Bilgisayar korsanları toplantıları izliyor

Bir bilgisayar korsanı geçenlerde elindeki telekonferans aletini kullanarak, dünyanın çeşitli yerlerindeki bir düzine konferans odasını ziyaret etti. Bilgisayar korsanları toplantıları izliyor.Bir bilgisayar korsanı geçenlerde elindeki telekonferans aletini kullanarak, dünyanın çeşitli yerlerindeki bir düzine konferans odasını ziyaret etti. Bilgisayar korsanları toplantıları izliyor. Odalardaki kameraları mousela yöneten bilgisayar korsanı, isteseydi avukat-müvekkil arasındaki özel konuşmaları dinleyebilir veya masada bırakılmış önemli bir rapordaki ticari sırları okuyabilirdi. Bu korsan, bilgisayar sistemlerindeki güvenlik açıklarını araştıran Boston merkezli Rapid7 şirketinin baş güvenlik yetkilisi HD Moore'du. Moore'un son tespiti: Video konferans cihazları çoğu kez, korsanların saldırısına açık halde bırakılıyor. Şirketler bilgisayar sistemleri ile çalışanların dizüstü bilgisayarlarının güvenliğini artırmak için her yıl milyarlarca dolar harcıyor. Ancak en sıkı korunan sırların açıkça tartışıldığı video konferans odasını korumayı düşünen şirket sayısı son derece az. Moore bazı önemli girişim sermayesi şirketleri ile hukuk firmalarına, ilaç ve petrol şirketleri ile mahkeme salonlarına kolayca sızdı. Hatta Goldman Sachs'ın yönetim kurulu odasına bile girebildi. Rapid7 Genel Müdürü Mike Tuchen, "Şirketlerin koruma duvarları çökmüş durumda. Bunlar dünyanın ön önemli şirketlerin tepe yönetimlerinin toplandığı yerler. Toplantıların her birinde gizli katılımcılar olabilir" diyor. Video konferans son on yılda, başka her şey gibi internete taşındı. Çoğu şirket, güvenli telefon hatları yerine Skype'ın bir türü olan internete dayalı video konferansı kullanıyor. Wainhouse Research şirketinin hesaplamalarına göre, geçen yılın Temmuz-Eylül döneminde şirketler grup video konferansına 693 milyon dolar harcadı. En çok talep gören cihazlar olan Polycom ve Cisco'nun fiyatı 25 bin dolara kadar çıkabiliyor. Cihazlarda şifreleme, yüksek çözünürlüklü video görüntüsü ve 90 metre ötedeki bir kapının sesini bile alabilen ses kayıt özellikleri var. Ancak yöneticiler bunları şirketin güvenlik duvarı dışında kurup hatalı bir şekilde güvenli olduklarını düşünüyor. Yeni sistemlerde, gelen aramaları otomatik olarak kabul etme özelliği var. Bu sayede ana kullanıcı her gelen çağrı için ayrı ayrı "kabul et" t uşuna basmak z orunda k almıyor. Ancak b u özellik, arayan herkesin doğrudan toplantı odasına erişebilmesini sağlıyor. Konferansa katılanların varlığı, sadece konsoldaki kırmızı bir ışık veya video kameranın sessizce dönmesinden anlaşılıyor. Moore iki ay önce, şirketlerin güvenlik duvarı dışında kalan ve gelen aramaları otomatik olarak kabul edecek şekilde kurulan video konferans sistemlerini internet üzerinden tarayan bir bilgisayar programı yazdı. İki saat içinde, internetin yüzde 3'ünü taradı. Sonuçta hukuk ve petrokimya şirketlerine, petrol rafinerilerine, üniversitelere ve tıp merkezlerine ait, tümüyle açık 5 bin konferans odası buldu. Moore'un taramada bulduğu cihazların markaları arasında Polycom, Cisco, LifeSize ve Sony vardı. Bu markalar video konferans pazarının çoğunu oluşturuyor. Cihazlardaki otomatik cevaplama özelliğinin fabrika ayarı gereği açık olduğu tek marka, satılan birim sayısı açısından video konferans piyasasında lider olan Polycom'du. Polycom sözcüsü Shawn Dainas gönderdiği e-postada, otomatik cevaplama özelliğinin bazı güvenlik öğeleri içerdiğini ve müşterilerin bunu aktive edebileceğini söyledi. Rapid7'den Tuchen, şirketlerin fazla uğraşmamak için video konferans sistemlerini güvenlik duvarı dışında kurduğunu ve böylece, karmaşık ağ kurulumu yapmadan diğer şirketlerden gelen çağrıları da alabildiklerini belirtiyor. Moore güvenlik duvarı dışında kalan bir video konferans cihazının adres defterine girip, orada bulunan ve aslında güvenlik duvarı tarafından korunan şirketlerin cihazlarını da kırabildiğini keşfetti. Yani güvenlik zaafı olan bir şiket aslında güvenli olan şirketlere bile tehdit oluşturuyor. Moore, Goldman Sachs'a bu şekilde girebildiğini söylüyor. Bankanın yönetim kurulu odası Moore'un taramasında görünmemişti ama şirketin video konferans yaptığı bir başka firmanın adres rehberinde, "Goldman Sachs Yönetim Odası" başlıklı bir kayıt vardı. Bu hukuk firmasının adını söylemeyen Moore, "çizgiyi aşmaktan" korktuğu için Goldman Sachs'ın konferans cihazına girmediğini söylüyor. Tuchen, "Bilgisayar kullanmayı 6 yaşındaki bir çocuk bile, evinde bunu deneyebilir" diyor. THE NEW YORK TIMES