AT&T ve Verizon, Salt Typhoon güvenlik değerlendirme raporunun yayımlanmasını engelliyor

• ABD'li telekom operatörleri AT&T ve Verizon, Salt Typhoon ile ilgili güvenlik değerlendirme raporunun yayımlanmasını engelliyor
• ABD'li bir senatör, iki şirketin hükümetin siber güvenlik soruşturması sonuçlarının açıklanmasını engellediğini belirtti
• Söz konusu raporun, Çin bağlantılı hacker grubu Salt Typhoon'un faaliyetlerine ilişkin değerlendirmeleri ele aldığı biliniyor
• İki telekom şirketinin, gizlilik ve güvenlik gerekçeleriyle raporun yayımlanmasını reddettiği aktarılıyor
• Bu gelişme, ulusal güvenlik ile özel telekom altyapısında şeffaflık sorunu etrafında tartışmalara yol açtı

---

Salt Typhoon güvenlik değerlendirme raporunun yayımlanması tartışması

• AT&T ve Verizon, Salt Typhoon ile ilgili güvenlik değerlendirme raporunun yayımlanmasını engelliyor
  • Rapor, ABD içindeki telekom altyapısına yönelik siber tehdit değerlendirmelerini içeriyor
  • Belge, devlet kurumlarının soruşturma sonuçları doğrultusunda hazırlanmış
• ABD'li bir senatör, iki şirketi halkın bilgi edinme hakkına ve siber güvenlikte şeffaflığa zarar vermekle eleştirdi
  • Raporda, Çin bağlantılı hacker grubu Salt Typhoon'un faaliyet analizlerinin yer aldığı biliniyor
• İki şirket, güvenlik gerekçeleri ve gizlilik yükümlülüklerini dayanak göstererek yayımlamayı reddediyor
  • Somut hukuki gerekçe veya ayrıntılar kamuoyuyla paylaşılmadı

Siyasi ve sektörel etkiler

• Olay, ulusal güvenlik ile özel telekom şirketlerinin sorumluluk alanı etrafındaki tartışmayı büyüttü
  • Kamu ile özel sektör arasındaki bilgi paylaşım sistemi hakkında soru işaretleri doğdu
• Telekom altyapısının siber tehditlere karşı yanıt mekanizmasının yeterli olup olmadığı sorgulanıyor
  • Güvenlik değerlendirme sonuçlarının gizli tutulmasının, gelecekteki politika tartışmalarını etkileyebileceği belirtiliyor
• Şu ana kadar raporun somut içeriği veya yayımlanma takvimi doğrulanmış değil

[GN⁺]

Hacker News yorumları

• Daha önce 3G veri düğümlerinin yasal dinleme (lawful intercept) özelliği için teknik şartname yazmıştım
  Temel tasarım ilkesi, ağ işletmecisi şirketine güvenmeyen bir yapı kurmaktı. Çünkü çalışanları organize suç etkisinden korumanın yolu buydu
  Dinleme, kolluk kuvvetlerinin LI konsolundan başlatılıyor ve ağ operatörü bunu bilmiyor. Trafiğin yaklaşık %3'üne kadar dinleme yapılabilecek şekilde tasarlanmıştı ve loglarda ya da yönetim araçlarında görünmüyordu
  Ancak bir hacker LI konsoluna sızarsa, tasarım gereği fark edilmeden belirli trafiği hassas biçimde ele geçirebilir
  Birden fazla vendor LI konsol yazılımı sağlıyor ve standartlaştırılmış protokoller kullanıldığı için, bir sorun çıktığında sorumluluğu belirlemek zor oluyor
  • ABD'de büyük bir telekom operatörünün ağ operasyon ekibinde çalıştım; bazı mühendisler dinleme uygulanan düğümleri call flow analizi ile kabaca tahmin edebiliyordu. Tamamen gizli değildi
  • LI konsolunun tam olarak ne olduğu ve nereye kurulduğu merak ediliyor
  • Acaba kastedilen sistem RAVEN mi diye soruluyor
• Hükümet telekom şirketlerine yasal dinleme özelliğini zorunlu kıldı, kötü niyetli aktörler de hükümetin talep ettiği bu backdoor'u suistimal etti. Buna rağmen hükümetin güvenlik ve gizlilikten söz etmesi ikiyüzlülük. Sonuçta daha iyi siyasetçiler seçmek gerekiyor
  • Eskiden güvenlik danışmanı olarak çalışırken dinleme amaçlı donanım üreten bir şirketle ilgilenmiştim. Bu cihaz, telekom şirketi sadece kurulum yaptığında bile devlet gereksinimlerini karşılayan bir black box cihazdı
    Ancak güvenlik testlerinde yalnızca kullanıcı ağına izin veriliyor, ürünün kendisine asla dokunmamamız söyleniyordu. İç güvenlik seviyesine bakılırsa, o cihazın çoktan ele geçirilmiş olması muhtemel
  • Siyasetçileri değiştirmek önemli ama bu, temelde devletin yapısal sorunu
    1. Sorun yanlış anlaşılırken yasa teklifi sunulur → 2) Kabul edilir ama birçok yeni sorun doğar → 3) Bu sorunları çözeceğini söyleyerek yeniden seçime girilir → 4) Sonsuz döngü böyle sürer
  • Sorunun özü backdoor'un kendisi değil, telco'nun zayıf güvenliği. Dinleme sistemleri yasal olarak var olmak zorunda ama büyük telekom şirketleri karmaşık yapılara ve zayıf güvenlik kontrollerine sahip
    Böyle ortamlar devlet destekli hacker'ların başlıca hedefi olur ve Salt Typhoon vakası bunu gösteriyor. Dinleme sistemi hacklenmemiş olsa bile, call routing veya faturalama sistemleri ele geçirilirse durum çok tehlikeli olur
  • Hükümetin gizliliği savunduğu iddiasına katılmıyorum. Aslında AT&T ve Verizon, Mandiant'ın güvenlik değerlendirme raporunun yayımlanmasını engelliyor
  • Tüm bunların tahmin mi yoksa doğrulanmış gerçekler mi olduğu merak ediliyor
• Bütün bunlar 1994'te çıkarılan CALEA (Communications Assistance for Law Enforcement Act) sayesinde mümkün oldu. Sonunda hükümetin açtığı giriş yolunun bedelini yine kendisi ödüyor. Artık bu tür devlet zorunlu backdoor'ların kaldırılması gerekiyor
• 10 yıl önce Verizon'da çalışırken dışarıdan bir güvenlik ekibi incelemeye gelmişti ve tek bir Windows Jenkins konsolu üzerinden 3-4 saat içinde tüm ağı ele geçirmişlerdi. İç güvenlik o kadar gevşekti
• Şu anda Çin dahil çeşitli ülkeler ile bireyler telekom dinleme sistemlerine erişebilecek durumda
  Aslında erişemeyen tek taraf sıradan kullanıcılar
  Bu tür sistemler sonuçta sadece şantaj malzemesi toplamak ya da siyasi amaçlı yargısal manipülasyon için kullanılıyor. Şifreli mesajlaşma zaten yaygınken bu tür gözetim gereksiz
• Bu tür raporların yayımlanmasını engellemek, sistemik risk yönetimine büyük zarar veriyor
  İhlal yolunun açıklanmaması, diğer altyapı sektörlerini tamamen kör durumda bırakıyor. Kurumsal itibarı korumaya çalışırken ortak güvenlikten vazgeçilmiş oluyor
  • İlgili saldırı vektörlerini ele alan bir Cybersecurity Dive röportajı var
• Datadome script'i olmayan MSN haber bağlantısı ve metin sürümü bağlantısı paylaşılıyor
  (şaşırtıcı biçimde Microsoft bunu HTTP üzerinden sunuyor)
  • HTTPS'ten HTTP'ye neden geri dönüldüğü sorgulanıyor
• Telekom şirketleri, kurdukları backdoor'ların ve kötü yönetimlerinin ortaya çıkmasını istemiyor
  Yalnızca mobil operatörler değil, Comcast, Cox, Charter gibi ev tipi ISP'ler de daha da vahim ölçüde beceriksiz. Bunu farklı şirketlerde bizzat yaşadım
• Bu olay, ABD'nin otoriter politikaları taklit etmeye çalışıp başarısız olduğu bir örnek
  Güvenlik, gözetim ve teknik kapasite açısından Çin'i yakalayamazken kendi iç yapısını daha da zayıflatıyor
  Ekonomik sıkıntılar ve kitlesel işten çıkarmaların yol açtığı beyin göçü hızlanıyor; bu da Çin'in teknolojik üstünlüğünü daha da güçlendiren bir kısır döngü yaratıyor
  • Mevcut durum, adeta Soğuk Savaş dönemindeki ABD-SSCB rekabetinin tersine dönmüş hali gibi hissettiriyor