Merhaba,

Celil'in yöntemi kullanayım cevaplarken,

Alper hocam, elbette anons edilen sürümü test etmiş meraklı arkadaşlarımız çalışıyor mu diye. Exploit, zaten çalışmayan sürümleri belirtmiş. MİT konusuyla ilgili olarak; dünyada her firma benzeri durumlarla karşı karşıya kalabilir. Ancak biz böyle bir durumla muhatap olmadık. Bu biraz da ülkemizin emperyal amaçları olmamasından kaynaklanabilir. Biz Polonya'ya gittiğimizde bu konuda hassas yerlerde, çok rahatlıkla "siz ne Amerika ne İsrail'siniz, bizim ağımızda bir amacınız olamaz" söylemi ile kabulü duyuyoruz. Bu durumun korunmasını önemli görüyorum. Zira Türk güvenlik ürünlerinin yurtdışına (batı) gitmelerinde yardımcı olacak hızlandırma yöntemi ( örneğin ırk kardeşlikleri gibi ) olmadığı için "güvenilir" kalmak önemli. Tüm güvenlik firmaları benzer konumda tutmalılar kendilerini. Süreçlerle ilgili olarak; CC süreçlerini ve döngüsel hata yönetimlerini uyguluyoruz. Bu noktada bu seneden itibaren düzenli harici pentest hedefimiz var. Labris ile ilgili olarak güvenlik olaylarını müşteriler, müşteri destek merkezinden ve herkes, genel [email protected] adresinden bildirebiliyorlar.

Celil, hardcoded parola kabul edilebilir değil dediğin gibi. Bizim taraftan örnek vermek gerekirse, Labris MNG ürün ailesi uçlardaki Labris UTM'lerin tamamının provizyon, yönetim ve log toplama görevlerini üstlenen ürün ailesi. Bunu yaparken güvenli erişimler kuruyor. Bunlar her kuruluma özel, ilk provizyonda tesis edilir ve hardcoded bir altyapı içermez. Bugün burada sysadmin'lere bir yöntem önerin desek, hardcoded pass dışında birden fazla yöntem akla gelir. Bu zayıflığın onca zayıflık arasında önem arz etmesinin sebebi bu. Juniper'de de benzerini görünce ilgi çekiyor.
Test ve sertifikasyon süreçlerinin yönetimi ile ilgili olarak ise dediğin tehlike var. Geçmiş deneyimlerimize baktığımızda senin dediğin gibi olma olasılığı, düzgün yürüme olasılığından daha yüksek. 2 kısımda testten bahsetmiştim. Bunun masumiyet testi dediğim kısmının firmware'e ulaşmadan yapılması bence zor. O yüzden piyasadan bağımsız örnek alarak, gerçekten uygun reverse teknikleri kullanılarak da analiz eden, ayrıca iyi bir kutulama ile tüm erişimleri denetleyen bir model oluşmalı. Ayrıca detaylı güvenlik inceleme işleri için Türkiye denetiminde olmayan yurtdışı veri merkezlerine veri gönderen yöntemlere de asla izin verilmemeli bu şemada.
Güvenlik testleri alanında ise ben CC'yi baz alan yerli bir sertifikasyonun (şartname) daha önemli olduğuna inanıyorum. TSE bu konuda, soruna ve çözüme hakim. Sanayi Bakanlığı da aktif. Bildiğim kadarıyla regülasyon yetkisinin dağılması nedeniyle yavaş ilerleme var. Buna rağmen bu başlıkta umutlu olmamak için bir sebep yok.
Bu şekilde bir sertifikasyon şemasının, bu yatırımları yapacak firmalar için yabancı rakiplere karşı korumacı bir ortam ve dolayısıyla yatırım imkanı sağlayacağını da düşünüyorum. Böyle bir şemanın CC gibi bir ISO sürümü üzerine tesis edilmesi de üreticilerin benzer şemada yurtdışında yeniden değerlendirmeyi kolayca yapmalarını ve uluslararası pazara ilerlemelerini sağlar. Zira dediğim gibi Amerika ve büyük pazarlar artık kendileri test etmek istiyor. Bu bize özel bir pratik değil. Ekonomik olarak güçlü ülkeler bu alanda kendi kitaplarını yazıp, yayabiliyorlar ve diretebiliyorlar. (ör: FIPS, TCSEC, CC, GOST) . Teşvikler uluslararası pazara açılma koşuluna bağlanırsa da korumacı ortamın diğer yan etkileri ortadan kaldırılabilir. Son söz olarak; ilerlemek, ilerlememekten iyidir. Elde bir şey olması, hiçbir şey olmamasından iyidir.

Selamlar,

On 13.01.2016 16:08, Celil ÜNÜVER wrote:
Merhaba,

@Oykun, Ortada bir "hardcoded credentials" mevcut. Çoğu ürünün geliştirme/test sürecinde bu tarz hesaplar kullanılabilir. Release'den sonra bu tarz hesapların bilerek ve bilmeyerek unutulduğuna şahit oluyoruz sürekli. Hangi niyetle bırakıldığını veya gerçekten unutulup unutulmadığını bilemeyiz. Ancak bu tarz zafiyetleri güvenlik endüstrisinde "backdoor" olarak adlandırıyoruz, çünkü ortada üretici tarafından bırakılmış hardcoded bir parola ile uzaktan izinsiz erişime imkan veren bir "zafiyet" mevcut. Backdoor ' dan daha iyi bir tanımlama olamaz değil mi ? :)

@Oguz @Volkan, ikinci nokta;  ithal güvenlik ürünlerinin denetim/sertifikalandırmaya tabi tutulması konusuna değinmeniz güzel olmuş. Benzer denetimler bazı ülkelerde gerçekleştiriliyor ancak ben de bir çok noktada açık barındıracağını düşünüyorum bu sürecin. Bahse konu olan ürün Türkiye'de bir sertifikalandırmaya tabi olsaydı, sizce bu zafiyet keşfedilmiş olur muydu? :) Bu listede bu soruya evet diyen çıkmaz sanırım. Birinci sorun, bu kategorideki zafiyetleri keşfedip, analiz edebilecek yetkin personel sektörde oldukça az. İkinci sorun, yeni bir sertifikalandırma, yeni bir ticari kazanç kapısı demek. Kamu tarafından veya özel sektör işbirliğiyle yapılacak bu sertifikalandırma/test süreci, bu tarz zafiyetlerin keşfini pek fazla önleyemez. Belirli bir süre sonra bence mevcut CC/ISO vb. sertifikalar gibi plasebo etkisi yaratmaktan öteye geçmez. 

Saygılar,

Celil UNUVER
Co-founder & Principal Researcher
SignalSEC Ltd.
Office: +90 232 433 0DAY
Fax: +90 232 469 85 62

2016-01-13 13:38 GMT+02:00 Volkan Evrin <[email protected]>:
Merhaba,

Harika noktalara parmak basmissin Oguz, tespitler ve yol haritasindaki oneriler de cok yerinde.

Ben, sahsen, 2 noktada ekleme/yorum yapmak istedim.

1 - Milli urun olmasi durumu yine kurtarmayacak, dun kurtarmadi (Tubitak - Kiriptolu telefonlar), bugun kurtarmiyor, yarin da kurtarmayacak... Nihai cozumun, acik kaynak kodlu ve ozgur yazilimlar ile beslenen bir guvenlik urun agacina dogru gitmek oldugunu dusunuyorum. Ak yazilim/donanim Kara yazilim/donanim belli olsun... Urunler "Kapali" kaldigi surece bugun milli olan yarin, farkli bir satinalma ile uluslararasi sirket olabilir.

2 - Bu denetim/sertifikalandirma ve onaylama sureclerinin ulke icinde olmasi dogru ve gerekli, ama devlet tekelinde ya da gudumunde olmamasi da cok onemli. Devlet memurunun ozluk/maas yapisi nedeni ile kalitesi eleman barindiramamasi ve devlet otoritesi ile uyumlu olmayanlara yapilan baskilar/zorlamalar oldukca, o denetim / onaylama sureci de her yerinde acik verir...

Saygilar
VolkanEvrin


Volkan Evrin
Kurumsal Uygulamalar ve Bilgi Güvenliği Müdürü



Ar-Ge Merkezi

D +90 850 251 6012
F +90 312 267 0244
www.karel.com.tr

Bu e-posta işbu bağlantıyı kullanarak erişebileceğiniz koşullara tabidir:
http://www.karel.com.tr/eposta-hukuki-sartlari
 


-------- Original Message --------
Subject: Re: [NetSec] Fortinet SSH arkakapı
From: Oğuz YILMAZ (LABRIS) <[email protected]>
To: [email protected] <[email protected]>
Date: 13-01-2016 13:05
Merhaba,

SOC merkezimiz test etti. Maalesef çalışıyor. (  test sistemi: v5.0,build0128 (GA) ).

Bu açıkta; açığın/arkakapının düzenli incelemeleri sırasında kendileri tarafından belirlenmiş ve yamalanmış olmasını belirtmeleri önemlidir. Ancak bu ve benzer hataların sistematik olarak yerleştirilip yerleştirilmediği kontroversiyal bir konu olmaya devam edecektir.

Son dönemde Juniper'de ve sonrasında Fortigate 'de çıkan bu ve benzeri zayıflıklar, inkar edilebilir bir sistematik arka kapı faaliyetinin parçası olabilir mi? Bu noktada, Snowden'in birkaç yıl önce açıkladığı belgelerde belli model cihazlar için NSA-GCHQ programı içinde erişim faaliyetleri olduğunu biliyoruz.

Bu noktada Cisco'nun, cihazların kargosu esnasında çip bazında modifiye edilmesiyle ilgili geçtiğimiz seneki açıklamasını da hatırlatmak isterim.

Benim hissettiğim bu istihbari erişim birkaç türlü oluyor.
- Belli başlı hedef ürünlerin yüksek nitelikli zayıflık araştırmasını yap ve açıkları herkesten önce bul. Başkasının kullandığını görünce ifşa et, sonrakine geç.
- Hedef ürünlerin geliştirme takımlarına eleman yerleştir ve kazara arka kapıları üret.
- Hedef ürünlerin sertifikasyon şemalarını öyle yap ki belli zayıflıkları barındırmaya zorunlu olsunlar. (bu başlıkta daha önce okumadıysanız son Juniper açığının FIPS ile ilişkisine bir bakın: http://www.wired.com/2016/01/new-discovery-around-juniper-backdoor-raises-more-questions-about-the-company/ )

Ben son dönemlerde Google'ın önünü çektiği bir kısım özgürlükçü şirketin bu operasyonlardan biraz rahatsız olduklarını ve bu ifşaları hızlandırdıklarını düşünüyorum. Adı geçenlerin hangileri özgürlükçüdür, hangileri devletçidir(amerika-israil) bunu bilme noktasında olamayız. Bu kısımda farklı düşünenler olabilir, pek tabi. Bu kısım benim görüşlerim, biraz kontroversiyal olabilir ama düşünmek zorundayız.

Buradan biraz daha ne yapacağız noktasına geçmek istiyorum. Bu kısım bu açığın nasıl oluştuğunda bağımsız.
- Yama ve Zayıflık yönetimi. Güvenlik ürünleri firmware image olarak güncelleniyor. Bunların güncellemeleri hayli zahmetli. Artık yıllarıdır bizim uyguladığmız gibi sektördeki diğer ürünlerin de parçalı güncelleme ile yalnız ilgili yamayı reboot gerektirmeden alması gerekir.
- Farklı marka 2 katmanlı ağ geçidi önemli. Kurumlar kendi hedef olma algılarına göre ürünlerin seçiminde dünya dengelerini gözetmek zorunda. Bu noktada Rus APT'lerini Avrupa, Amerikan APT'lerini Rus şirketlerinin ifşa ettiğini hatırlayalım. Uygun ise biri milli olmalı.
- Güvenlik üreticileri düzenli iç ve dış ürün zayıflık analizleri yaptırmak zorunda.
- Türkiye'ye giren nasıl her ilaca Sağlık Bakanlığı bir onay veriyorsa gümrükten geçen her güvenlik ve/veya ağ ürünü burada test edilmiş olmalı. Bu test çerçevesi zayıflık analiz dışında, cihazın veri iletişimlerinin analizini de (masumiyet analizi diyelim) içermelidir. Bu noktada yerli bir standart oluşturulmalı.
- ISO sertifikasyonlarından ortak kriterler sertifikasyonu başlığında, bunun ülkeler arası tanınmasında yalnızca belli seviyeye kadar tanıma gerekiyor. Üzerinde yerli lab testleri gerektirilmeli. Burada Türk regülasyon sorumlularına görev düşüyor. Bunu farazi yazmadım. Amerika kendi ürünlerini ve ağlarını korumak için birebir benzeri bir mantığı uygulamak için harekete geçti. 2017 itibariyle EAL2 üzeri US'ten sertifikalanmış olmalı US'te geçerli olması için.

Saygılarımla,


-- 

Oğuz YILMAZ 
CTO / Kurucu Ortak
CTO / Co-founder

(CISSP)

Labris Networks
Galyum Blok, ODTÜ Teknokent
Ankara, Türkiye
[email protected]
T : +90 312 210 1490 (pbx)

http://www.harppddos.com
http://www.labrisnetworks.com
http://www.facebook.com/labristeknoloji
https://twitter.com/#!/labrisnetworks (Global)
https://twitter.com/#!/labristeknoloji
https://twitter.com/#!/oguzyilmaz79


On 12.01.2016 10:41, Alper Basaran wrote:
Merhaba,

Fortinet OS 4 ile 5.0.7 arasındaki sürümlerde SSH backdoor açığıyla ilgili bir iddia var. Test edebilecek kimse varsa sonuçlarını paylaşması ilginç olabilir. 

İddia edilen saldırı koduna http://seclists.org/fulldisclosure/2016/Jan/26 adresinden ulaşabilirsiniz. 

Saygılarımla,
Alper Başaran



-------------------
DDOS Saldırıları ve Korunma Yolları Eğitimi

İstanbul: 27-28 Şubat 2016
Ankara: 03-04 Mart 2016

-------------------




-------------------
DDOS Saldırıları ve Korunma Yolları Eğitimi

İstanbul: 27-28 Şubat 2016
Ankara: 03-04 Mart 2016

-------------------


-------------------
DDOS Saldırıları ve Korunma Yolları Eğitimi

İstanbul: 27-28 Şubat 2016
Ankara: 03-04 Mart 2016

-------------------



-------------------
DDOS Saldırıları ve Korunma Yolları Eğitimi

İstanbul: 27-28 Şubat 2016
Ankara: 03-04 Mart 2016

-------------------

-------------------
DDOS Saldırıları ve Korunma Yolları Eğitimi

İstanbul: 27-28 Şubat 2016
Ankara: 03-04 Mart 2016

-------------------

Cevap