KAHRAMAN MI DOLANDIRICI MI?

20 milyon insanın hayatını kurtarabilir, bankaları milyonlarca dolar zarara uğratabilirler. Bu, ‘hacker’ların yani ‘yeni çağ’ın korsanlarının dünyası.

Onur Erdoğan

İki yıl önce Kiev’de bir bankanın ATM’si para saçmaya başladı. Kimse kartla bir işlem yapmamıştı. Cihaza dokunan bile olmamıştı. O sırada orada bulunanlar paraları toplayıp gitti. Mesele sonradan anlaşıldı, banka ‘hacklenmişti’.

Mısır’da Hüsnü Mübarek’i deviren ayaklanmanın ilk günleriydi. Halk internette örgütleniyor, Tahrir Meydanı’nı dolduruyordu. Mübarek yönetimi dalga dalga gelen devrimi görünce interneti tamamen kesti. Bunun üzerine ‘hacker’ gruplar harekete geçti. Sosyal medyada, dial-up[1] bağlantı yapılabilecek telefon numaraları ve şifreleri paylaştı. Bunlar Mısırlılara telefonla ulaştırıldı. Halk internetine yeniden kavuştu. Sonrası devrim.

Anonymous adlı ‘hacker’ grup eylemlerinde anarşist kültürün sembol figürlerinden biri haline gelen Guy Fawkes’ın maskesiyle ‘anonimleşiyor.’ [GETTY]

Anonymous adlı ‘hacker’ grup eylemlerinde anarşist kültürün sembol figürlerinden biri haline gelen Guy Fawkes’ın maskesiyle ‘anonimleşiyor.’ [GETTY]

‘Hacker’, yani Türk Dil Kurumu tanımıyla ‘bilgisayar korsanlarının’ yapabildikleri bunlardan ibaret değil. Daha neler yapabiliyorlar, neden ve nasıl hacker oluyorlar, kaç tür ‘hacker’ var, ‘hacker’lardan korunmak mümkün mü?

‘Bir anlamı olmalı’

“Bu işi bir amaç uğruna yapmalısınız, yoksa yaptığınız şeyin anlamı kalmıyor. Şu an otursak belki yarım saat içinde 500 site hackleyebiliriz ama bir anlamı olmalı.” Siber âlemde ‘Oruç Reis’ olarak bilinen Ahmet Kotan 20 yaşında. Bilgisayar mühendisliği birinci sınıf öğrencisi. Bilgisayarla dokuz yaşında tanışmış. İlk kez 15 yaşındayken bir siteyi hacklemiş. Gününün yarısı çocukluğundan beri bilgisayar başında geçiyor. “Asosyalleşiyorsunuz, adaptasyon sorunu yaşıyorsunuz. Derslere çalışmıyorsunuz, arkadaşlarla muhabbet edemiyorsunuz, futbol ya da araba konuşuyorlar. Bense gece kod yazıyorsam gündüz algoritmasını düşünüyorum.”

24 yaşındaki ‘Madconfig’ ise “Hazır asker olma duygusu vardır bende. ‘Türk’üm, vatanıma görevim var.’ diye düşünüyorum. ‘Hacker’lığı bu yüzden seçtim.” diyor.

‘Oruç Reis’ ve ‘Madconfig’in çizdiği profil ‘hacker’ların ortak karakteristiğini yansıtıyor. Bilgisayar merakları daha farklı. Sıradan kullanıcı, bir programla kolay ve hızlıca işini görmek istiyorken onlar programın nasıl çalıştığına, alfabesine kafa yoruyor. Bu dili öğrendikten sonra o harflerle başka neler yazılabileceğini düşünüyorlar ve bunu kendilerince bir amaç uğrunda yapıyorlar.

Hackleme sadece internet siteleri ya da bilgisayar ağlarına izinsizce girmek demek değil. Örneğin bir televizyon ya da radyo da hacklenebilir.

Alan Turing, Nazilerin kullandığı “Enigma” adı verilen bu sistemi kırarak 20 milyona yakın insanın hayatını kurtardı. [GETTY]

Alan Turing, Nazilerin kullandığı “Enigma” adı verilen bu sistemi kırarak 20 milyona yakın insanın hayatını kurtardı. [GETTY]

Tarihsel gelişim

O dönem bu adla anılmıyordu ama ses getiren ilk hackleme de radyo frekansları üzerinden yapıldı. Kablosuz telgraf üzerine uzmanlaşan İngiliz mucit ve illüzyonist Nevil Maskelyne, İtalyan elektrik mühendisi Guglielmo Marconi’nin rakibiydi. Marconi 1903’te kendi oluşturduğu sistemin tanıtımını yapmak için bir gösteri düzenledi. İngiltere Cornwall’dan Londra’ya radyo frekanslarıyla bir telgraf çekti. Marconi sisteminin güvenli olduğunu, müdahale edilemeyeceğini savunuyordu. Maskelyne aksini kanıtladı, sistemi kırdı, mesajı değiştirdi. Cornwall’dan Marconi’nin mesajı olarak çıkan telgraf, Londra’ya İtalyan mühendisle dalga geçen bir şiir olarak ulaştı.

Nazi Almanyası’nın gizli yazışmalarını yaptığı Enigma sistemini çözen İngiliz bilim adamı Alan Turing de aslında ‘hacker’ların atası. Turing 1939’da, kırılmaz denilen sistemi kırarak Nazilerin yenilmesinde ve İkinci Dünya Savaşı’nın beklenenden iki-üç yıl önce bitmesinde büyük rol oynadı. Turing bu sayede 20 milyona yakın insanın hayatını kurtardı.[2]

‘Hacker’lığın yayılması kişisel bilgisayar ve internetin yaygınlaşmasıyla mümkün oldu. [GETTY]

‘Hacker’lığın yayılması kişisel bilgisayar ve internetin yaygınlaşmasıyla mümkün oldu. [GETTY]

‘Hack’ İngilizce ‘kesmek, yontmak, doğramak’ fiilinden geliyor. Bugün kullanılan haline 1960’larda evrilmeye başladı. ABD Massachusetts Teknoloji Enstitüsü (MIT-Massachusetts Institute of Technology) öğrencileri arasında karmaşık problemlere parlak, ilham verici çözüm bulmak anlamında kullanılıyordu. Bilgisayar eğitimi alan öğrenciler, enstitüde kullanılan bilgisayarlardaki işletim sistemleri kapalı kaynaklı olduğu için kodlara ancak hackleyerek ulaşabiliyordu. MIT öğrencileri ilk bilgisayar ‘hacker’ları oldu.

1969’da ABD’de AT&T Bell Laboratuvarları açık kaynaklı işletim sistemi UNIX’i geliştirdi. İsteyen, sistemin kodlarına ulaşabiliyordu. Bu ‘hacker’lığın yayılmasında dönüm noktası oldu. Kodlara ulaşabilen ‘hacker’lar alfabeyi çözmeye başladı.

1980’lerin sonu 1990’ların başında kişisel bilgisayar ve internetin yaygınlaşması da artık bugün anladığımız anlamdaki ‘hacker’lığın yayılmasını sağladı.

Aşı

‘Hacker’lığın yaygınlaşması, bilgisayar ağları ve internet güvenliği konusunda bir döngü oluşturdu. ‘Hacker’ bir sisteme girdiği zaman o sistemin sahibi buna karşı bir güvenlik geliştiriyor. ‘Hacker’ bu kez o güvenliği aşmaya çalışıyor. Aşarsa yeni önlem gerekiyor. Bunu hastalıklara karşı aşı geliştirmeye benzetebiliriz. Hacklenen sistem ‘aşılandıkça’ güçleniyor, yeterince güçlüyse ‘hastalığa’ yani saldırılara bağışıklık kazanıyor.

‘Oruç Reis’ örnekle somutlaştırıyor: “Hackleme yöntemlerinden biri, bir siteyi ziyaret edenlerin listesinin tutulduğu ‘access log’a dosya yerleştirmek. Bu yöntemle örneğin bir haber sitesine girip oradaki haberi, fotoğrafı değiştirebiliyordun. Ya da o sitenin bütün ‘script’lerini (komut dosyası, siteyi oluşturan kodlar) çalıp siteyi kopyalayabilirdin. Ama artık bu yöntem tarih oldu. Çünkü yöntemi görünce onu da güvenli hale getirdiler.”

Kiralık ‘hacker’

‘Hacker’lar aslında birer yazılımcı. Başkalarının yaptığı yazılımlarının zayıf noktalarını bulup ona karşı yazılım geliştiriyorlar. Sahip oldukları uzmanlık, bilişim çağında geçer akçe. Girişimciler bundan para kazanmanın yolunu da bulmuş. Hacker’s List (Hacker Listesi) adlı İnternet sitesi ihtiyaç duyanlara profesyonel ‘hacker’ kiralıyor.

Diyelim ki bir sitede hakkınızda olumsuz yorumlar var. Bu yorumların silinmesini istiyorsunuz ama site size olumlu yanıt vermiyor. Hacker’s List’e girip bu konuyla ilgili ihale açıyorsunuz. Fiyat konusunda anlaşırsanız ‘hacker’ siteye girip o yorumları siliyor.

Karmaşık bir program konusunda yardıma ihtiyacınız var. Ya da bir mobil uygulama geliştirmek için destek istiyorsunuz. Siteye girip ‘hacker’ların uzmanlığından yararlanabilirsiniz.

İnternet ve bilgisayar ortamında güçlü silahlara sahip ‘hacker’ların silahlarını nasıl kullandığı kimliklerini belirliyor. [GETTY]

İnternet ve bilgisayar ortamında güçlü silahlara sahip ‘hacker’ların silahlarını nasıl kullandığı kimliklerini belirliyor. [GETTY]

Hizmet bedelleri ihale usulüyle olduğu için fiyat aralığı değişken. Örneğin e-mail ya da Facebook hesabı hacklemek için 10 dolardan başlayıp 300 dolara kadar ihaleler açılıyor. Bir sitenin veri bankasını kopyalamanın rayici 500-2 bin dolar aralığında. Site açılan ihaleden yüzde alarak para kazanıyor.

Tabii taleplerin hepsi masumane değil. Sınav notlarını değiştirmek, trafik cezalarını sildirmek ya da doğrudan bir siteye saldırmak isteyenler de oluyor. Site bu konudaki sorumluluğu tarafların omzuna yüklüyor. “Burası etik ve legal hacklemeler içindir.” kuralına uyulmasını bekliyor. Açılan ihaleleri herkes görebiliyor. Kullanıcılardan kurallara uygun olmayan talepleri siteye bildirmesi isteniyor. Kurallara uyulmazsa ne olacağıysa muamma.

‘Hacker’lar siber âlemde güçlü silahlara sahip. Bu silahı nasıl ve ne amaçla kullandıklarıysa kimliklerini belirliyor.

Beyaz Şapkalılar Siyah Şapkalılara karşı

‘Hacker’ terminolojisinde başlıca dört sınıflandırma var:

Beyaz Şapkalı: Bunlar sistemlere güvenlik testi yapmak, açık bulmak için giriyor. Genelde güvenlik uzmanı olarak çalışıyorlar. Yaptıkları iş yasal.

Siyah Şapkalı: Bu kavram sisteme illegal şekilde, çıkar amacıyla girenler için kullanılıyor. Bir açık bulunca haber vermiyorlar. Açığı veri çalmak, yok etmek ya da değiştirmek için kullanıyorlar. ‘Hacker’ denilince zihinde oluşan olumsuz çağrışımların nedeni onlar.

Ukrayna’nın başkenti Kiev’deki bankayı soyan grup da Siyah Şapkalı ‘hacker’lardan oluşan bir organize suç örgütüydü. Bu grup, ismi açıklanmayan bankanın çalışanlarına Carbanak adlı bir virüs içeren mailler attı. Hedef, yönetici bilgisayarlardan birine ulaşmaktı. Virüs yönetici bilgisayara bulaşınca, kendini otomatik olarak kuran bir program, klavyedeki tuşların hareketlerini kaydetti ve ekran görüntüsü aldı. Böylece ‘hacker’lar çalışanların hangi ekrana neler yazdığını gördü, prosedürü öğrendi. Program bankadaki bilgisayarların uzaktan kontrolünü de mümkün kılıyordu. ‘Hacker’lar bu şekilde, oluşturdukları sahte hesaplara para gönderdi ya da ATM’lerin istedikleri zamanda para saçmasını sağladı. Geriye, doğru zamanda doğru ATM’de olup paraları toplamak kalıyordu.

2013 sonundan bu yana benzer yöntemlerle bankalardan en az 300 milyon dolar para çalındı. En çok kurban Rusya’dan.

Bu organize soygunun şifrelerini çözen ise Beyaz Şapkalı ‘hacker’lar oldu. Rus siber güvenlik şirketi Kaspersky Lab, Kiev’deki olay yaşandığında ülkeye davet edildi. Şirket ‘hacker’ların 30 ülkede 100’den fazla banka ve finans kurumunu bu şekilde soyduklarını ortaya çıkardı. Bu, gelmiş geçmiş en büyük banka soygunlarından biri olarak tarihe geçti.

Gri Şapkalı: Bunlar Beyaz ile Siyah Şapkalıların arasındakiler. Sisteme gayrı meşru şekilde giriyorlar ama buldukları açıkları kişisel çıkar için kullanmıyorlar. Ya tüm dünyaya yayıp diğer ‘hacker’ları bilgilendiriyorlar ya da açığı kapatmak için sistem sahibinden para istiyorlar.

Sistem açığını herhangi bir karşılık talep etmeden kapatanlar da var. ‘Madconfig’ onlardan. Hayvan hakları savunucusu Yaşam Hakkına Saygı Derneği’nin sitesindeki açığı bulmuş ve kapatmış. “Kendileri bile bilmez bunu.” diyor.

Bu kapattığı tek açık değil.

“(Van Valiliği’nin resmi sitesi) ‘van.gov.tr’de de 2006’da bir açık vardı. Açığı buldum ama sitenin kodları güvenlik almama izin vermedi. Ana sayfaya “Açığınızı buldum ama sisteme girip önlem alamadım. Lütfen benimle iletişime geçin.” minvalinde bir mesaj bıraktım. Ulaştılar, açıklarını kapattım.”

Aslında birer yazılımcı olan ‘hacker’lar arasında resmi kurumların düzenlediği yarışmalar düzenleniyor. [GETTY]

Hacktivist: ‘Hack’ ile ‘aktivist’ kelimelerinden türetilen ‘hacktivist’ kavramı, sosyal, ideolojik, dinî ya da siyasi bir mesajı yaymak için teknolojik birikimlerinden yararlanan ‘hacker’lar için kullanılıyor.

2003’te kurulan Anonymous ilk akla gelen örnek. Anonymous Mısır’da halkı ayaklanma sırasında yeniden internetle buluşturan grup. Eylemleri dünya çapında. 2009 seçimlerinde İran, Arap ayaklanmaları sırasında Tunus, Fas, Bahreyn, Ürdün ve Suriye’yi hedef alan eylemler düzenlediler. ABD’deki Occupy (İşgal Et) eylemlerinde ön saftaydılar.

Anonymous’un 2012’den bu yana 400’den fazla şehirde düzenlediği ‘Bir Milyon Maske Yürüyüşü’nün Londra’daki ayağına sol eğilimli RedHack grubu da katılmıştı. [GETTY]

Anonymous’un 2012’den bu yana 400’den fazla şehirde düzenlediği ‘Bir Milyon Maske Yürüyüşü’nün Londra’daki ayağına sol eğilimli RedHack grubu da katılmıştı. [GETTY]

Anonymous hükümetlerin gizli belgelerini sızdıran Wikileaks’e sansür uygulayan ülkelere de saldırdı. PayPal, Visa, Mastercard ve Amazon, kendi sistemleri üzerinden Wikileaks’e bağış yapılmasını engelleyince Anonymous bu şirketleri hackledi.

Hacktivist gruplar Türkiye’de de var. Sol eğilimli RedHack bunlardan. Türk Güvenliği, Uygur Tim, Cyber Warrior Tim, Ayyıldız Tim gibi gruplar ise milliyetçi ve İslâmî kimlikleriyle öne çıkıyor.

Aktivizm çoğu ‘hacker’ için en temel motivasyon kaynağı. Yaptıkları hacklemeleri bir ‘eylem’ olarak görüyorlar.

‘Hacktivistler’ ideolojik, dinî, sosyal ve siyasi görüşleriyle hem siber âlemde hem de gerçek hayatta bir araya geliyor. [GETTY]

‘Hacktivistler’ ideolojik, dinî, sosyal ve siyasi görüşleriyle hem siber âlemde hem de gerçek hayatta bir araya geliyor. [GETTY]

‘Madconfig’ ilk eylemini 2002’de PKK’ya ait ‘pkk.org’ sitesini çökerterek yapmış. 2009’da Bulgaristan’daki Meçhul Türk Askeri anıtı yıkılınca Bulgar sitelerini hacklemiş. 2010’daki Mavi Marmara saldırısının ardından da İsrail sitelerine saldırmış.

‘Oruç Reis’ de Çin’in Uygur Türklerine yönelik politikasını protesto etmek için hükümet sitelerini hacklemiş.

Devletler işin neresinde?

Siber saldırılar artık ülkeler arası savaşlarda da bir silah.

Bir devlete yönelik ilk büyük çaplı saldırının hedefinde Estonya vardı. Sovyetler döneminden kalma bir savaş anıtının kaldırılması ile ilgili Rusya ile anlaşmazlık yaşayan ülkeye 2007’de ‘hacker’lar saldırdı. Bazı hükümet siteleri ve online bankacılık çöktü. Estonya Rusya’yı sorumlu tuttu.

2010’daki İran’a yönelik Stuxnet saldırısı ise çok daha yıkıcıydı. Saldırıda Tahran’ın nükleer programı hedef alındı. Stuxnet kötü amaçlı bir yazılım. İran’ın nükleer santrallerindeki bilgisayarlara bulaştı. Washington merkezli düşünce kuruluşu Institute for Science and International Security’ye (Bilim ve Uluslararası Güvenlik Enstitüsü) göre, motorların aşırı hızlı dönmesine yol açarak santrifüjleri parçaladı. The New York Times gazetesi 2012’de saldırının arkasında ABD ve İsrail’in olduğunu ortaya çıkardı. İsrail basını da saldırının nükleer programda iki yıl gecikmeye yol açtığını yazdı. Stuxnet, gerçek ortamda bir altyapının bu boyutta hasar gördüğü ilk saldırı oldu.

Devletler meselenin ne derece ciddi olduğunun farkında. ABD, siber saldırıları 2011’den bu yana askeri saldırıyla eş tutuyor. Siber güvenlik politikasını ilk kez Estonya saldırısından sonra oluşturan NATO, önlemlerini sürekli güncelliyor.

Türk Silahlı Kuvvetleri bünyesinde de bir Siber Savunma Merkezi var. 2010’dan bu yana siber güvenlik tatbikatları yapılıyor. Siber savunma politikasının çerçevesini Ulusal Siber Güvenlik Stratejisi ve 2013-2014 Eylem Planı çiziyor.

Artık pek çok ülke siber orduya sahip. Bu orduların silahları yazılımlardaki açıklar. Yazılım açığının bir pazarı var. ‘Hacker’lar buldukları açıkları bu pazarda satıyor.

Bilgi güvenliği araştırmacısı Celil Ünüver “Mesela Adobe Reader’da bir açık bulursanız bunun fiyatı 5 bin ila 30 bin dolar arasında. Windows’ta bulduğunuz bir açık 60 bin ila 120 bin dolar. Apple’ın mobil cihazlarında kullandığı IOS işletim sisteminde açık bulursanız 100 bin ila 250 bin dolar arasında satabilirsiniz.” diyor.

Bu pazarın en büyük alıcılarından biri devletler. Hükümetler genelde alışverişi borsadaki gibi ‘broker’ (aracı kurum ya da kişiler) üzerinden yapıyor.

Siber saldırılardan korunmak mümkün mü?

Virüs koruma olarak adlandırılan güvenlik yazılımları bilinen tehlikelere karşı sistemi koruyabilir. Ama yüzde yüz güvenlikten bahsetmek mümkün değil. Zira virüs programının tanımadığı türden yeni bir saldırıya karşı savunmasızsınız.

Alınabilecek bir diğer önlem sistemi sürekli güncel tutmak. Güncelleme dosyalarını gecikmeden yüklemek.

Bireysel anlamda yapılabilecek en iyi şeyse uyanık olmak. Tanınmayan, şüpheli adreslerden gelen linkleri açmamak.

Bilgisayar yüksek mühendisi Gürol Canbek ulusal düzeyde yapılması gerekenin ise yazılımları millîleştirmek olduğunu söylüyor.

“Güvenlik sistemlerinde muadil ürün geliştiren bir ülke olmalıyız. Kendi sistemimizi millî unsurlarla kendimiz geliştirmeli ve yönetmeliyiz. Üçüncü ülkelerin sunucularında bulunan bilgilerimiz emniyette değil.”

‘Hacker’lara karşı alınabilecek önlemler son derece sınırlı. Siber âlemde boşuna “En güvenli sistem fişi çekili sistemdir.” demiyorlar.

[1] Telefon üzerinden, aboneliğe ihtiyaç duyulmadan kurulan internet bağlantısı.

[2] http://www.bbc.com/news/technology-18419691

Grafikli anlatımlar ve interaktif sunumların da yer aldığı, Al Jazeera Türk dergi özel uygulamasını iPad ve iPhone’lardan, Android tabletlerden indirebilirsiniz.

AlJazeera Turk
AlJazeera Turk

Latest posts by AlJazeera Turk (see all)