ISC’den Bilgi Değişimi Girişimi

İnternet üzerindeki isim sunucularının neredeyse yüzde 80’ine yakınında kullanılan BIND (Berkeley Internet Name Domain) yazılımının geliştiricisi olan ve kar amacı gütmeyen bir kuruluş olan Internet Software Consortium, geçen Cuma günü yazılımla ilgili güvenlik açıkları hakkındaki bilgilerin paylaşımı için yeni bir girişim başlattığını duyurdu. Bu girişime katılmak isteyen şirketlerin küçük bir ücret ödemeleri gerekiyor. Alınan ücret ISC tarafından yine kar amacı güdülmeyen bazı işlerde kullanılacak.

ISC’yi böyle bir bilgi değişimi girişimini oluşturmaya iten nedenlerin arasında, geçen hafta Pazartesi günü duyurulan BIND yazılımlarındaki dört güvenlik açığı yer alıyor. BIND yazılımlarındaki güvenlik boşlukları CERT (Computer Emergency Response Team) Koordinasyon Merkezi tarafından duyurulmuştu. Fakat, burada dikkat edilmesi gereken bir nokta var; o da, CERT’in güvenlik tavsiyelerinin herkese açık olması. Yani, CERT’in güvenlik boşlukları hakkında yaptığı açıklamalar, isim sunucularını yürütmekle sorumlu olan yöneticiler ve kurumların haricinde, bu sunuculara saldıran korsanlar tarafından da okunabiliyor. Dolayısıyla, korsanlar buradan elde ettikleri bilgileri saldırılarında kullanabiliyorlar.

Geçtiğimiz günlerde yaşanan olaylar bunu doğruluyor. Network Associates’in COVERT Laboratuarları, geçtiğimiz hafta, CERT’in duyurduğu bazı güvenlik açıklarını kullanarak kendilerine saldırıldığını keşfettiler. Çarşamba günü akşamı, bir korsan, SecurityFocus.com’un Buqtraq posta listesine bu açıkları kullanan exploitleri gönderdi. Bu exploit’i alan liste üyeleri aynı zamanda bir Trojan’a da sahip olmuş oldular. Bu Trojan, Network Associates’e karşı yapılan ‘denial of service’ saldırılarını başlatmak için kullanıldı. Network Associates, saldırıya karşı hızla önlemini aldı. Fakat, bu saldırı, güvenlik amacı ile yapılan tavsiyelerin nasıl hızla korsanlar tarafından kullanılabileceğini gösterdi.

ISC’nin, bu ayın sonunda başlaması beklenen bilgi servisindeki çalışmalar, sadece üye kurumlar ve kişiler arasında yapılacak. Üyelerin aynı zamanda kayıt olmaları ve şifreli e-posta kullanmaları istenecek.

Güvenlik topluluğunun bazı üyeleri bu girişimin çok da iyi bir çözüm olmadığını düşünüyorlar ve BIND’ın açık kalmaya devam etmesinin ve tartışmaların herkese açık yapılmasının güvenliği azaltmayacağını aksine artıracağını belirtiyorlar.