Zafer Yılmaz

Wordpress için sürüm 2.8.6 yayınlandı. Bu sürümle birlikte 2 adet güvenlik problemi gideriliyor. Özellikle blogunuzda yazı yazma yetkisi olan herhangi bir kullanıcının açıklığa sebebiyet verebileceği söyleniyor. Bu nedenle eğer birden fazla ve fazla güvenmediğiniz kişilerin yazı yazmasına izin veriyorsanız, 2.8.6 sürümüne mutlaka yükseltmelisiniz.

Bunun dışında XSS açıklığının  ve blog’a yüklenen dosya isimlerinin bazı Apache konfigürasyonlarında görünmesi gibi açıklıklarının kapatılmasını sağlayan 2.8.6 sürümünü indirmek için bu adresi kullanabilirsiniz.

Apple’ın özellikle arayüz ve kullanım kolaylığı sebebiyle oldukça popüler olan iPhone’undaki ilk virüs/worm saldırısı yayılmaya başlandı. Sadece Jailbrake adı verilen ve kaçak yazılım yüklemeye yarayan bu sistemi kullanan iPhone’lara bulaşan bu zararlı yazılım, iPhone’un güvenlik mekanizmasını sıfırlayarak üzerinde istedikleri yazılımı kullanmalarına olanak tanıyor.

Avusturalyalı bir genç tarafından yaptığı sunulan bu zaafiyet, iPhone’un arka planına 1980′li yıllara ait ”Never Gonna Give You Up” adlı parçasınınünlü pop yıldızı Rick Astley’in bir fotoğrafını koyuyor. Olaydan etkilenmemek için Jailbreak yapılmış iPhone’unuzun root şifresini değiştirmeniz gerekiyor.

Genç arkadaşımızın bu açıklığın kaynak kodlarını da yayınlamış. Bu nedenle zararlı gibi gözükmeyen bu ufak saldırının, ilerleyen günlerde daha etkili bir şekilde farklı varyasyonlarının olabileceğine kesin gözüyle bakılıyor.

Bir önceki pragrafta da söylediğim gibi, olaydan etkilenmemek için Jailbreak yapılmış iPhone’unuzun root şifresini değiştirmeniz gerekiyor.

Siz hala kendi geliştirdiğiniz veya satın aldığınız FTP yazılımını mı kullanıyorsunuz? Bu alışkanlığınıza bir  son vermenin zamanı geldi de geçiyor bile. Güvendiğiniz şirketler – finansal firmalar, büyük perakendeciler hatta sağlık ve devlet kurumları – FTP yazılımı kullanarak verilerin kontrolünü kaybettiler. Müşterilerin ve ortakların hassas bilgilerini tehlikeye attılar. Sonuç olarak ilişkiler bozuldu, tüketicilerin güveni azaldı ve hatta tamamen iş yaptıkları firmaları değiştirdiler. Kurumların %80’inde veri alışverişleri dosya transferleri yolu ile olduğundan gizlilik, denetlenebilirlik, hız ve güvenilirlik işleriniz için çok önemli bir duruma geldi.
Read more…

Windows 7  İşletim Sistemi’nin neler getirdiklerini daha önceki yazımda kabaca anlatmaya çalışmıştım. Şimdi ise bu özelliklerin özellikle güvenlik yöneticileri ve adminler üzerinde neler getireceklerine değineceğim. Bakalım User Access Control (UAC), Applocker ve Bitlocker ile Windows 7′yi şahlandırabilecek miyiz?

Henüz layığı ile testlere başlayamadım ancak internet üzerinden incelediğim kadarıyla Windows 7, özellikle Server 2008 R2 ile kullandığı zaman bir hayli etkili kullanılıyor. Bu özelliklere kabaca bir gözatalım:
Read more…

Yaklaşık 2 haftadır bloguma birşeyler karalayamadım. Bunun esas nedeni hem çalışma tempom, hemde yeni makale yazıları hazırlamamdı. Dün itibari ile yeni makalemi bitirdim ve düzenledikten sonra, Türkiye’nin Bilgi Güvenliği alanında önde gelen portallarından biri olan Beyaz Şapka‘da yayınladım.
Read more…

Microsoft’un 5-8 Mart tarihleri arasında düzenlemiş olduğu “Geleceğin İnternet Teknolojileri” temalı MIX konferansında bir sunum yapan Eric Lawrence, Web Uygulamaları Güvenliği hakkında detaylı bilgiler veriyor. Sunumda özellikle Internet Explorer 8 üzerinde durulduğunu da belirtelim

Dünya üzerinde Güvenlik alanındaki en etkili kurumlar arasında gösterebileceğimiz bir ajans olan US National Security Agency ya da NSA, dünya üzerindeki programcılar için yapılan en büyük programlama kod hatalarını duyurdu. Özellikle 2008 senesinde 1.5 milyondan fazla internet sitesinin hacklendiğine dikkat çeken kurum, kullanıcıların ilgili programları kullanmasından önce  tasarım aşamasında yapılan hataların önceden farkedilip, tedbir alınması gerektiğini savunuyor.

Uzmanlar ayrıca ilgili açıklıkların henüz tam olarak kavranamadığına dikkat çekmişler. Konuyla ilgili olarak, US National Security Agency, Department of Homeland Security, Microsoft veSymantec kurumları bir bildirge yayınladılar.

Esas soru, Türkiye’de bu tarz yazılım kodlarını irdeleyen ve güvenlik tedbirleri alan kurumların olup/olmadığı? Bu gibi durumların, özellikle tepeden zorunlulukla Audit durumlarında ya da ilgili projenin şartları ve kurumların güvenlik politikaları dahilinde gerçekleşebileceğini düşünüyorum. Aksi halde kendi yazılımlarını geliştiren kurumların uygulayıp, uygulamadığını irdelemek gerek. Bu konuda bilgisi olan arkadaşların konuya yorum yapmalarını bekliyor ve yazılım geliştiren ekiplere selamlarımı sunuyorum. Özellikle çaylak arkadaşlara dikkat .