İlk olarak tespit edildiği 2007 yılından itibaren Zeus Trojanı birçok probleme yol açtı ve açmaya da devam ediyor. Aslına bakarsanız sizin bilgisayarınız da bu zararlı yazılımı bünyesinde barındırıyor olabilir. Peki bu trojanı bu kadar güçlü kılan ne?

Zeus’u kalıcı ve yaygın kılan 2 tane neden var:

1: Tamamen paraya yönelik bir amaçlar. Zeus, eğer kendisi ile enfekte olan bilgisayar, finans ve bankacılık ile ilgili sitelere girdiğinde kendini aktif hale getiren bir yazılım. Yani aktivitesini en az miktarda tutuyor ve bu da onun dikkat çekmesini engelliyor.

2: “Zeus’un her sürümü birbirinden farklı” Bu gerçek, Zeus’un açık kaynak kodlu bir yazılım olmasından kaynaklanıyor. Kötü niyetli biri; bu yazılımın kodlarını indirebilir ve kendine göre düzenleyebilir. Sonuç olarak Zeus’un parmak izi sürekli değişiyor ve bu da antivirüs yazılımlarının onu tanımlamasını zor hale getiriyor. Güvenlik uzmanlarına göre Zeus’un tespit edilmesi halinde temizlenmesi kolay ama problem tespit edilmesinde çıkıyor.

Vigilant güvenlik firması yöneticisi Lance James’a göre 20 milyondan fazla bilgisayar Zeus ile enfekte ve ona göre Zeus zararlı yazılımların kralı…

Çünkü antivirüs araçları ona karşı çalışamıyor. Bu da güvenlik uzmanlarını Zeus’a karşı daha farklı bir savaş metodu bulmalarına zorluyor. Bu savaşa başlama noktası kullanıcıların eğitiminden geçiyor. Çünkü virüsün başlıca bulaşma yolu sosyal mühendislik: Vergi kuruluşundan bir e-posta geliyor. Kullanıcıya, “bazı bilgilerin doğruluğunu sağlamak için” diye gönderdiği zararlı onay linkine tıklamalarını istiyor. Buna tıklandıktan sonra bazı kodlar indiriliyor. İşte olay asıl burada başlıyor. İndirildikten sonra bu kodlar hiçbir şey yapmıyor. Böylece antivirüsler bir tehlikenin geldiğinin farkına varamıyorlar.

Yazılım öylece bekliyor ve kullanıcının her hareketini izliyor. Eğer kullanıcı, Zeus’un hedef sitelerinden(bunlar genellikle bankacılık ile ilgili siteler) birisine girerse, virüs uyanışa geçiyor. Sonra site üzerindeki tüm aktiviteyi kaydediyor ve ardından Zeus’u kodlayan kişiye gönderiyor.

Zeus’un zararlarına maruz kalmak istemiyorsanız en iyi yöntemlerden birisi Windows kullanmamak. Şu an için Zeus’un bilinen sürümleri Windows tabanlı. Sayısı hızla artan Apple kullanıcılarını düşündüğümüzde yazılım zamanla diğer işletim sistemleri için tehlikeli hale gelebilir.

Apple cihazları ya da Google ChromeBook kullanın. Çünkü bunlar büyük ihtimalle Zeus’a karşı dayanıklılar.

Diğer bir koruyucu adım ise sadece bankacılık işleri için bir tane bilgisayar kullanmak. Bu bilgisayar üzerinde anlık mesajlaşma yapmayacaksınız, e-posta kontrol etmeyeceksiniz vs. Bu bilgisayar sadece bankacılık işleriniz için kullanılacak. Bunları yaptığınız sürece büyük ihtimalle Zeus’tan uzak kalmış olacaksınız.

Kaynak: http://www.esecurityplanet.com/hackers/zeus-still-wants-your-wallet-.html

Çeviri: Serdar Baraklı

Alışılmış phishing yöntemlerinde phishingi yapan kişi; bir bankanın, sosyal ağın, ihale sitesinin ya da ödeme işlemleri için kullanılan sitelerin taklidini yaparak kurbanlarını avlar. Kullanıcılara karşı yapılan bu girişimde hacker, e-posta ya da anlık mesajlaşma servisleri aracılığıyla zararlı web sitesine ait bir link gönderir. Ama Mozilla Firefox ve Google Chrome gibi gelişmiş tarayıcılar, bu tür phishing saldırılarını tespit etmede oldukça iyiler. Açılan sitenin phishing amaçlı oluşturulduğunu kullanıcılarına anında bildirirler.

Hackerlar ise web tarayıcılarda yer alan bu anti-phishing korumalarına karşılık yeni bir yöntem geliştirdiler. E-postaya HTML ataçlama yaparak bu yöntem işliyor. Bu yöntemle phishing sitesine ait HTTP GET istekleri önlenmiş oluyor. Böylece tarayıcının siteyi bloklaması engelinden kurtulmuş olunuyor.

Bilgisayara indirilen ve orada tutulan HTML ataçı, tarayıcıda uyarı verilmeden rahatlıkla açılabiliyor.

Kurban, bilgilerini yazıp “Agree and Submit” butonuna tıkladığında, açılmış olan HTML form, çalınan bilgileri POST isteğiyle; hacklenmiş ancak önceden yasal veya resmi yani güvenli olarak bilinen web serverlarındaki PHP scripte gönderiyor. (Bu konudaki güvenli olarak düşündüğümüz site Fritolay.com)

Genellikle çalınan bilgiler, hacklenmiş web serverındaki PHP dosyasına gönderilir. (Not: Yukarıdaki resimde adresi blurlanan php dosyası sonradan incelenerek zararlı olduğundan dolayı silinmiş.)

Hackerın php scripti, kurban tarafından bilgilerin girilip onaylanmasının ardından kurbanımızı Paypal’ın ana sayfasına yönlendiriyor. Çalınan bilgiler, hackerın ilgili serverına POST isteği şeklinde gönderilirken Google Chrome ve Mozilla Firefox herhangi bir zararlı aktivite tespit edememiş. Bazı anti phishing programları da aynı şekilde hiçbir uyarı veremedi. Yani bu yöntem oldukça etkili. Mantıken tarayıcıların POST isteği gönderilen bağlantıyı tespit etmesi gereklidir. Peki neden bu phishing tekniğinin tespit edilmesi zordur. İşte nedenleri:

1. Zararlı olarak raporlanan PHP bağlantıların sayısı azdır. Çünkü sıradan kullanıcılar herhangi bir bağlantıyı rapor edemezler. Çünkü ilgili phishing bağlantısı, HTML kaynak kodu görüntüleyebilecek kadar teknik bilgiye sahip olan kullanıcılar hariç, diğer kullanıcılar için görülebilir değildir.

2. Bağlantıları phishing bağlantısı olarak kesin şekilde damgalamak zordur. Eğer bu bağlantıya eşlik eden HTML form yoksa, phishing sitesinin tespit edilmesi imkansız hale geliyor. Çünkü PHP scriptler server üzerinde çalışır ve onay butonuna tıklandıktan sonra herhangi bir HTML dosyası görüntülenmez.

Son aylarda bu tür phishing olaylarının arttığı görülmüştür. Bu yüzden e-postanızdaki HTML ataçlara karşı dikkatli olmalısınız. Eğer e-posta adresi şüpheli olarak görülüyorsa HTML dosyasını açmayın. Eğer açarsanız HTML formuna önemli bilgilerinizi yazarken uyanık olun.

Kaynak: http://labs.m86security.com/2011/03/phishing-scam-in-an-html-attachment/

Çeviri: Serdar BARAKLI

Geride bırakıyor olduğumuz ilkbahar mevsimi; güvenlik açıklarının ve zaafiyetlerinin üst düzeyde olduğu bir mevsime dönüştü. Adobe programları da, Kaspersky Laboratuvarları’nın bilgisayarlardaki en ünlü 10 güvenlik açığını ortaya koyduğu listede bir çok sırada kendine yer buldu.

Adobe, listede 10 programın arasından 5′ini kaptı. Adobe; Reader/Acrobat ve Flash ile ilk 3′e girerek podyumu kimseye kaptırmadı. Listenin alt taraflarındaysa yine Adobe Shockwave ve başka güvenlik açıklarına sahip Adobe Reader/Acrobat programları yer aldı.

Java ise listede 4. ve 5. yerleri aldı. Onu Apple Quicktime, Winamp ve Microsoft Office izledi. Bu durumda aslında Microsoft’un sevindiği düşünebiliriz; çünkü 2010 yılının listesinin büyük çoğunluğunda Microsoft ürünleri vardı.

Şimdi şu soru akıllara gelebilir; Sony ve PlayStation Network(Geçenlerde hacklenmişti.) bu listede neredeler? Şunu söylemeliyiz ki bu listede olanlar bilgisayarlarda bulunan ve kullanılan programlardır. PSN’ye bilgisayarlar yoluyla bağlanılabiliyor, yani sadece PlayStation 3 konsollarına gerek yok. Web tabanlı bir servis olduğu için bu listede yer almadı.

Kaynak: http://www.zdnet.com/blog/btl/adobe-tops-kaspersky-labs-list-for-top-ten-pc-vulnerabilities/49093
Çeviri: Serdar BARAKLI

Google, şifrelenmemiş Wi-Fi ağlarda, kullanıcıların takvim bilgileri ve irtibat listesindeki bilgiler gibi verilere erişime izin veren güvenlik açığını kapattı.

Google sözcüsü: “Bugün; belirli durumlarda kullanıcıların özel bilgilerine erişilmesine izin veren bir güvenlik açığına karşı önlem alıyoruz. Kullanıcıların herhangi bir çaba sarfetmesine gerek yok. Bir kaç gün içinde sorun tamamen hallolacak.”

Sorunun çözümündeki mantık şöyle: Tüm android tabanlı araçlar Google Calender ve Contacts hizmetlerine HTTPS protokolü üzerinden bağlanacak. Böylece korumasız kablosuz ağlarda eğer bir kişi bu bilgileri elde etmek isterse; bu uygulamalara erişim için gerekli olan ve herhangi bir Android kullanıcısının cihazında geçerli olan güvenlik sertifikasını elde edemeyecek. Android kullanıcılarının bir şey yapmasına gerek yok. Sadece bir kaç gün içinde sorun çözülecek.

Android’in akıllı telefonlar için olan son sürümü 2.3.4 ve tabletler için olan sürüm 3.0′da bu sorun yaşanmıyordu. Ama eğer Android kullanıcılarının %99′unun eski versiyonları kullandığı gerçeğini düşünecek olursak bu kararın ne kadar önemli olduğunu anlamış oluruz.

Bu arada Google, Picasa Web Albümleri’nde de böyle bir sorun olup olmadığını araştırıyor. Çünkü Alman araştırmacılar bu güvenlik açığının burada da olduğunu iddia etmişlerdi.

Kaynak: http://news.cnet.com/8301-27080_3-20064011-245.html
Çeviri: Serdar BARAKLI

MAC Defender programının ortaya çıkışından henüz 2 hafta geçmiş olmasına rağmen yazılım, birçok kullanıcıyı etkiledi. Ardından buna benzer başka bir programın gelmesi de otoriteleri şaşırtmadı zaten.

Bu sefer ise sahte antivirüs yazılımımızın adı Mac Protector. McAfee yetkililerine göre indirilen trojan 2 ek paket içeriyor:

macprotector.pkg (uygulama),
macProtectorInstallerProgramPostflight.pkg (Yazılım yüklendikten sonra Mac Protector programını çalıştıran kod)

MAC Defender programında olduğu gibi uygulamanın yüklenebilmesi için root yetkilendirmesi gerekiyor. Bundan dolayı kullanıcıdan şifre girmesi isteniyor.

“MAC Protector yazılımı çok gelişmiş ve gerçek bir antivirüs yazılımı gibi görünmesi için bir çok kaynak kullanıyor. Birçok resim ve ses dosyasına sahip. Böylece sistem taraması, alarm gibi şeyleri çok güzel taklit ediyor. Mac Protector, sisteminizde sahte bir tarama yapacak. Rootkit ve ajan yazılımlar gibi zararlı programları tespit ettiğini size belirtecek.”

MAC Defender programını taklit edecek yine. Program, internet tarayıcısıyla yetişkin içerikli sitelere girildiğinden dolayı virüs bulaştığına dair kullanıcıyı ikna edecek. Sahte tarama bittiğinde antivirüs programı, bilgisayarın temizlenmesi için programın kayıt edilmesi gerektiğine dair bir uyarı verecek ve kullanıcının bunun için sipariş vermesi gerektiğini belirtip ondan kredi kartı bilgilerini isteyecek.

Bunun bir dolandırıcılık olduğunu anlayanların işi kolay. Uygulama klasöründen MacProtector.App yazılımını silmeleri yeterli. İşte bu esnada uygulama bu hamleyi gerçekleştirmenize izin vermeyecek. Bunun için ilk önce programa ait tüm bileşenleri aktivite panelinden sonralandırmanız gerekiyor. Ondan sonra silmeyi tekrar deneyince başaracaksınız.

Kaynak: http://www.net-security.org/malware_news.php?id=1727
Çeviri: Serdar BARAKLI

Norman güvenlik şirketi araştırmacıları SpyEye Trojanı’nın yeni ortaya çıkan bir versiyonunu tespit ettiler. Üstelik bu zararlı yazılım çevrimiçi banka uygulamalarını hedef alıyor.

SpyEye, geçtiğimiz bir kaç ay içinde gittikçe popüler hale gelen bir zararlı yazılım ve dünyada yüzbinlerce kişiyi mağdur eden Zeus yazılımına benziyor.

Bu programın özelliğine bakacak olursak bir trojan gibi davranıyor. Web tarayıcılarına bulaşıyor ve banka işlemlerini ve sayfaları kendine göre düzenleyerek sosyal güvenlik numaraları, banka giriş bilgileri, kredi kartı bilgileri gibi kişisel bilgileri çalıyor. Hatta işinizi kolaylaştıran, sayfalardaki gerekli boşlukları otomatik olarak doldurmanıza yarayan uygulamalardaki verileri de çalıyor.

Bir bilgisayar kullanıcısı bu yazılımı virüs bulaşmış binlerce ünlü siteden alabilir.

Norman Güvenlik Şirketi’nde Zararlı yazılım tespit yöneticisi olan Einar Oftedal şöyle konuştu: “Norman, şubat ayının başlarında Norveç’teki bir çok banka üzerinde çalıştı. Hackerlar tarafından geliştirilen bir SpyEye versiyonu tespit ettiler. Bu değişik versiyon ayrıca Avrupa ve Asya’daki diğer bankaları da hedef aldı. Yazılım, herhangi bir ülkenin herhangi bir bankasına göre modifiye edilebiliyor. Avrupa ve Kuzey Amerika’daki çevrimiçi banka kullanıcılarının bu tür tehlikelere karşı dikkatli olması gerekiyor.”

SpyEye programının bu özel versiyonu sadece bankanın resmi sitesindeki giriş bölümlerini hedef alıyor. Giriş ve şifre bilgilerini kaydedip, uygulama zaman aşımına uğrayana kadar ki bu süre genellikle 20 saniyedir, hızlı bir şekilde para transferi sağlıyor.

Kaynak: http://www.net-security.org/malware_news.php?id=1659
Çeviri: Serdar BARAKLI

Malware Tespitinde 2. Tercihiniz

Zemana Anti-Malware, bilgisayarınızda bulunan antivirus ve güvenlik duvarı gibi yazılımlara rağmen sisteminize sızmayı başarmış olan virüsler, truva atları gibi zararlı nesneleri silmenize yardımcı olan bir araçtır.

Neden 2. bir programa ihtiyaç var?

Araştırmalar göstermiştir ki; antivirüs programları 100% güvence sağlamamaktadır. Yani bilgisayarınız şu an zararlı bir yazılım içeriyor olabilir.

Tam güvenlik için bir tane koruyucu programa sahip olmak yeterli değildir. Güvende olduğunuzu hissetmeniz için 2. bir güvenlik kaynağınızın olması lazım. Ama çoğu zaman 2. bir yazılım geçerli bir çözüm olamayabiliyor. 2 antivirüs programı bilgisayarınızın performansını düşürüyor ve bazen de çakışmalara bağlı olarak bilgisayarınızda problemler oluşabiliyor.

Zemana Anti-Malware, güvenlik programlarıyla beraber çakışmadan çalışabilecek şekilde tasarlanmış bir yazılım. Kayda değer bir performans düşüklüğü yaşamadan bilgisayarınızı 5 dakikadan az bir sürede taramaktadır. Zemana Anti-Malware’in yüklenmesine gerek de yoktur. Herhangi bir USB bellekten, CD veya DVD’den ya da yerel veya ağdaki bir hard diskten çalıştırılabilmektedir.

Cloud Sistemi

Şüpheli olarak sınıflandırılmış dosyalar için, Zemana Anti-Malware yazılımı bu dosyaların gerçekten de zararlı olup olmadığını onaylamak için Cloud sistemine istek günderir. Cloud sistemi, internet üzerinde birçok bilgisayardan oluşan bir sistemdir. Yazılımınızın gönderdiği isteğe karşı aşağıdaki cevapları gönderir:

-Güvenli
-Zararlı
-Bilinmeyen

Eğer dosya bilinmeyen olarak çıkarsa, Zemana Anti-Malware yazılımı bu dosyayı; 5 tane güvenlik firmasına ait antivirüs yazılımlarının bulunduğu Cloud sistemine yükler. Bu 5 antivirüs programı, dosyayı tarar ve güvenli ya da zararlı olarak bilginize sunar.

Ekran Görüntüleri

30 günlük deneme sürümünü indirin:

32 bit: http://zemana.com/download/Products/AntiLogger/Anti-Malware/Build120/ZemanaAntiMalware.exe
64 bit: http://zemana.com/download/Products/AntiLogger/Anti-Malware/Build120/ZemanaAntiMalware_x64.exe

Kaynak: http://www.zemana.com/Anti-Malware/
Çeviri: Serdar BARAKLI

Google’ın geçen hafta sonu Android tabanlı telefonlardaki zararlı uygulamaların temizlenmesi için çıkarttığı güvenlik aracının trojanlı versiyonu kullanıcıları tehdit ediyor.

Bu trojanlı paket, resmi olmayan Çin kaynaklı bir web sitesinde bulundu. Yani resmi Android Market’i kullananlar için herhangi bir tehlike şu an için bulunmamakta.

Geçen hafta Android Market’te 58 zararlı uygulamanın tespit edilip, 260,000 cihaza yüklenmesinin ardından Google bu uygulamaları marketten silmiş ve aynı zamanda telefonlardan temizlemişti.

Şimdi ise başka bir tehlike karşımızda. Symantec yetkililerine göre, Google’ın telefonlardaki bu zararlı yazılımları tespit edip onları temizleyen uygulaması olan Android Market Güvenlik Aracı, birileri tarafından yeniden düzenlendi ve içine gömülen kod aracılığıyla kullanıcılardan habersiz SMS mesajları göndermekte. Aynı zamanda kullanılan bu kod, Google Code tarafından barındırılan ve Apache altında lisanslanmış bir projeyi aracı olarak kullanarak bu işi gerçekleştiriyor.

Android Market’teki ilk zararlı yazılım “DroidDream” adındaki bir uygulamaydı. Kullanıcı ve ürün bilgilerini kaydetmekle kalmayıp, daha bir çok zararlı kodu telefona yükleyerek daha büyük çapta zararlara neden olabiliyordu.

Kaynak: http://news.cnet.com/8301-1009_3-20041584-83.html
Çeviri: Serdar BARAKLI

1 Kasım 2010 Haberi

Açık kaynak projesi olan Chromium, 2010′un ocak ayında açık bulanları ödüllendirmeye yönelik bir çalışma başlatmıştı. Aylar içerisinde bir çok araştırmacı çeşitli açıklar bulmaları sebebiyle ödüllendirildi. Ödül alanların bir kısmını bu adreste görebilirsiniz. Bunun sonucunda araştırmacılar tarafından çok kaliteli raporlar bildirildi ve tüm bu gayretler, milyonlarca kullanıcısı olan Chromium tarayıcısını daha güvenilir hale getirdi.

1 Kasım 2010 itibariyle, Google’a ait web servislerindeki güvenlik zaafiyetlerinin tespitine yönelik yeni bir ödüllendirme programı başlatıldı. Google zaten çekirdekten birçok araştırmacıya sahip ve bazı güvenilir kaynaklardan da önemli raporlar alıyordu. Google’a katkıda bulunmak isteyen diğer kullanıcılara yönelik bir teşekkür olarak görülen bu ödüllendirme programı, hem bir çok yeni araştırmacının ilgisini çekecek, hem de Google kullanıcılarını daha güvenli halde tutacak.

Yeni başlatılan bu programa ait bazı sorular ve cevapları:

Soru: Google’a ait hangi uygulamalar ödül kapsamında olacak?
Cevap: Önemli kullanıcı bilgilerinin görüntülendiği ve kullanıcı hesaplarının işin içine girdiği herhangi bir Google uygulaması bu ödül kapsamında olabilir. Örnek olarak:

* *.google.com
* *.youtube.com
* *.blogger.com
* *.orkut.com

Şimdilik Android, Picasa, Google Desktop gibi istemci uygulamaları, bu kapsama dahil değiller. Belki ilerde bu kapsama onlar da girebilirler.

Soru: Ne tür açıklar ödül kapsamında?
Cevap: Aslında ödüllendirilecek açıkların kesin bir listesini yapmak zor ama kullanıcı gizliliğini tehdit eden herhangi ciddi bir açık bu ödül kapsamında olacak. Ödüllerin bir çoğu aşağıdaki kategorileri kapsayan açık türleri üzerinde yoğunlaşacak:

* XSS
* XSRF / CSRF
* XSSI
* Yetkilendirme kontrollerinin bypass edilmesi(Örneğin A kullanıcısının, B kullanıcısının özel verilerine ulaşabilmesi)
* Server tabanlı kod çalıştırılması veya kod enjeksiyonu

Aşağıda sıraladığımız açıklar ise tamamen ödül kapsamı dışındadır:

* Google altyapısına karşı yapılacak olan saldırılar
* Sosyal mühendislik ve fiziksel saldırılar
* DoS açıkları
* Web ile ilgili olmayan açıklar, istemci uygulamaları da dahil
* SEO çözümleri için siyah şapkalı hacker teknikleri
* Henüz yeni geliştirilmiş Google özelliklerine ait açıklar

Soru: Bu açıkları kanıtlarken hedef olarak kimleri seçelim?
Cevap: Bu açıkları gösterirken lütfen ya kendi hesabınızı ya da test olarak oluşturduğunuz hesabı kullanın. Asla başkalarının verilerine ulaşmaya çalışmayın.

Soru: Açık buldum. Nasıl rapor edeceğim?
Cevap: İrtibat için gerekli bilgiler bu adreste. Linkte verilen e-posta adresini lütfen Google hizmetlerine ait bir açık bulduğunuz durumda meşgul edin. Hesabınızla ilgili problemleri Google Yardım Merkezine bildirin.

Soru: Ne gibi ödüller kazanabilirim?
Cevap: Minimum ödül 500 Dolar. Eğer oluşturulan özel kurul, açığın özel ve tehlikeli bir açık olduğunu düşünürse ödül 3133 Dolara kadar çıkabilir. Mesela kurul, raporlanan tek bir açığın yol açabileceği bir çok zarara göre ödülü yükseltebilir veya raporlanan bir çok açığın tek bir zarara yol açabileceğini düşünerek ona göre bir ödül düzenlemesi yapabilir.

Bazı araştırmacılar parayı çok da önemsemiyorlar. Onun için de bir yol düşünülmüş. Google, bu araştırmacılara kazandıkları ödülü yardım kuruluşlarına bağışlamaları için bir seçenek sunmuş.

Ödül kazanıp kazanmadığına bakılmaksızın, açıkları raporlayan tüm araştırmacılar Google nezdinde saygı değer olacaklar. Bu yapıcı tutum, yeni bir açık bulanlar sayfasında kayıtlara geçecek. Gelen açık raporları, bu sayfada o açığı bulan kişi ile birlikte adeta ölümsüzleşecek.

Soru: Açığımın ödül kazanıp kazanmadığını nasıl öğreneceğim?
Cevap: Google Güvenlik Takımından gönderdiğiniz e-postaya karşılık durumu özetleyen bir e-posta alacaksınız.

Soru: Ya aynı açığı başka birisi daha bulduysa?
Cevap: Açığı en erken gönderen ödül kapsamında düşünülecek.

Soru: Google geliştiricileri henüz açığı kapatmamışken, elimizdeki açığı ifşa edersek değerlendirme kapsamına girebilir miyiz?
Cevap: Açığı düzeltme amaçlı yapılacak olan girişimler hariç tutularak, yapılacak olan diğer işlemler sonucu açığınız ödül kapsamına alınmayacak.

Soru: Eğer web güvenlik açığı Google tarafından düzeltildikten sonra bu açığı ifşa edersek değerlendirme kapsamına alınabilir miyiz?
Cevap: Elbette. Google her zaman girişimciliği ve açık kaynağı teşvik eder. Ayrıca yukarıda belirttiğimiz gibi güvenlik açıklarını rapor edenler sayfasında da isminiz olacak.

Soru: Nitelikli bir güvenlik açığı olup olmadığına kim karar verecek?
Cevap: Chris Evans, Neel Mehta, Adam Mein, Matt Moore ve Michal Zalewski’nin de içinde bulunduğu Google Güvenlik Takımı’nın üyeleri buna karar verecek.

Bu olay, yarışma gibi bir şey değil. Yani Google, bu ödül programını istediği zaman sonlandırabilir. Ödülün verilip verilmeyeceğine dair son söz Google’a aittir. Bu arada yapacağınız araştırmaların herhangi bir kanunu ihlal etmeyeceğini, size ait olmayan kişisel bir veriyi elde edip kullanmamanız gerektiğini bir daha hatırlatalım.

Kaynak: http://googleonlinesecurity.blogspot.com/2010/11/rewarding-web-application-security.html

Çeviri: Serdar BARAKLI

Facebook, kullanıcılarının güvenliğini sağlamak için dün 3 yeni özellik daha ekledi.

Birincisi, tek kullanımlık parola. Böylece hava alanı, kafeler veya oteller gibi halka açık yerlerde rahat bir şekilde hesabını kullanmak isteyenler için güvenlik sağlanmış oluyor. Eğer o anda facebooka eriştiğiniz bilgisayardan şüphe duyuyorsanız, normal şifrenizin yerine tek kullanımlık şifre facebook tarafından gönderiliyor.

Kullanımı gayet basit. Cep telefonunuzun mesaj kutusuna “otp” yazıp 32665′e gönderiyorsunuz ve anında tek kullanımlık şifreniz cebinizde. Şifrenin geçerliliği 20 dk sonra doluyor. Ama hatırlatmakta fayda var: Bu hizmet şu an için sadece A.B.D sınırları içerisinde kullanılabilmekte.

İkinci güvenlik önlemi ise; açık olan facebook hesabınızı başka bir bilgisayar üzerinden kapatabiliyorsunuz. Şöyle ki, eğer arkadaşınızın cep telefonundan veya bilgisayarından hesabınıza girip de işiniz bittiğinde hesabınızdan çıkmayı unuttuysanız bu özellik çok işinize yarayacak. “Hesap Ayarları”na gidiyorsunuz ve başka bir cihazdan bağlı olup olmadığınızı kontrol ediyorsunuz. Eğer başka bir cihazdan bağlıysanız yönergeyi izleyerek o cihazdaki aktiviteyi sonlandırabiliyorsunuz.

“Hesap Ayarları” kısmından “Hesap Güvenliği”ne tıklayın. Orada aktif olan tüm oturumları göreceksiniz ve üstelik her oturuma ait bilgiler de orada yer alacak. Eğer birilerinin hesabınıza izinsiz olarak eriştiğini düşünüyorsanız, oradan izinsiz olarak oturum açmış kişinin bağlantısını sonlandırabilirsiniz.(resimde görülen “end activity” bölümünden)

Son olarak da bildiğimiz gibi kullanıcılar oturum açtıklarında güvenlik bilgilerinin güncel tutulması gerektiğine dair facebook tarafından düzenli olarak uyarılıyorlar. Eğer hesabınıza erişimi kaybederseniz, bu bilgiler hesabınızın kime ait olduğunu kanıtlamak ve hesabınızı geri almak konusunda facebook yöneticilerinin çok işine yarayacaktır.

Facebook’un uyarmasını beklemeyin, güvenlik bilgilerinizi istediğiniz zaman güncelleyebilirsiniz.

Kaynak: http://blog.facebook.com/blog.php?post=436800707130

Çeviri: Serdar BARAKLI