Güvenlik bakımından yetersiz cihazların hayatımızın her alanında yer almaya başlaması bizleri dijital dünyanın gerçeklerinden uzak bir noktaya taşıyacak.
Nesnelerin interneti teknolojisine sahip cihazlar güvenlik bakımından vasat olan durumunu en az uzmanların öngördüğü ölçüde sürdürmeye devam ediyor. Nihayetinde çoğu sağlayıcı nesnelerin interneti teknolojisine sahip cihazlarla gelen potansiyel tehlikeleri kapsamlı şekilde değerlendirmesi gerektiğini göz ardı ediyor. İnternete bağlı olan ve kod çalıştırabilme özelliği bulunan herhangi bir cihazın kötü amaçlar için kullanılabileceği şüphe götürmez bir gerçek. İnternete bağlı cihazların hızlı bir şekilde yaygınlaşmasıyla kargaşaya doğru hızla yol alıyor olabiliriz. Örneğin, tüm herkesin koruma amaçlı kullandığı kişisel güvenlik kameralarının en büyük DDoS saldırılarının hedefindeki noktalar olması ve bu kapsamda koruma amaçlı kullanılan ekipmanların casusluk için kullanılması dikkat çeken saldırı türleri arasında yer alıyor.
Etrafımızda her geçen gün sayısı artan bu cihazlardaki güvenlik ile ilgili etkenler dijital dünya gerçeklerinden uzak bir noktada bulunuyor. Nesnelerin interneti teknolojisine sahip cihazlar üzerinden gerçekleştirilecek saldırıların kişileri yaralama veya öldürme ihtimali dahi bulunuyor. Bu durum varsayımın ötesinde yaşanabilecek bir gerçek olma niteliği taşıyor. Saldırıların ulaşacağı marjinal noktalar olmasına karşın hiç kimsenin gerekli önlemleri almaması ise en ilginç detayların başında geliyor.
Kalp monitörünüz saldırıya uğrayacak! 
Saldırganlar değişiklik yapılabilir bir yazılımı olan, kablosuz bağlantı desteğine ve internete bağlanma özelliği bulunan neredeyse tüm medikal cihazları çalışamaz duruma getirebileceklerinin uzun zamandır farkındalar. Bilgisayar mühendisleri ve bilgisayar korsanları kalp pilleri, kalp monitörleri, serum cihazları, ilaç dağıtıcıları ve teşhis makineleri gibi her birisi hastanın sağlık durumunu tehdit edebilecek potansiyele sahip cihazları kullanıyor. Cihazların ve yerine getirdikleri işlevlerin kritik olması farklı nitelikteki saldırı türlerinde hedef olma ihtimalini arttırıyor.
Ancak medikal teknoloji sağlayıcılarının güvenlik açıkları ve korsanlar konusunda teknolojiyi kullanan ve kullanımına rehberlik eden kişiler kadar endişe taşımadığını söyleyebiliriz. Uygun altyapıya sahip yeni medikal cihazların geliştirilmesi, test edilmesi ve yetkili kuruluşlar tarafından onaylanması 10 yıla varan zaman alacak olması mevcut altyapının korunmasındaki en önemli etkenler arasında yer alıyor. Dahası medikal cihaz üreticilerinin özellikle en son ve en iyi yazılımı kullanmaya gerekli özeni göstermemesi güvenlik konusunda dikkat çeken detaylar arasında bulunuyor. Geliştirme süreçlerinin yavaşlatılması ve daha eski, daha kararlı yazılım sunulması üreticilerin yaşanılabilecek potansiyel problemleri en aza indirmesini mümkün hale getirebilecek detaylar olarak ön plana çıkıyor.
Alınan tüm bu önlemler medikal cihazların saldırılara karşı korunaklı olmasını mümkün hale getirmiyor. Medikal cihazlarda geride kalan 10 yıl içerisinde büyük bir kısmı siber güvenlik kaynaklı olmak üzere yüzlerce geri çağırmanın yaşanması alınan önlemlerin yetersiz olabileceğini doğruluyor.
Medikal cihazların yavaş ilerleyen geliştirme süreçlerinin ve yasal zorunluluklarla gelen kontrol altyapılarının gerekli işlevleri yerine getiremediği ironisinden bahsedebilmek mümkün. Medikal cihazların yazılım ve kod altyapısının piyasaya sürüldükten sonra önemli ölçüde değişmemesiyle sıkça karşılaşılıyor. Sonuç olarak medikal cihazlar her zaman kullanıldıkları tarihe göre oldukça eski teknolojiler kullanıyor. Hiçbir medikal cihaz siber güvenlik konusundaki en son gelişmelerin avantajından faydalanmıyor. Ayrıca medikal cihazların hedef alındıkları saldırıların büyük bir kısmında yıllar öncesinde bilgisayarların hedef alındığı saldırıların niteliklerinin olması dikkat çekiyor. Medikal cihazlara yönelik yapılan penetrasyon testlerinde, ilk aşama olarak yıllar öncesinde ortalama bir bilgisayarı hedef alan saldırılara benzer niteliklerdeki testler gerçekleştirilmesi kapsamlı testler için belirli bir strateji olmadığını ortaya koyuyor. Medikal cihazların mevcut altyapıda tehdit altında bulunuyor.
Otomobiliniz kontrolden çıkacak
Günümüzde otomobil üreticileri otomobillerin motor, performans ve tasarım özelliklerinin yanında yeni siber özelliklerinin olması konusunda reklama büyük önem veriyor. Siber özelliklerin yeni otomobillerde sunulmasındaki eksikliklerin üreticilere müşteri kaybı olarak dönmesi yeni gelişmelere yönelik adımlarla ilgili süreçler üzerinde düşünmeyi zorunlu kılıyor.
Yeni özelliklerle otomobillerin uzaktan çalıştırılabilmesi, durdurulabilmesi ve çarpma öncesinde sürüşe müdahale edilebilmesi mümkün olabiliyor. Yeni özelliklerle ilgili gelişmeler bir süredir kullanımda olmasına rağmen otomobil üreticilerinin sadece son dönemlerde güvenli konusuna yönelmiş olması dikkat çekiyor. Pek çok uzman teknolojik özelliklere sahip otomobillerin “saldırılara karşı korunaklı” olma noktasından uzak olduğu konusundaki görüşler ortaya koyuyor. Son 30 yıl içerisinde bilgisayar altyapısının daha güvenli hale getirilmesi konusunda pek çok çalışmada hala net bir sonuca ulaşılamamış olması nedeniyle otomobillerdeki güvenlik özelliklerinin gerekli işlevleri yerine getirebilecek nitelikte olduğu düşünülebilir mi?
Otomobil sistemlerinin ne kadar güvenilir olduğu yönündeki sorulara verilen cevaplar mevcut durumun güvenlik ile ilgili altyapılardan çok uzak olduğuna dair önemli işaretler veriyor. Nitekim otomobil endüstrisinde faaliyet gösteren şirketlerin önemli kısmı teknolojik özelliklerin tamamının saldırılara karşı korunaklı olmasının öncelikli hedef olmadığını ifade ediyor. Otomobil sistemlerinde motor ve fren sistemi gibi kritik sistemlerin üst düzey güvenlik noktasına ulaştırılması üreticiler için daha gerçekçi bir hedef olarak ön plana çıkıyor. Otomobildeki ses sisteminin kontrol edilmesinin saldırganlar için öncelikli hedef olmayacağı, kötü amaçlı kişilerin insan hayatını tehlikeye sokabilecek durumlara neden olmasını engel olmanın öncelikli olması gerektiği şüphe götürmez bir gerçek.
Eviniz tek bir düğme ile yerle bir olacak
Hırsızların tüm dikkatinin bağlı ev teknolojileri üzerinde olduğunu söyleyebiliriz. Evinizde bağlı ev teknolojisi varsa evinizdeki herhangi bir cihaz ağ üzerinden veya kablosuz olarak bilgisayar korsanı tarafından kontrol edilebilir. Evinizin giriş kapısı uzaktan açılabilir, alarm sisteminiz devre dışı bırakabilir ve termostat ayarlarınız değiştirilebilir. Ve hatta evinizdeki buzdolabı spam gönderecek şekilde saldırıya uğrayabilir.
Bağlı ev teknolojisinin her geçen gün daha popüler hale gelmesi hırsızlar için yeni fırsat kapılarının ortaya çıkabileceğine dair işaretler veriyor. Tek bir tuş ile pencereyi kırmadan ve giriş kapısını açarak hırsızların içeriye girmesinin mümkün olabileceği günler bizleri bekliyor. Alışılmış hırsızlık yöntemleri ve hırsızlık için kullanılan gereçler çok daha az riskli hale dönüşüyor. Yeni teknolojilere rağmen güvenlik konusunda bağlı ev teknolojilerine güvenmek için henüz erken ve üreticilerin güvenlik altyapısı konusunda çok daha büyük adımlar atmaya hazırlanıyor.
Tatiliniz çalınacak (veya sahte bir tatiliniz olacak)
Tatil planları yaparken görerek beğendiğiniz bir tatil köyüne neredeyse 1 günlük yolculuk ardından yorgun şekilde ulaştığınızı hayal edin. Daha önce anahtarı gönderilen ve hayalinizdeki tatil evinin kapısını açmanızı sağlayacak olan anahtarın sizi kapıda bıraktığını düşünün.
Kapısında kaldığınız tatil evinin bahçesinde bekledikten sonra içeriden çıkan başka birisini gördüğünüzde dolandırıldığınızı anlamanız muhtemel. İnternet üzerinde gördüğünüz ve resmi bir kuruluş gibi size gönderilen formlar, e-postalar ve web sayfaları dolandırılma zincirinizin halkalarını oluşturan detaylar arasında bulunuyor
Bu sahne her gün yüzlerce kişinin başına geliyor. Sahte rezervasyonlar, tatil için yapılan ödemeler ve gerçekmiş gibi görünen prosedürler hayallerinizdeki tatilin hayatınızın en büyük dolandırıcılığına kurban gitmenizdeki parçalar olabilir. Bu nedenle tatil planı yaparken gerçekçi seçenekler üzerinde durmanız gerekiyor.
Uzmanlar tatil konusunda dolandırıcılık kurbanı olmamak adına güvenilir şirketler ile çalışılması ve özellikle kredi kartıyla ödeme yerine para gönderiminde ısrar edilen durumlardan uzak durulması gerektiğini ifade ediyor. Ayrıca kiralanan evin bulunduğu yerin ve istenilen özelliklerde olmasının mümkünse doğrulanması önem taşıyor.
Televizyonunuz fidye için kilitlenecek
Televizyonlar her geçen gün daha akıllı özellikler ile karşımıza çıkıyor. Şu anda satın alınan bir televizyon ile kablolu yayın, Netflix ve YouTube izleyebilmek ve hatta uzaktan kumanda kullanarak internet üzerinden gezinti yapılabiliyor. Akıllı televizyonların büyük ekranlı bir bilgisayar haline gelmesi, bu cihazları kötü amaçlı yazılımların ve saldırganların odak noktası haline getiriyor. Yazılım olarak çalışamaz duruma getirilen ve “kilitleme” olarak ifade edilen durumların akıllı televizyonlarda yaşanması yeni saldırı türlerinin ortaya çıkabileceğine dair işaretler veriyor.
Kötü amaçlı yazılımlara karşı çözümler geliştiren TrendMicro, geçtiğimiz yıl fidye için akıllı televizyonların kilitlendiği konusunda kullanıcıları uyarmıştı. Yazılım aracılığıyla cihaz üzerindeki verilerin şifrelendiği ve şifrelemenin iptal edilmesi için fidyenin istendiği saldırılarda gündelik hayatımızın parçası televizyonlar hedef alınabiliyor. Nitekim 7 binin üzerinde fidyecilik programı olmasına karşın sadece bir tanesinin akıllı televizyonları etkilediği biliniyor. Eski model ve üretimi devam etmeyen tek bir cihaza yönelik olan bu saldırının akıllı televizyonlardaki fidyecilik saldırıları için ilk dalga olduğunu söyleyebilmek mümkün. Kişilerin kullandıkları şirket bilgisayarlarına yapılan fidyecilik saldırılarında ağır kanlı olma yaklaşımının evlerinde kullandıkları cihazlara yönelik saldırılarda daha çabuk davranabileceği gerçeğini göz ardı etmemek gerekiyor.
Cep telefonunuz ifşa edilecek
Veri fidyeciliği saldırılarının berbat olduğunu düşünüyorsanız saldırganların kişisel bilgileri hedef alan yeni saldırı tipiyle bu konuda bir adım daha ileri gittiğini bilmeniz önem taşıyor. Bilgisayar veya mobil cihazlardaki kişisel bilgileri hedef alan ve özel belgelerinizi veya görüşmelerinizi dünyaya ifşa edecek yeni saldırılara hazırlıklı olun. Yaşadığınız ilişkinin özel olduğunu mu düşünüyorsunuz? O halde kişisel bilgi hırsızlığına yönelik saldırılara karşı dikkatli olun. Şirketinizin en gizli bilgilerinin rakipleriniz tarafından bilinmesini istemiyor musunuz? Bunun için daha fazla ödemeniz gerekecek.
Saldırganlar çevrimdışı yedeklerin fidyecilik konusunda fayda sağlayan bir etken olduğunu öğrendiği bilinen bir gerçek. Fakat değerli bilgileri tehdit etmenin, ticareti bir kredi kartı üzerindeki rakamları ele geçirmenin paha biçilmez olduğu aşikar.
Cihazınız diğer kişilere saldıracak
Saldırganlar kötü amaçlarına ulaşabilmek için yüzlerce hatta binlerce kullanıcının cihazlarını botnet aracılığıyla bir araya getirebiliyor. Güvenlik kameraları ve nesnelerin interneti teknolojisine sahip cihazlar spam gönderimi, DDoS saldırılarının gerçekleştirilmesi ve dijital verilerin çalınması için kullanılabiliyor. Saldırganların daha önce belirlenmiş nesnelerin interneti teknolojilerine sahip cihazları bulmada özel olarak geliştirilmiş botları kullanması dikkat çekiyor. 2016 yılında ortaya çıkan Linux tabanlı Mirai adındaki botun kaynak kodlarının Ekim ayında yayınlanmasının ardından pek çok saldırgan tarafından kullanılması bu konudaki örnekler arasında yer alıyor.
Mirai, savunmasız durumdaki nesnelerin interneti teknolojisine sahip cihazlara Telnet üzerinden (TCP port 23) ve zayıf şifre kombinasyonlarını deneyerek (“admin”, “12345”, ”password”) erişim sağlamaya çalışan bir araç olma niteliği taşıyor. Erişimin başarılı olması halinde diğer uzaktan yönetici erişimi yöntemlerinin (SSH, HTTP, vb.) engellenmesi ve hedefe göre komut ve kontrol sunucularına erişimin sağlanması kullanılan botnet yazılımının çalışma altyapısını oluşturuyor. Araştırmacılar milyonlarca cihazın potansiyel olarak savunmasız bir durumda olduğunu ifade ediyor. Kullanıcılar kablosuz bağlantı cihazlarının, kameraların ve hatta buzdolaplarının dahi kendilerine yönelik saldırılar için kullanılabileceği gerçeğini bilmiyor. Ortalama kullanıcılar bazı durumlarda cihazlarındaki takılmaları veya yavaşlıkları fark etmelerine karşın günümüz teknoloji dünyasının nitelikleri bakımından bu durumu normal karşılıyor.
Nesnelerin interneti teknolojisine sahip cihazları hedef alan botlar tıpkı veri fidyeciliği ve e-posta virüsleri gibi kötü amaçlı yazılımların en yeni türü olarak dikkat çekiyor. Yaşanılan problemler her geçen gün ortaya çıkan tablonun çok daha hızlı şekilde vasat bir noktaya ulaşacağına dair işaretler veriyor. 2017 yılında yasal düzenlemeler ve yaptırımlar ile saldırıların önlenmesine çalışılacak olmasına karşın şu anda kullanılan cihazların tehdit altında olduğu gerçeğini göz ardı etmemek gerekiyor.
Biyometrik kimliğiniz satışa çıkarılacak
Parolalar oldukça hızlı bir şekilde günümüz teknoloji dünyasındaki istenmeyen adamı haline gelmeye ve iki aşamalı ve biyometrik doğrulama gibi yöntemler ile değiştirilmeye devam ediyor. Pek çok kullanıcı biyometrik doğrulamanın parolalar için en iyi yöntem olduğunu düşünüyor. Ne de olsa gözünüzdeki retina tabakasının sahte olma ihtimali bulunmuyor. Fakat çoğu kullanıcı biyometrik kimliklerinin dijital dosya olarak saklandığını bilmiyor. Bazı zamanlarda biyometrik kimlikler göründükleri gibi saklanabiliyor. (örneğin, parmak izleriniz göründükleri şekilde saklanabiliyor.) Ara temsil şeklinin kullanıldığı depolama formatları biyometrik kimliklerin saklanmasında yaygın olarak tercih edilen bir yöntem olma niteliği taşıyor. Örneğin, çoğu parmak izi yıldız kümesi şeklinde kodlanarak saklanabiliyor.
Depolanma şekli ne olursa olsun biyometrik kimliğinizin daha sonra doğrulama için erişmek üzere depolandığı bir gerçek. Tıpkı parolalarınızda olduğu gibi korsanlar biyometrik kimliğinizle korunan herhangi bir bilgiye erişebilmek için depolanan bu bilgileri hedef alabilir. Tamamen size özel olan biyometrik kimlik verisi saldırganların en öncelikli kullanımları arasında olacaktır. Retinanızı değiştirebilmeniz mümkün olmayacağından dolayı biyometrik kimlik verinizin çalınması kimliğinizin çalınması anlamına gelir.
Bu tür durumlar 2015 yılında ABD Personel Yönetim Ofisi’nin 5 milyon parmak izinin çalındığı ihlalde olduğu gibi büyük biyometrik veri tabanlarının çalınması halinde önemli problemler teşkil edeceği şüphe götürmez bir gerçek. ABD’de yaşanan ihlal sonrasında bazı kişilerin parmak izinin çalınıp çalınmadığı konusunda bilgi almak için başvuruda bulunması ihlal sonrasındaki çaresizliğin durumunu ortaya koyuyor.
FBI’ın IAFIS (Integrated Automated Fingerprint Identification System) adını taşıyan veri tabanının 70 milyon parmak iziyle dünyanın en büyük biyometrik veritabanı olduğu biliniyor. On binlerce sitenin ve yüzbinlerce bilgisayar bu verilere erişim sağlıyor. IAFIS veri tabanına yetkisiz bir erişim sağlanarak parmak izlerinin çalınması mümkün olabilir mi? Bu söylem her ne kadar mantıklı olmasa da nesnelerin interneti teknolojisine sahip cihazların güvenliğin göz ardı edilmediği yaklaşımlarla gerçekleştiriliyor. Fakat iki aşamalı ve biyometrik doğrulama konusundaki gelişmeler akla gelmeyen girişimlerin ortaya çıkmasına neden oluyor.
Bu nedenle pek çok bilgisayar güvenliği uzmanı tüm biyometrik doğrulama şemalarının tamamen kişiye özel olan bilgiye doğrudan erişim sağlanamaması adına bir diğer doğrulama faktörüyle birleştirilmesi gerektiğini düşünüyor. Söz konusu yapının oluşturulması korsanların biyometrik kimliğinizi ele geçirmiş olsa dahi kafanızın içerisindeki PIN’ı bilmediğinden dolayı sonuç elde edememesini sağlayacak etkenler arasında yer alıyor.
(Çipli) çocuğunuz kaçırılacak
Şimdiye kadar hiçbir ebeveyn çocuğunu GPS takip cihazı ile takip ettiği görülmedi ve duyulmadı. Fakat pek çok kişi evcil hayvanlarını bu yöntem ile takip etmeyi tercih ediyor. Şu anda ne kadar uzak bir fikir olsa da gelecekte ebeveynlerin çocuklarını aynı şekilde takip etme fikrini benimsediğini görebiliriz.
Fakat çocuğunuzu GPS ile takip etmeniz sizinle birlikte istemediğiniz başka kişilerin de çocuğunuzu takip edebilme ihtimalini beraberinde getirecek. Ebeveynlerin çocuklarını takip edebilmesine yönelik teknoloji geliştirecek şirketler ve resmi kurumlar her ne kadar kullanılacak altyapının güvenli olduğunu söyleyecek olmasına karşın tıpkı medikal cihazlarda olduğu gibi ihlaller yaşanacak. Ebeveynlerin çocuklarını takip ederken kullandıkları teknolojiler kötü niyetli kişilere de hizmet edecek.
Tüm bunları önlemek için belki de yapılması gereken şey henüz bu teknoloji altyapısı oluşmadan kullanma fikrini reddetmek.
O veya bu şekilde dünyamızın çok daha bağlı ve güvenlik bakımından zaafiyeti olan çok daha fazla cihazın sunulduğu bir hale geldiği aşikar. Güvenlik uzmanları etrafımızdaki cihazların ele geçirildiği ortamlara doğru sürüklendiğimiz yakın gelecekte eski günlerdeki basit saldırıları arayacağımızı ifade ediyor.
