veriyor. Facebook’un ortak arkadaşlar tanımı ise şöyle: “Hem sizinle, hem de görüntülediğiniz zaman akışına sahip kişiyle ortak olan kişiler.”

Ancak Priel’in tespit ettiği açık sebebiyle bir kişi arkadaş listesini “gizli” hale getirse bile bu ortak arkadaşlar görüntülenebiliyor. Güvenlik açığının bulunduğu URL ise “https://www.facebook.com/profile.name”>(Hidden Friends Profile)/friends?and=second.profile(Public Friends Profile)”.

Aşağıda da görebileceğiniz gibi herkese kapalı bir arkadaş listesi bulunan Mark Zuckerberg ile arkadaş listesi herkese açık olan Chris Hughes isimli kullanıcının ortak arkadaşları, hiçbir kod yazmadan, herhangi bir programa başvurmadan Facebook üzerinden görülebiliyor. Böylelikle biz de Zuckerberg’in arkadaş listesinin bir bölümünü görebiliyoruz :)

Siber güvenlik uzmanı bunu Facebook’a da bildirdiğini ancak sosyal ağın bunun bir güvenlik açığı olarak kabul etmediğini söylüyor. Facebook bunun yerine herkesin zaman akışlarında arkadaş listelerinin görünürlülüğünü kontrol edebileceğini söylüyor. Bu da demek oluyor ki arkadaş listesi görünürlülüğü gizlilik ayarlarında değişiklik yapması gerektiğini bilmeyen her kişi istemeden tüm arkadaşlarını sosyal ağa açmış oluyor.

Her ne kadar Facebook bunu bir güvenlik açığı olarak görmese de Priel’e göre bu hackerların Graph Search aracılığıyla daha geniş arkadaş listelerine ulaşmasını ve bunları ele geçirmesini sağlayabilir. Hatırlanacağı gibi daha önce de başka bir hacker, Facebook’taki bir güvenlik açığı sayesinde arkadaş listesinde olmayan kişilerin duvarına yazılabileceğini keşfetmiş ancak Facebook bunu umursamayınca Mark Zuckerberg’in sayfasına sızarak duvarında sesini duyurmaya çalışmıştı.

İnternet dünyasının şimdiye kadar karşılaştığı en tehlikeli güvenlik açığı olarak nitelendirilen Heartbleed Bug, internet kullanıcılarının güvenliği tehdit etmeye devam ederken Google, Yahoo, Microsoft gibi birçok internet devini de ekstra güvenlik önlemleri almaya ve kullanıcılara şifrelerini değiştirme konusunda uyarılar göndermeye itiyor.

Trend Micro, tüm interneti tehdit eden Heartbleed Bug’a karşı dünyada ve Türkiye’de kaç web sitesinin savunmasız olduğunu araştırarak ilginç verileri gözler önüne seriyor. Trend Micro’nun sunduğu veriler özellikle Türkiye’de bu tehlikenin aslında ne kadar büyük olduğunu da gösteriyor.

Türkiye merkezli .tr alan adlı toplam 3 bin 40 adet siteden 457 tanesinin SSL şifrelemesi kullandığı belirtilen rapora göre bunların 342 adedinin güvenliyken 115 adet web sitesi bu büyük güvenlik açığına karşı savunmasız. Bu da .tr uzantılı web sitelerinin %15’inin Heartbleed Bug’dan etkilenme tehlikesiyle karşı karşıya olduğunu gösteriyor.

Dünya çapında ise 1 milyon web sitesinin incelendiği araştırmada bunların %5’inin Heartbleed Bug’a karşı savunmasız olduğu sonucu ortaya çıkmış durumda. Diğer dikkat çeken bir veri de .gov uzantılı web sitelerinin %38’inin bu güvenlik açığından etkilenme tehlikesiyle karşı karşıya oluşu.

Trend Micro ayrıca Heartbleed Bug’ın mobilde de büyük tehlike oluşturduğu belirtiyor. Özellikle Android 4.1.1 sürümünün tehlikeye karşı açık olduğu söylenirken Google Play’de OpenSSL kütüphanesini kullanan 273 uygulamanın savunmasız olduğu sonucuna varılmış durumda. Toplamda 7 bin uygulamanın incelendiği araştırmada bunların 6 bininin Heartbleed Bug’a karşı savunmasız çıkması aslında mobilde bizi daha büyük tehlikelerin beklediğini ortaya koyuyor.

Bloomberg‘in yakın kaynaklardan aldığı bilgilere göre OpenSSL sürümünü kullanan herhangi bir sistemden şifreli tüm bilginin sızdırılabildiği bu güvenlik açığı NSA’in son iki senedir kullanıcıların veri ve şifrelerine ulaşmak için kullandığı bir yöntem. Zira söylenildiği üzere NSA 2012’de Heartbleed Bug’ı keşfetmiş ve “ulusal güvenlik” için bu tehlikeyi kamuoyundan saklamış. Üstelik bu ciddi tehlikeyi gizlemekle kalmayan NSA, bunu internet kullanıcılarını izlemek için kendi lehine kullanmış.

Günümüzde popüler bütün tarayıcıların SSL 3.0 sürümünü desteklediğini ve Google, Yahoo ve Facebook gibi teknoloji devlerinin web sitelerinde ve online servislerinde SSL şifrelemesini kullandığını düşünürsek NSA’in bu süre içinde bu açıktan faydalanarak web üzerindeki şifrelenmiş sunucuların üçte birine sızmayı başarmış olması muhtemel.

Kaynaklar NSA’in sadece Heartbleed Bug değil, birçok güvenlik açığından faydalanarak sunuculara sızdığını ve bu şekilde kullanıcı bilgilerine ulaştığını söylüyor. Geçtiğimiz Haziran’dan beri ABD hükümetinin NSA aracılığıyla kullanıcıların internet üzerinde yaptığı her hareketi izlediği, kişisel mesajlaşmaları, e-postaları ve tüm verilerine ulaştığına dair iddialar hala hararetle tartışılmaya devam ederken NSA’in bunun için gizli gizli bir güvenlik açığından faydalanıyor ve bir devlet kurumnun tıpkı bir hacker gibi davranıyor olması olayları yeniden alevlendireceğe benziyor.

Hatırlanacağı gibi Edward Snowden’ın ortaya çıkardığı NSA skandalının ilk zamanlarında Google, Facebook, Apple gibi birçok internet şirketi kullanıcı verilerini hükümete sızdırmakla suçlanmış ve teknoloji devleri kendileri savunmak için art arda şeffaflık raporları yayınlamıştı. Sonrasında NSA’in dolayısıyla ABD hükümetinin kendi sunucularına sızma ve onlardan izinsiz verileri çalma durumuna karşı bu şirketler ekstra güvenlik önlemleri almaya başlamışlardı.

Anlaşılan bugün bu şirketleri tehdit eden ve bu şirketlere kullanıcıların şifrelerini değiştirmek için uyarılar yapmaya iten son dönemlerin en büyük güvenlik açığı Heartbleed Bug, NSA’in bu verileri sızdırmak için kullandığı bir yasadışı yöntemmiş. Diğer bir deyişle Heartbleed Bug’dan yeni haberdar olan bizler şimdi harıl harıl tüm e-posta ve sosyal ağ şifrelerimizi değiştirmeye çalışalım, NSA bunları zaten çok önceden elde etmiş ve biz farkına varmadan tüm bilgilerimizi ele geçirmiş.

Teknoloji dünyasını sarsacak bu iddianın daha çok tartışılacağı ortada. Ancak Heartbleed Bug hakkında hala aklınızda kalan sorular varsa daha önce yayınladığımız kapsamlı Heartbleed Bug dosyasına göz gezdirebilirsiniz.

Her ne kadar amacı takipçi kazandırmak olmasa da geçtiğimiz günlerde ortaya çıkan bir Twitter bug’ından bahsedebiliriz.

Karnesh Mehrah isimli bir blogger tarafından geçtiğimiz günlerde Twitter takipçi sayısını basit bir yöntemle artırabilen bir açık keşfedildi. Henüz Twitter’ın bir çözüm bulmadığı bu açık “Target Handle” adlı bir hesap üzerinden görülebiliyor. Hesabın üzerindeki “takip et”  düğmesine sürekli bastığınızda takipçi sayısının arttığını şahit olabilirsiniz.

Eğer istediğiniz sayıya ulaşana kadar tıklamak uzun geliyorsa, onun da kolayı var. Javascript konsolunu açıp “‘setInterval(function(){$(“.user-actions-follow-button”).click(); },10);’” satırını kullanarak tıklama işlemini otomatik hale getirebiliyorsunuz. Bu sayede Twitter hesabınızın takipçi sayısı günlük sınıra ulaşana kadar artmaya devam ediyor.

Takipçi listenizdeki bu artış tabi ki kalıcı değil. Twitter hatayı fark ettiği zaman sayıyı normale döndürüyor. Yani bu yazıya takipçi artırmak umuduyla tıkladıysanız hedefinize böyle bir yöntemle ulaşabilmeniz mümkün değil.

Geçen ay başında keşfedildiği iddia edilen güvenlik boşluğu, Knox adı verilen ve daha önce Blackberry’nin de kullandığı bir uygulama üzerinde oluşuyor. Knox programı, Galaxy S4’lere hazır olarak gelmiyor fakat kullanıcılar eğer isterse indirebiliyor.

Samsung’un ise bu iddia üzerine yaptığı ilk açıklamada, sorun üzerinde çalıştıklarını fakat sorunun üniversite profesörlerinin söylediği kadar ciddi olmadığını belirtiyor. Samsung geçtiğimiz ayın başında Knox üzerindeki sorunları ortadan kaldırmak için bir yama yayınlamıştı. Fakat üniversite yetkilileri bunun yeterli olmadığını düşünüyor.

Ben-Gurion Üniversitesinde görev yapan ve bu sorunu keşfeden Mordechai Guri, daha önce böyle bir sorunla karşılamaşmadıklarını ve bu soruna ilk defa Galaxy telefonlarda rastladıklarını söylüyor. Telefonunda Knox-enable kullananların kolayca telefonlarının ele geçirebileceğini belirtiyor. Akıllı ve kötü niyetli bir hacker’ın Samsung’un güvenlik duvarını çok rahat aşabileceğini de ekliyor. Olabilecek en kötü senaryonun, hacker’in telefonu ele geçirdikten sonra oradaki hesapları istediği gibi yönlendirebilmesi gibi gözüküyor.

Galaxy S4’un teknik ofis laboratuvar şefi Dudu Mihran, yaptığı açıklamada bu tarz bir problemin ciddi sorunlar yaratabileceğini belirtiyor ve sistemdeki her olası güvenlik açığını ciddiye aldıklarını vurguluyor. Bununla birlikte bu tarz saldırı ve açıkları daha önce de yaşadıklarını ve çok farklı olmadığını da Samsung kullanıcılarına duyuruyor.

Amerikan ordusu yıllarca Blackberry’le çalıştıktan sonra, yaşadığı sorunlar sebebiyle anlaşmayı iptal etmişti. Bir süredir Amerika ordusunun Samsung ile anlaşıp askerlerine Galaxy S4 kullandırtma ihtimali üzerine konuşuyordu. Amerika Güvenlik Departman’ı adına konuşan Damien Pickart, Pentagon tarafından güvenliği kanıtlanmayan bir telefonu Amerikan ordusunun kullanmasının mümkün olmadığını belirtti. Kısa bir zaman önce Amerika Savunma Daire’sinin pilot programları için 500 tane Galaxy S4 aldığı biliniyor.

Genelde satış rakamlarının açıklamamasıyla bilinen Samsung, Galaxy S4’ün çıktığı mayıs ayında 10 milyon sattığını duyurmuştu. Şu anda dünyanın en çok satan telefonu olan Galaxy S4 üzerindeki bu söylentilerin, Samsung’un, satışlarını ve Amerikan ordusuyla alışverişini nasıl etkileyeceği merak konusu olmaya devam ediyor.

Söz konusu güvenlik açığı nedeniyle iPhone 4 ve iPhone 5′lerde üçüncü kişiler Kontrol Merkezi’ni yukarıya kaydırıp timer butonu ve açma-kapama düğmesine “iptal” uyarısı gelene kadar aynı zamanda basmak suretiyle aktif hale getirebiliyordu. Bu sayede kilit ekranını geçip fotoğraf,  e-posta, SMS ve sosyal ağ hesapları gibi kişiye özel bilgilere erişmek mümkün oluyordu.

Artan şikayetler üzerine Apple, iOS 7 için ilk güncellemesini yayınladı. Kullanıcı bilgilerini tehlikeye atan ve kötü niyetli kişiler tarafından aşılması kolay olan bu güvenlik açığını düzelten Apple, güncellemede ayrıca parola girişi için Yunanca klavye seçeneğini de yeniden sundu.

Apple’ın neden direkt iOS 7.0.2’yi yayınladığını merak edenler için şirketin bu kez iPhone 5S ve iPhone 5C dışındaki cihazlar için bir güncelleme çıkardığını hatırlatalım. Zira iOS 7.0.1 sadece bu iki cihaz için yayınlanmıştı. iOS 7.0.2 güncellemesi bu iki değişiklik haricinde herhangi bir yenilik içermiyor. iPhone 4, 4S, 5, 5S, 5C, iPad 2, 3, 4, iPad mini ve iPod Touch 5 cihazlar için sunulan güncellemenin daha çok güvenlik açığını gidermek için kullanıcılarla buluşturulduğunu söyleyebiliriz. Nitekim kullanıcıların en çok şikayet ettiği sorunlardan biri olan klavye gecikmesi henüz giderilmiş değil.

21 MB gibi küçük bir boyuta sahip güncellemeyi ister OTA (kablosuz) isterseniz iTunes üzerinden cihazınıza kurabilirsiniz. Kablosuz geçiş için Ayarlar > Genel > Yazılım Güncelleme adımlarını izleyerek güncellemeyi gerçekleştirebilir, iTunes üzerinden ise en güncel versiyon olan 11.0.5’e geçip program içindeki “Güncellemeleri Denetle” seçeneği ile iOS 7.0.2’ye geçebilirsiniz.

Bilindiği gibi Google, kullanıcıların güvenliklerini etkileyecek olan sistemdeki hataları tespit eden araştırmacıları bir süredir ödüllendiriyor. Bu hata avı programı boyunca şimdiye kadar 2 binden fazla hata ve güvenlik açığı bulunduğunu açıklayan Google, bunun için söz verdikleri gibi bu hataları ortaya çıkaranlara 2 milyon dolardan fazla ödül verdiklerinin altını çiziyor.

Ödül avı programının sağladıkları yararlardan memnun olduğunu dile getiren Google, bunu kutlamak için ödül miktarlarında da dikkate değer bir artışa gideceklerini belirtiyor. Eskiden 1000 dolar ödül seviyesinde olan güvenlik açıkları için 5 bin dolara kadar ödeme yapacaklarını müjdeleyen Google, böylelikle ödül miktarını beş kat arttırmış olacak. Bu da daha fazla güvenlik uzmanının Google’ın açıkları üzerine eğilmeye yönlendirecek.

Benzer şekilde Facebook da geçtiğimiz haftalarda hata avı programı kapsamında iki sene içinde 1 milyon dolar ödül dağıttığını açıklamıştı. Google ve Facebook güvenlik açıkları için ödül dağıtan tek teknoloji şirketleri değil. Mozilla, Microsoft gibi şirketler de bu gibi açıklar için vaat ettikleri ödüllerle güvenlik araştırmacılarını hatalarını ortaya çıkarmaya teşvik ediyorlar.

Teknoloji şirketlerinin yürüttüğü bu hata avı programları hackerların açıkları bulup bunu kötü niyetlerle kullanmak yerine şirketle paylaşmasına ön ayak olduğu için ayrı bir önem taşıyor. Google da kendi iç güvenlik denetimi haricinde dış güvenlik araştırmacılarını bu programa davet ederek sistemini daha güvenli bir hale getirmek için çalışmalar yapmaya devam ediyor.

Kullanıcıların onlar farkında olmadan bazı bilgilerine erişim sağlayabildiğini keşfeden Jack Whitton adlı araştırmacı, sistemde bulduğu hatayı geçtiğimiz ay kendi blogunda detaylıca anlatmıştı. SMS üzerinden bir yöntemle Facebook hesaplarının çalınabildiğini açıklayan “fin1te” lakaplı Whitton, bu iddiasını ekran görüntüleriyle de kanıtlamıştı.

Facebook’un kullanıcının hesabını cep telefonu numarasıyla bağlayabilme seçeneği güvenlik açığının temelini oluşturuyor. Zira bu özelliğin aynı zamanda telefon numarası yerine e-posta adresi veya SMS mesajını da kabul etmesi sonucu, Facebook tarafından gönderilen yetki kodları başka kullanıcıların hesaplarında da işe yarıyor. Yani aynı kod ile kötü niyetli bir kullanıcı başka kişilerin şifrelerini değiştirme ve dolayısıyla hesabını ele geçirme şansına sahip oluyor.

Görünüşte oldukça basit olan bu hata Facebook’taki kullanıcılar açısından büyük bir tehlike taşıyordu. Nitekim görüş bildiren güvenlik uzmanları da kod satırları arasında gözden kaçan bu küçük hatanın yüz milyonlarca kullanıcıyı savunmasız bıraktığına ve sosyal ağ açısından bir halkla ilişkiler felaketine dönüşebileceğine dikkat çekiyor.

Neyse ki Facebook geçtiğimiz Cuma günü, yani Whitton’un sorunu rapor etmesinden beş gün sonra açığı kapatarak, bu basit yöntemin yol açtığı tehlikeyi tamamen ortadan kaldırdı. Şirket Whitton’a 20 bin dolarlık para ödülüyle teşekkür ederken, 22 yaşındaki İngiliz güvenlik araştırmacısına aynı zamanda Facebook’un daha iyi bir sosyal ağ olmasında benzer katkılar yapan kişileri listelediği Whitehat sayfasında yer verdi.

Apple her ne kadar yetenekli ve geniş bir ekiple iOS’ta geliştirmeler gerçekleştirse de açık bulma konusunda dışarıdaki yazılımcı rakiplerine yetişmekte güçlük çekiyor. Zira artık serbest iOS geliştiricilerin açık bulmakta çok zorlanmadığını görüyoruz. Nitekim iOS 6.1.3 de yayınlanmasının üzerinden henüz iki gün geçmesine rağmen yeni açıklarıyla tekrar gündeme oturdu.

Bu kez ortaya çıkan kilit ekranı açığı öncekine oranla ekstra bir işlem daha gerektirse de gerçekleştirilmesi basit bir işlemle kullanılabiliyor. “videosdebarraquito” tarafından keşfedilen ve Youtube’da yayınlanan güvenlik açığı, Voice Control (Sesle Kontrol) özelliğini kullanarak bir acil arama yaparken sim kartın dışarı çıkarılmasıyla ortaya çıkıyor. Bu işlemin ardından fotoğraflara ve rehbere ulaşmak mümkün oluyor.

iPhone 5 için geçerli olmayan bu açık şimdilik sadece iPhone ve iPhone 4S kullanıcılarını tehdit ediyor. Bu açığı önlemek için Ayarlar>Genel>Güvenlik Kodu bölümünden sesle arama özelliğini kapatmak ya da sadece Siri’yi etkin bırakmak yeterli oluyor.

Diğer yandan Apple yeni güncellemesiyle birlikte evasi0n’ın jailbreak aracının kullandığı açığı kapattı. Uygulamanın eski sürümleriyle artık jailbreak yapmak mümkün değil. Redsn0w grubu A4 işlemcili cihazlar için iOS 6.1.3 jailbreak çözümü sunsa da yeni iPad ve iPhone 4S ve iPhone 5 gibi cihazlarda işe yaramaması nedeniyle bu araç tavsiye edilmiyor.

Microsoft, güvenlik bakımından Windows 8’i mükemmelleştiremese de oldukça iyi bir iş çıkarmış. Güvenlik yazılımları üreticisi BitDefender’ın yayınladığı test sonuçlarına göre, Windows 8 yıl içinde siber suçlarda en çok kullanılan 100 zararlı ailesinden sadece %15‘inin yayılmasına izin veriyor. Belirtilene göre Microsoft’un yeni işletim sistemi zararlılara karşı %85’lik bir başarı yakalamış durumda.

BitDefender, Windows 8’in güvenlik durumunu görmek için Windows Defender açıkken yaptığı testlerde son altı aydaki en popüler 385 zararlı türünü kullanmış. Nitekim Windows Defender kapalı olduğunda sonuçlar tamamen farklılaşıyor. Bu durumda 234 zararlı örneği, başarıyla kendini çalıştırırken, 138‘i kendini başlatamıyor. Oranladığımız zaman Windows Defender kapalı haldeyken zararlıların yayılma yüzdesi %60.78 çıkıyor.

Sonuçlar Windows 8’in güvenlik konusunda önceki versiyonlara göre daha güvenli olduğunu açıkça ortaya koyuyor. Eğer daha güvenli bir işletim sistemi istiyorsanız, Windows Defender’ı kapatmamak ve mutlaka bir antivirüs yazılımı desteği şartıyla Windows 8’e geçmenizde fayda var.

Diğer yandan Windows 8’i daha güvenli yapmak için alabileceğiniz kişisel önlemleri de uygulamak gerekiyor. Windows 8′in “Hazırda Bekleme” seçeneğini devre dışı bırakmak ve Internet Explorer 10’da varsayılan olarak UI seçeneğini kullanmak alınabilecek önlemlerden bazıları.