Amerikan ambargosu yaklaşırken internet güvenliği ile ilgili düşünceler

[taydin]

Hepinizin bildiği gibi, Türkiye eğer Rus hava savunma sistemi alımından vazgeçmezse, ABD Türkiye'ye ambargo koymaya hazırlanıyor. Ambargoda öncelikli ürünlerin de, askeri teknoloji geliştirmekte kullanılan test ve ölçüm cihazları olacağını kestirmek için müneccim olmaya gerek yok

ABD, halihazırda böyle kritik test ve ölçüm cihazları ancak bazı özelliklerini kötüleştirerek ihraç edilmesine izin veriyor. Örneğin 110 GHz bant genişliğine sahip ve 5 µs olay yakalama özelliğine sahip bir "real time" spektrum analizörü, ancak bu olay yakalama performansı örneğin 10 µs olarak değiştirilirse izin veriyor.

Türkiye savunma sanayi firmalarında (özellikle RADAR konusunda çalışan firmalarda) bu tip spektrum analizörler vardır. 500 bin - 1 milyon dolar gibi fiyatlara kadar çıkabilen bu cihazların hepsinda ethernet portu var ve buradan internete bağlanabiliyor. Belki bu yazdığımı komplo teorisi olarak değerlendirebilirsiniz, ama bu cihazlara konmuş olan bir özel yazılım, peryodik olarak ABD'deki üretici firma ile bağlantıya geçip komut alıyor olamaz mı? Orneğin haftada bir üretici sunucusuna bağlanıp, çalışmaya devam etmek için izin alıyor olabilir ... Bu durumda da üretici, vereceği bir komut ile bu test cihazını kalıcı olarak çalışmaz hale getirebilir!

Bu dediğim şey, teknik olarak kolaylıkla yapılabilecek birşey. Yapılması, ABD'nin de işine gelir. Ürünü sattığı yer, ABD çıkarlarına aykırı çalışmalar yapmaya başlarsa, hemen bir komut ile bu cihaz çalışmaz hale getirilebilir.

Böyle birşeyden korunmak için test cihazını internetten kalıcı olarak ayırmak lazım. Ama eğer cihazda çalışan yazılım, çalışmaya devam etmek için "internet bağlantısı gerekiyor" diye bir hata verip, internete bağlanılmasını isterse, işte o zaman kötü ... O zaman resmen içinde truva atı olan bir cihaza 500 bin dolar para verilmiş demektir!

Bizim en kısa zamanda bu tip test cihazlarını kendimiz geliştirmemiz lazım, ve bunu yapacak firmalara da ne kadar maddi destek gerekiyrosa sağlanması lazım.

 

[Sercan]

Askeri alanda kullanılan bu derece kritik işlerde ağ trafiği de kontrol ediliyordur. Ölçü cihazları ile yapılan testlerden ziyade, üretilen bilgi daha değerli olması gerekir. Neticede muhtemelen zaten kapalı devre bir ağ yapısı vardır o tarz mekanların.

Buradaki sorun pazarın ülkemiz olması, yeni pazarlar bulunmadıkça bir ürünü üretmenin ekonomik bir faydası olacağını düşünmüyorum. Bağımlılık da beraberinde gelen başka bir sorun olsa da uzun vadede bakıldığında satın almak daha faydalı oluyor demek ki. Cihazlara yüksek fiyatlar verilmiyor da üretiminden daha uyguna geldiği için tercih ediliyor olabilir. Çok önceden (yanlış hatırlamıyorsam yaklaşık 15-20 yıl önce) ülkemizde bir ara direnç fabrikası kuruldu ve battı...

Bence büyük sorunlardan bir tanesi, eğer doğru ise Türkiye'nin ekonomisi %80 İstanbul'da dönüyor olması. İstanbul'da ne üretiliyor? Geri kalan topraklarda ne yapılıyor? Eskiden fındık, pamuk vs. diyorduk onlar da bitti. Münferit başarılı işleri tenzih ederek düşününce, bu soruların cevabını çok merak ediyorum.

Bu tarz konularda benim savım hep şudur; Günümüz dünyasını okumak gerekir. Biz artık bölünmüş küçük bir ülkeyiz ve kimseye hükmümüz geçmiyor. Bunun agresifliğin bir kenara bırakıp akıllıca kalkınmamız gerekir ama bu şuur da yok. Bunun için dilimize, kültürümüze ve köklerimize sağlam sarılmamız gerekir. Köklerimizi anlamamız için gerekli alfabe ve dili öğrenmek isteyenlere, akşam ismi bile yabancı Survivor izleyen, oyun oynayan adamlar topluluğu (ya da sesi çıkan çoğunluk) "öğrenip mezar taşı mı okuyacaksın" diyecek düzeyde cevaplar verebiliyor. Bilmeyende, bilmediği şuurda yok. Yakın sayılacak,150 yıl önce yazılmış bir geometri, matematik ya da tıp kitabını okuyup %40'ını anlayabilen kaç kişi var? Düşünme, bilgiler arası ilişki kurma yeteneği ile oluyor. Bizler sadece bize sunulan bilgi ile geçiniyoruz, gerçek bilgiye erişemiyoruz...

Bugün mühendis diplomasına sahip biri gerçekten ne kadar mühendis? Tabii ki bu yazdıklarım şahıslar üstü fikirlerim. Çok iyi teknik, mühendis insanlar da tanıdım, hepsi arada kalıp kaşarlı tosta dönüyor. Ya yurt dışına gidiyor ya da bir organizmanın parçası olamadan süper nova gibi kendi içine çöküyor.

 

[taydin]

Askeri alanda kullanılan bu derece kritik işlerde ağ trafiği de kontrol ediliyordur. Ölçü cihazları ile yapılan testlerden ziyade, üretilen bilgi daha değerli olması gerekir. Neticede muhtemelen zaten kapalı devre bir ağ yapısı vardır o tarz mekanların.

Bu tip birçok firmada dahili ağ, sadece bir internet firewall ile korunur, ama gene internet'e bağlıdır. Buradaki amaç dediğin gibi veri hırsızlığına karşı korumadır. Ama benim bahsettiğim tehlike veri hırsızlığı değil, bir çeşit sabotaj.

Yarım milyon dolarlık cihaz, haftada bir üreticinin sunucusuna bağlanıyorsa, bunu firewall'un engellemesi için o trafiği analiz etmek ve ilgili portları ve IP adresleri tespit etmek lazım. Ama bunu yapanlar, bu işi masum, normal trafiğin içine gizlerler. Örneğin, haftada bir firmware güncelleme var mı diye üreticinin sunucusuna bağlandığını görürsün, "hmm tamam, bu olağan trafik" dersin, ama işte belki de o trafiğin bir parçası olarak bu gizli arka kapı protokolü işliyor!

Bir de ağ tamamen internet'ten ayrı da olsa, iş bir tane USB flash belleği o ağdaki bir windows makinaya takmaktan ibaret. Iran'ın uranyum zenginleştirme santrafujlarına büyük zarar veren Stuxnet virüsü, bu şekilde devreye alındı. Tesiste kullanılan Siemens PLC leri ile ilgili Siemens distribütöründen bir heyet geliyor tesise, içlerinden birisi ajan. Çaktırmadan USB flash belleği bir windows bilgisayara takıyor, bir süre sonra da santrafujlar sırayla patlamaya başlıyor. Bunun ibretlik hikayesini aşağıda okuyabilirsiniz:

The Real Story of Stuxnet

Hem ağın tamamen internetten ayrı olması lazım, hem de cihazlara fiziksel erişimin çok sıkı kontrol edilmesi lazım.

Buradaki sorun pazarın ülkemiz olması, yeni pazarlar bulunmadıkça bir ürünü üretmenin ekonomik bir faydası olacağını düşünmüyorum. Bağımlılık da beraberinde gelen başka bir sorun olsa da uzun vadede bakıldığında satın almak daha faydalı oluyor demek ki. Cihazlara yüksek fiyatlar verilmiyor da üretiminden daha uyguna geldiği için tercih ediliyor olabilir. Çok önceden (yanlış hatırlamıyorsam yaklaşık 15-20 yıl önce) ülkemizde bir ara direnç fabrikası kuruldu ve battı...

Bu tip stratejik ürünlerde maliyetin düşünülmemesi lazım. O direnç üreten fabrikayı devlet işletmeliydi, ve diğer pasif komponentlerin üretimini de yapabilmemiz lazım. Yani satmak için değil, gerektiğinde yapabiliyor olmak içindir bunlar. Çünkü gün gelir, tüm dünya aleyhimize dönerse, belki de hiçbir yerden komponent tedarik edemeyebiliriz. İşte bu durumda 10 kat maliyetle de olsa birşeyler yapabilmek, hiç yapamamaktan iyidir.

 

[taydin]

Bu arada, Stuxnet'in geliştirilmesinde de ABD hükümeti, bizzat Microsoft'tan, işletim sisteminin bütün açıklarını en ince ayrıntısına kadar anlatmasını istiyor! Ayrıca ABD hükümeti, Siemens'den de bütün PLC'lerin güvenlik açıklarını, ve nasıl hacklenebileceklerini en ince detayıyla öğreniyor!. Virüs de bu açıklardan yararlanarak geliştiriliyor.

Buradan çıkarılacak ders nedir? ABD menşeji stratejik bir ürün alıyorsan, bu ürünün içinde her türlü tuzağın, truva atının ve "kill switch" in olduğunu varsaymak zorundasın! Eğer teknik olarak bir tuzak mümkün ise ve işe yarıyorsa, çok büyük bir ihtimalle o tuzak o stratejik ürüne konmuştur.

Örneğin F35 uçakları. Bu uçakların uçuş kontrol sisteminde tuzakların, truva atlarının ve "kill switch" lerin haddi hesabı yoktur. O yüzden bizim için beş para etmez o uçak. Zaten yakınlarda Norveç'tan haber geldi, F35 uçağının Lockheed Martin ile data bağlantısı kurduğu ve veri gönderdiği tespit edilmiş! Yani uçakta resmen spyware var

 

[taydin]

Bence de olacak olan şey dediğin gibi, fırsat bu fırsat, S400 bahanesiyle F-35 projesinden çıkmak. 1 milyar dolar para da çöpe gitmiş olacak, ama o projeden çıkmazsak çok daha büyük paralar ödenecek ve elimize geçecek olan da tamamen ABD'nin kontrolünde olan bir oyuncak.

Zaten it dalaşında bu F35'i denemişler, F-15, F-16, F-22, hepsi bunu yenmiş. Rus Sukhoi uçaklarının manevra kabiliyetin bunların hepsinden daha iyi, dolayısıyla F-35 ile Su tipi uçak arasındaki mücadele "it dalaşı" değil, "itin gazabı" şeklinde olur muhtemelen