Uygulamaya sabit kodlanmış kimlik bilgilerini ortaya çıkaran Alman geliştirici, 'hackleme'den suçlu bulundu
(infosec.exchange)- Almanya'da bir geliştirici, iş sırasında yazılım loglarını incelerken satıcı DB erişim bilgilerini bulup bildirdi ancak mahkeme bunu hackleme olarak değerlendirdi
- Söz konusu yazılım, satıcının veritabanı sunucusuna MySQL bağlantısı kuruyordu ve burada geliştiricinin müşterisinin verilerinin yanı sıra satıcının tüm müşterilerinin verileri de bulunuyordu
- Kimlik bilgileri uygulamanın içine düz metin olarak sabit kodlanmıştı ve decompile bile gerektirmeyecek kadar açıktaydı
- Mahkeme, yalnızca bir parolanın var olmasını koruma mekanizması bulunduğuna dair yeterli saydı ve bunun aşılmasını hackleme olarak değerlendirdi
- Böyle bir karar, meşru güvenlik araştırmalarını caydırabilir; zayıf güvenliğe sahip şirketlerin sorumluluktan kaçarken kullanıcıları daha büyük riske atmasına yol açabilir
Keşiften suç duyurusuna
- Bu olay, Alman hukukunun güvenlik araştırmasını riskli bir işe dönüştürebileceğine dair kaygı doğurdu
- Bir geliştirici, aşırı sayıda log mesajı üreten bir yazılımı inceleme görevini üstlenmişti
- İnceleme sırasında söz konusu yazılımın satıcının veritabanı sunucusuna MySQL bağlantısı kurduğunu tespit etti
- Veritabanında yalnızca kendi müşterisinin verileri değil, satıcının tüm müşterilerinin verileri de bulunuyordu
- Geliştirici bunu doğruladıktan sonra satıcıya hemen bildirdi; satıcı açığı düzeltti ancak geliştirici hakkında ceza davası başlattı
Mahkemenin gördüğü koruma mekanizması
- Temel tartışma, uygulamaya sabit kodlanmış veritabanı kimlik bilgilerinin hackleme suçlamasını haklı çıkaracak bir koruma önlemi sayılıp sayılamayacağıydı
- Söz konusu kimlik bilgileri düz metin halinde açıktaydı ve decompile yapılması da gerekmiyordu
- Mahkeme, parola bulunduğu için bir koruma mekanizmasının var olduğuna ve bunun aşılmasının hackleme olduğuna hükmetti
Güvenlik araştırması için kalan risk
- Üst mahkemede kararın bozulmasının istenmesinin nedeni, koruma önlemi ne kadar yetersiz olursa olsun sadece varlığının bile Alman hukukunda güvenlik araştırmasını suç niteliğinde hackleme haline getirebilme ihtimali
- Meşru araştırmalar caydırılırsa şirketler yetersiz güvenliği sürdürüp yine de sorumluluktan kaçabilir ve sonuçta kullanıcılar riske girer
Orijinal kaynak
- İlgili Almanca makale: Gericht sieht Nutzung von Klartext-Passwörtern als Hacken an
1 yorum
Hacker News yorumları
Makale başlığı biraz kafa karıştırıcı ve neredeyse tık tuzağı gibi görünüyor. Doğru anladıysam, suçu açığa çıkmış veritabanı kimlik bilgilerini kullanarak üçüncü taraf bir veritabanı sunucusuna giriş yapmasıydı.
Yani başlığın ima ettiği gibi yalnızca kimlik bilgilerini “açığa çıkardığı” için suçlanmış değil; daha çok onları gerçekten kullanıp içeride ne olduğuna bakmış.
Bu, bir bina giriş kartı aldığınızda açabildiği kapıların girmenize izin verilen odalar olduğunu varsaymaya benzer. Güvenlik ekibi beni girmemem gereken bir odada bulursa, bunun benim hatam mı yoksa bana yanlış yetkilere sahip kartı veren kişinin hatası mı olduğu belirsizdir.
Kapıyı açıp içeri baktıktan sonra hemen “burası girmemem gereken bir yermiş” diye fark edip güvenlik ekibine bildirdiysem, cezalandırılmam gerekip gerekmediği de şüpheli.
Ama asıl mesele, bunu giriş yapmadan önce bilip bilemeyeceğiydi. Kimlik bilgileri uygulamanın içindeyse, şirketin güvenliği o kadar gevşek ki tüm müşteri verilerine erişim sağlanacağını mı varsaymak gerekir? Uygulamayı kullanma hakkı vardı ve uygulama bu kimlik bilgilerini kullandığı için kendisinin de bunları kullanabileceğini düşünmesi o kadar büyük bir sıçrama değil.
Her hâlükârda bu kararın sonucu bilgisayar güvenliği için açıkça kötü olacak. Bundan sonra böyle bir güvenlik açığı bulan kişiler hukuki misillemeden korkup bildirimde bulunmayabilir.
Bir geliştirici açısından parolanın normal kullanıcılar dışında kullanıcı olmayanların erişimini engellemek için olduğunu düşünmek doğal. Zaten kimlik bilgileri gizlenmiş ya da obfuscate edilmiş bile değildi.
Kullanıcının erişmemesi gerektiği netleşince tedarikçiye bildirmiş. Kaçırdığım bir şey mi var? Bir tarafta işini yapan bir geliştirici var, diğer tarafta ise mahcup olmuş bir şirketin misilleme yaparak potansiyel hata bildiricilerini korkutması var. Ne olup bittiği gayet açık görünüyor.
Görünüşe göre veritabanı adı da böyle görünüyordu. Daha sonra tüm müşterilerin verilerinin orada olduğunu fark eder etmez bağlantıyı kesti.
Önemli olan erişimden sonra o verilerle ne yaptığıdır. Hiçbir şey yapmadıysa bu suç olmamalı; suç, o veriler gerçekten kötü niyetle kullanıldığında oluşmalı.
Bu, Almanya’da oldukça büyük bir sorun. Alıntılanan StGB 202 ve devamı maddeleri yüzünden özel sektörde güvenlik araştırması fiilen imkânsız ya da en azından çok cazip olmayan bir iş hâline geldi.
Neredeyse 20 yıllık bir boşluk oluştu; genç mühendislerin bu alana ilgi duyması veya bu konuda eğitim alması neredeyse hiç gerçekleşmedi. En zengin büyük şirketler bulabildikleri insan kaynağını topladı, en üst düzey yetenekler ise yurt dışına gitti. Bu yüzden Alman şirketlerinin çoğunluğunu oluşturan KOBİ’ler her gün daha fazla hackleniyor. Kimse denetim yapmıyor. Günümüzde ağa bağlı her şey bir güvenlik riski.
Üst mahkemede bozulacağını beklemek bence çok safça. Sanık AG’den LG’ye, OLG’ye, BGH’ye kadar giderek yıllarını boşa harcamak zorunda kalabilir. Masrafların da yaklaşık 100 bin avroyu bulacağını tahmin ediyorum. Peki ne uğruna? Şirket kendi verilerini düzgün koruyamadı; bunu haber verince “teşekkür” olarak onu mahkemeye çıkarmış oldular.
Tavsiyem şu: Açık bir bug bounty programı yoksa, kendi şirketiniz değilse ya da söz konusu şirket bunu açıkça yazılı olarak talep edip ücretini ödemediyse, o sorunu kendi sorununuz hâline getirmeyin. İyi Samiriyeli kompleksinizi bastırın, tüm dosyaları silin ve kimseye bir şey söylemeyin. Özellikle de iş yerinde asla söylemeyin. Dava başladığında soru sorulan kişi “Ah, DevOps’tan Mike bunu hex dump’ta fark etmişti” diyecek ve pişman olacaksınız.
Almanya’daki eski bilgi güvenliği ustalarından bazıları bu meseleye o kadar öfkeli ki, devlet kurumlarında olay yaşansa bile yardım etmeyi reddediyor. Acı çekerek öğrensinler, der gibi.
Bu dava birkaç yıldır sürüyor.
Geçen yaz mahkeme savcılığın davasını reddetti. Bu sistemde savcılık dosyayı mahkemeye sunar, mahkeme de hızlıca inceleyip açıkça zayıf bulursa duruşma takvimi belirlemeden önce reddedebilir; bu oldukça nadir bir durumdur. Savcılık bunu üst mahkemede bozdurdu ve bu yüzden aynı alt mahkemede duruşma yapıldı, ancak davayı ilk reddeden yargıçtan farklı bir yargıç baktı.
“10 Mayıs 2023 tarihli Jülich Yerel Mahkemesi kararına göre, güvenlik araştırmacısı hakkındaki ceza süreci reddedildi. Mahkeme, güvenlik araştırmacısının eriştiği veriler yeterince korunmadığı için cezai bir suç oluşmadığı görüşünde. Mahkeme kararında, ‘Yalnızca yetkisiz erişime karşı özel olarak korunan veriler söz konusu suçun koruma kapsamına girer. Bu da veri erişimini engellemeye nesnel olarak uygun tedbirlerin alınmış olmasını gerektirir’ denildi. ‘Mahkeme, savcılığın parola korumasının kendi başına yeterli olduğu yönündeki görüşüne katılmamaktadır. Örneğin parola çok basitse veya belirli bir uygulamada standartlaştırılmış biçimde kullanılıyorsa, parola her zaman etkili bir veri koruması sağlamaz. Böyle durumlarda veri erişiminin sağlanması suç teşkil etmez.’”
“heise online, Modern Solution yazılımı üzerinde yaptığı kendi inceleme sonucunda, yazılımın gerçekten de gömülü bir varsayılan parola içerdiğini doğrulayabildi. Bu, şirketin web sitesinden serbestçe indirilebilen yazılımı inceleyen herkesin Modern Solution sunucularındaki verilere erişebileceği anlamına geliyordu.”
Hayır, bu kimlik bilgilerini kullanarak veritabanına bağlanmaktan suçlu bulundu. Alman hukukunu bilmiyorum ama en azından Birleşik Krallık’ta bu açıkça Computer Misuse Act ihlali olurdu; sonucu belli bir dava
Hoşunuza gitsin ya da gitmesin, böyle bir araştırma yapacak konumdaysanız hukukun temelini en azından bilmeniz gerekir
Geliştirici güvenlik araştırması yapmıyordu, bir hatayı inceliyor gibi görünüyor. Veritabanına bağlanıp ne olduğunu fark ettikten sonra hemen bağlantıyı kesmek ve sorumlu şekilde bildirmek cezaya yol açmamalı
Başkalarının da söylediği gibi, böyle olursa insanlar bu bilgiyi gerçekten “kötüye kullanacak” kişilere satmaya teşvik edilir
Farkın ne olduğunu anlamıyorum. Belki kullanım şartları ihlali denebilir, ama buna “hacking” demek için çok uzun yol var
Bir parola olması, insanları engellemeye çalıştıkları anlamına gelmez. Parolayı kendileriyle birlikte dağıtmışlar
Bir binaya girerken size bir anahtar kartı verip “gitmemeniz gereken yerlere gitmeyin” demeleri, sonra bunun ana anahtar çıkması gibi. O kartın en başta girmemesi gereken yerleri de açacağını nereden bilebilirsiniz?
Benim de Google hizmetleri kimlik bilgilerim var, ama onlar yalnızca bana ait olana erişmemi sağlıyor
Bu verinin geldiği anlaşılan başka bir hizmetin bağlayıcısını çalıştırmış ve güvenlik duvarında uzak bir MySQL sunucusuna düz metin bağlantı açıldığını gözlemlemiş. Bakınca kullanılan kimlik bilgilerinin MySQL DB’deki tüm tenant’larda aynı olduğunu görmüş. Yani açığa çıkan yalnızca müşterinin verisi değil, tüm tenant’ların verisiymiş
Sonrasında kullanıcı verilerinin hash’ini oluşturup bunu dışa aktararak yetkililere bildirmek ve kullanıcıların, ihlal edilmiş saymaları gereken sistemde yer alıp almadıklarını kontrol edebilmelerini sağlamak istediğini biliyorum. Söz konusu DB yaklaşık 700 bin son kullanıcı verisini açığa çıkarmıştı. Ayrıca bu sorunu DB’yi işleten şirkete de bildirmiş
Bağlayıcı tedarikçisi TLS kullanan yeni bir istemci çıkarmış, o da sorunun hâlâ geçerli olduğunu göstermek için bunu da aşmış
İstemci yazılımını decompile edip parolayı elde etmekle de suçlandı, ama hatırladığım kadarıyla o sadece dosyayı Not Defteri’nde açtığını savunuyordu
Amaçlanandan daha fazla veriye erişilebildiğini fark edince bağlantıyı kesmiş
Ben de benzer bir durumda tam olarak aynı şeyi yapmıştım. Sorunlu bir masaüstü yazılımı tedarikçisi vardı; yapılandırma dosyasında veritabanı kimlik bilgilerinin düz metin olarak saklandığını görüp bağlandım. Benim durumumda veritabanı şirketimize özel tek tenant’tı, bu yüzden istediğim işi halledebildim
Böyle olaylarda hukuk uygulanırken niyet kesinlikle dikkate alınmalı değil mi? Bu geliştiricinin kısıtlı bir sisteme erişme niyeti varmış gibi görünmüyor
Böyle yasaların yeniden yazılması gerekiyor gibi. Niyet önemli ve bu “hacker”ın zarar vermeye çalıştığı görünmüyor
Şirket güvenlik açığı ortaya çıktığı için küçük düştü ve bunu açıklayan kişiyi cezalandırmak istiyor
Sırf bu olay bile bir geliştirici olarak Almanya’da çalışmak istememem için yeterli; güvenlik alanıysa hiç istemem
“Köylülerin” yerini bilmesini ve soyluların pencerelerinden içeri bakmamasını istiyorlar. Kamuoyunun ışığını avukatlar bir şekilde tutmadıkça devlet neredeyse her zaman en çok parası olan tarafın yanında yer alır. Bu yüzden böyle işler anonim yapılmalı
Bir dönem Hollanda’da bir gıda startup’ı yapmıştım
Posta gönderiminden sorumlu büyük bir şirket ve eski bir devlet kurumu olan PostNL ile çalışıyorduk. Her hafta siparişlerimizi onların sistemine yüklüyor, kendi geçmişimizi görebiliyorduk
Sonra bir gün aniden diğer tüm müşterilerin geçmişine erişebilir ve kullanıcı verilerini dışa aktarabilir hâle geldik. Bunların çoğu doğrudan rakiplerimizdi ve mailing listeleri bizim için epey değerli olurdu
Ortağım, daha büyük yatırım almış rakibimiz Marley Spoon’un tüm verisini ve birkaç başka veriyi Excel’e aktardı. Bana söylediğinde hemen silmesini istedim. Eğlenceli olabilirdi ama hukuki sorumluluk yaratmamak gerekirdi. Yine de bunu kullansaydık birkaç hafta içinde %10–30 büyüyebilirdik
AB hukuku uyarınca yükümlü olmalarına rağmen bunu asla bildirmediler
Sonuçta kalenin anahtarlarını aldıysanız kullanmamak daha iyi olabilir. Ya da kullanabilirsiniz de
Bunu fiyat pazarlığında kullanabilirdik, belki de kullanmalıydık. Sonraki aylarda fiyatımızı neredeyse iki katına çıkardılar ve hiç merhamet göstermediler. Siparişlerin %3–8’ini yanlış işleyip yine de iade yapmamalarından bahsetmiyorum bile
Ama bunun yerine başka birkaç teslimat hizmetine geçtik; onların da her birinin kendi kusurları vardı
Kişisel verilerin sızdığına dair kanıt içeren ekran görüntüleri kesinlikle yardımcı olurdu; PostNL’in o berbat sistemi düzeltmiş olduğunu sanmıyorum
Hollanda hukukuna göre, meslektaşınız erişmemesi gerektiğini bildiği hâlde ve sızıntı olup olmadığını doğrulamak için gerekli kapsamın ötesinde veri indirdiyse suç işlemiştir
Bu bilgiyi pazarlıkta “kullanmak” şantaj olurdu; özellikle de bu kadar büyük ve fiilen rakibi olmayan bir şirkete karşı asla yapmak istemeyeceğiniz bir şey. Polisi ararlar, siz de bitersiniz
Yaşadığım yerde olan bir olaya benziyor
https://www.techdirt.com/2022/02/25/turns-out-it-was-actuall...
O “hack”, Base64 ile kodlanmış sosyal güvenlik numaralarını decode etmekten ibaretti
Tembel programcıların çevrim içi Base64 decoder’larına neler yapıştırdığını hayal edin. O payload’ların içinde neler neler vardır kim bilir
base64decode.org gibi bir site işletmek harika bir honeypot olurdu
Veriyi gerçekten şifrelemiş olsalardı sorun olmazdı, ama Base64 encoding şifreleme değildir. Base64 çok kolay decode edilebilir: https://developer.mozilla.org/en-US/docs/Glossary/Base64#the...
Birçok “hack”, bir aptalın ön kapıyı ardına kadar açık bırakmasına benzer
Ön kapınızı ardına kadar açık bırakıp soyulsaydınız kamuoyu size acımazdı; ama şirketler temel güvenlik en iyi uygulamalarını güncellemek, sürdürmek ve uygulatmak için para harcamayıp hiçbir şey yapmadığında insanlar hacker’a bağırıyor
Sen ön kapını ardına kadar açık bıraktın ve ben içeri girip bir şey çaldıysam, suç işlemiş olurum. “Kapı açıktı” bir mazeret değildir
Ben suçlanmayı hak ederim, ama beni soyan kişinin de uygun şekilde cezalandırılması gerekir
“Her şeyin güvenli olup olmadığını kontrol etmeye çalıştıklarını” iddia etseler bile
Bu, İyi Samiriyeli yasasının tersi değil mi? Bir şey görürsen hiçbir şey söyleme, hiçbir şey yapma gibi
Bu tür sorunları bulmak yasa dışıysa, bir sorun olabileceğini fark ettikten sonra durup o şirketin hisselerini açığa satmanın yasal olup olmadığını merak ediyorum
Gerçekten denersen karşılaşacağın sorun, yatırımcıların güvenlik sorunlarını pek umursamamasıdır. Bu yüzden zafiyeti açıklasan bile hisse fiyatı muhtemelen düşmez. Üstelik bu şirket halka açık bir şirket gibi de görünmüyor. Almanca bilmediğim için kesin konuşmamalıyım ama muhtemelen şu: https://www.modernsolution.net/
“Merhaba, tesadüfen bu uygulamanın X offset’inde bir parola olduğunu fark ettim. Şu hex dump ekran görüntüsünde parola görünüyor. Yanında kullanıcı adı ve host da var, ayrıca bunun bir SQL bağlantısı olduğuna dair açık işaretler de mevcut, ama ben parolanın ne olduğunu doğrulayamıyorum. Bu kullanıcı adı ve parolayla bu IP’ye bağlanmayın. Teşekkürler!” gibi
Ayrıca ABD şirketleri açısından büyük ölçekli veri sızıntıları veya ihlaller çoğu zaman şirket finansallarını olumsuz etkilemiyor
Ceza Kanunu’nun 202a maddesi şöyle
https://www.gesetze-im-internet.de/stgb/__202a.html
Kabaca, “yetkisiz erişime karşı özel bir şekilde korunmuş verilere, kendisi veya bir başkası için erişim elde etme” eylemi
Görünüşe göre istemciye gömülmüş hardcoded parola da buna giriyormuş
Ama gerçeklik bu; belki 2050 civarında düzeltirler