Caller ID Spoofing Nedir?

Caller ID spoofing, arayanın telefon numarasını veya kimliğini değiştirme işlemi olarak tanımlanabilir. Bu teknik, arayanın telefon sistemindeki verileri manipüle ederek, başka bir numaradan arıyormuş gibi görünmesini sağlar. Örneğin, bir dolandırıcı, kendisini bir banka temsilcisi olarak tanıtmak için bankanın telefon numarasını gösterebilir. Bu sayede, mağdurlar dolandırıcının isteklerine daha kolay ikna olabilir.

Caller ID Spoofing Nasıl Çalışır?

Caller ID spoofing, genellikle Voice over IP (VoIP) teknolojisi kullanılarak gerçekleştirilir. VoIP, sesli iletişimin internet üzerinden iletilmesini sağlar. Bu sistemlerde, arayan numarasını değiştirmek için kullanılan yazılımlar ve uygulamalar mevcuttur. Dolandırıcılar, bu yazılımları kullanarak sahte bir numara belirleyebilir ve hedeflerine ulaşmak için bu numarayı arayabilir.

Caller ID Spoofing’in Tehditleri

• Finansal Dolandırıcılık: Dolandırıcılar, sahte kimlikleri kullanarak kişisel bilgileri veya finansal verileri çalmaya çalışabilir. Bu, kredi kartı dolandırıcılığı veya kimlik hırsızlığına yol açabilir.
• Güven İhlalleri: Sahte çağrılar, bireylerin ve kuruluşların güvenliğini tehdit eder. Bu durum, kişisel ve kurumsal verilere erişim sağlamak amacıyla kullanılabilir.
• Kişisel Güvenlik: Kötü niyetli kişiler, sahte kimliklerle insanları manipüle ederek dolandırıcılık yapabilir veya daha ciddi suçlar işleyebilir.

Caller ID Spoofing’e Karşı Alınabilecek Önlemler

1. Eğitim ve Farkındalık:
   • Kullanıcıları, caller ID spoofing hakkında bilgilendirin. Sahte aramaları tanıma yeteneklerini geliştirmelerine yardımcı olun.
   • Dolandırıcıların sık kullandığı yöntemler hakkında farkındalık oluşturun.
2. Güvenlik Uygulamaları:
   • Telefonunuza güvenlik uygulamaları yükleyin. Bu uygulamalar, sahte aramaları tespit etmek ve engellemek için tasarlanmıştır.
   • Çağrı engelleme uygulamaları, tanımadığınız numaraları otomatik olarak engelleyebilir.
3. Numara Doğrulama:
   • Önemli aramalar aldığınızda, arayan kişinin kimliğini doğrulayın. Bu, arama sonucunu bekleyerek, numarayı başka bir cihazdan aramakla yapılabilir.
   • Kurumlarla ilgili bilgileri resmi web sitelerinden kontrol edin.
4. Dikkatli Olun:
   • Tanımadığınız numaralardan gelen aramalarda dikkatli olun. Kişisel bilgilerinizi veya finansal verilerinizi asla paylaşmayın.
   • Şüpheli bir durumla karşılaşırsanız, hemen yetkililere bildirin.
5. Telekomünikasyon Sağlayıcıları ile İletişim:
   • Telekomünikasyon sağlayıcıları, caller ID spoofing ile mücadele etmek için çeşitli önlemler alabilir. Şikayetlerinizi iletmekten çekinmeyin.
   • Sağlayıcınızdan, kimlik doğrulama hizmetleri ve sahte aramaları engelleme yöntemleri hakkında bilgi alın.
6. İki Faktörlü Kimlik Doğrulama:
   • Banka veya diğer finansal hizmet sağlayıcıları ile olan hesaplarınızda iki faktörlü kimlik doğrulama (2FA) kullanın. Bu, ek bir güvenlik katmanı sağlar.

Sonuç

Caller ID spoofing, bireyler ve kuruluşlar için ciddi bir tehdit oluşturan bir siber saldırı türüdür. Bu tür saldırılara karşı alınacak önlemler, kullanıcıların güvenliğini artırmakta ve dolandırıcılık riskini azaltmaktadır. Bilinçli bir yaklaşım, caller ID spoofing gibi tehditlerle başa çıkmak için en etkili yöntemlerden biridir. Unutmayın, şüpheli durumlarla karşılaştığınızda her zaman dikkatli olun ve güvenlik önlemlerini ihmal etmeyin.

1. IoT Cihazlarının Güvenlik Tehditleri

IoT cihazlarının maruz kaldığı en yaygın güvenlik tehditleri şunlardır:

• Veri Sızıntısı: IoT cihazları, kişisel ve hassas verileri toplar. Bu verilerin kötü niyetli kişiler tarafından ele geçirilmesi büyük bir tehdit oluşturur.
• Ağ Saldırıları: Cihazlar arasında iletişim sağlamak için kullanılan ağlar, saldırganların hedef alabileceği zayıf noktalardır.
• Yetkisiz Erişim: Zayıf kimlik doğrulama yöntemleri, kötü niyetli kişilerin cihazlara erişimini kolaylaştırır.
• Firmware Açıkları: Cihazların yazılımlarındaki güvenlik açıkları, saldırganların cihazlara sızmasına olanak tanır.

2. Veri Güvenliği Uygulamaları

IoT cihazları için veri güvenliği sağlamak amacıyla bir dizi uygulama ve önlem alınabilir. Bu uygulamalar şunlardır:

2.1. Güçlü Kimlik Doğrulama

Güçlü kimlik doğrulama yöntemleri, IoT cihazlarının ve kullanıcılarının kimliğini güvenli bir şekilde doğrulamak için kullanılmalıdır. İki faktörlü kimlik doğrulama (2FA), biyometrik veriler veya sertifikalar gibi yöntemler, cihazların yalnızca yetkili kullanıcılar tarafından erişilmesini sağlar.

2.2. Veri Şifreleme

Veri şifreleme, IoT cihazlarının ilettiği veya depoladığı verilerin güvenliğini sağlamak için kritik bir adımdır. Hem verinin cihaz üzerinde şifrelenmesi hem de ağ üzerinden iletilirken şifrelenmesi, veri güvenliğini artırır. AES (Advanced Encryption Standard) gibi güçlü şifreleme algoritmaları kullanılabilir.

2.3. Güvenli Firmware Güncellemeleri

IoT cihazlarının yazılımlarındaki güvenlik açıkları, cihazların güncel kalmasıyla minimize edilebilir. Otomatik firmware güncellemeleri, güvenlik açıklarının kapatılması için önemlidir. Bu güncellemelerin güvenli bir şekilde dağıtılması ve kimlik doğrulaması sağlanmalıdır.

2.4. Ağ Güvenliği

IoT cihazları genellikle kablosuz ağlar üzerinden iletişim kurar. Bu nedenle, ağ güvenliği büyük bir öneme sahiptir. Güvenli bir ağ oluşturmak için aşağıdaki adımlar izlenebilir:

• Güçlü Şifreler: Ağınıza erişim için güçlü şifreler kullanarak yetkisiz erişimi önleyin.
• Güvenlik Duvarları: Ağınıza gelen ve giden trafiği kontrol etmek için güvenlik duvarları kullanın.
• Segmentasyon: IoT cihazlarını ayrı bir ağa yerleştirerek, diğer ağlara olan erişimlerini sınırlayın.

2.5. Veri İzleme ve Analiz

IoT cihazlarının topladığı verilerin sürekli izlenmesi, anormal aktivitelerin tespit edilmesine yardımcı olur. Bu amaçla, veri analitiği araçları kullanılabilir. Anomalilerin belirlenmesi, potansiyel saldırıların erken aşamada tespit edilmesini sağlar.

2.6. Güvenli İletişim Protokolleri

IoT cihazlarının veri iletimi sırasında güvenli iletişim protokolleri kullanılmalıdır. MQTT, CoAP ve DTLS gibi protokoller, güvenli veri iletimi sağlamak için tercih edilebilir. Bu protokoller, iletişim sırasında veri bütünlüğünü ve gizliliğini korur.

3. Sonuç

IoT cihazlarının yaygınlaşmasıyla birlikte veri güvenliği, her zamankinden daha önemli hale gelmiştir. Güçlü kimlik doğrulama yöntemleri, veri şifreleme, güvenli firmware güncellemeleri ve ağ güvenliği gibi uygulamalar, IoT cihazlarının veri güvenliğini sağlamak için kritik öneme sahiptir. Bu önlemler, kullanıcıların ve şirketlerin verilerini koruyarak, IoT ekosisteminin güvenli bir şekilde büyümesine katkıda bulunur.

IoT veri güvenliği uygulamalarının dikkate alınması, yalnızca bireysel kullanıcılar için değil, aynı zamanda büyük ölçekli işletmeler için de hayati önem taşımaktadır. IoT cihazlarının güvenliğini sağlamak, gelecekte daha geniş ve karmaşık bir ağ yapısının güvenli bir şekilde işlemesi için gereklidir.

Sertifika Yetkilisi (CA) Nedir?

Sertifika Yetkilisi (CA), dijital sertifikaları imzalayan ve bu sertifikaların geçerliliğini doğrulayan kuruluştur. CA’lar, sertifikayı talep eden kimlik bilgilerini kriptografik anahtarlarla bağlar ve bu sayede varlığın doğruluğunu güvence altına alır. CA’ların kök sertifikaları (Root Certificates), tüm tarayıcılar ve cihazlar tarafından önceden yüklenmiştir ve uluslararası güvenilirlik taşırlar.

SSL Sertifikası Oluşturma Süreci

Gerçek bir üretim ortamında SSL sertifikası almak için izlenen adımlar genellikle şu şekildedir:

1. Certificate Signing Request (CSR) Oluşturma: İlk adımda, bir CSR oluşturulur. CSR oluşturmak, bir çift anahtar (public ve private) oluşturmayı içerir. Public key, sertifika talep eden kuruluş hakkında bilgi içerirken, private key güvenli bir şekilde saklanmalıdır.Dikkat: Private key kaybedilirse veya ele geçirilirse, sertifika çalışmaz hale gelir ve şifreli iletişimler tehlikeye girebilir.
2. CSR’yi Resmi CA’ya Gönderme: Oluşturulan CSR, resmi bir CA’ya gönderilir. CA, kendi root private key’i ile imzalanmış bir sertifika geri döner ve bu sertifika sunucularınıza kurulabilir.

Yerel Root CA Oluşturma

Kendi Root CA’nızı oluşturmak için farklı yöntemler bulunmaktadır. Grafik kullanıcı arayüzünü (GUI) tercih ediyorsanız TinyCA gibi ücretsiz araçları kullanabilirsiniz. Terminal kullanmayı tercih edenler ise basit OpenSSL komutları ile bu işlemi gerçekleştirebilirler.

Root Özel Anahtarını Oluşturma

İlk adımda, Root CA’nız için özel bir anahtar oluşturmanız gerekmektedir:

openssl genrsa -des3 -out root.key 2048

Bu komut, 2048 bit uzunluğunda bir RSA özel anahtarı oluşturur. Güvenliğiniz için bir parola belirlemeniz şiddetle tavsiye edilir.

Root Sertifikasını Oluşturma

Oluşturduğunuz özel anahtarı kullanarak Root CA sertifikasını oluşturun:

openssl req -x509 -new -nodes -key root.key -sha256 -days 7200 -out root.pem

Bu komut, Root CA sertifikanızı 20 yıl (7200 gün) geçerli olacak şekilde oluşturur. Sertifika bilgilerini girerken özellikle Common Name (CN) kısmına dikkat edin, çünkü bu isim CA’nızı tanımlamak için kullanılacaktır.

Root CA’nızı Tarayıcılara ve Sistemlere Ekleme

Oluşturduğunuz Root CA sertifikasını, kullanmak istediğiniz tüm cihazlara ve tarayıcılara eklemeniz gerekmektedir. Bu işlem, sertifikanın güvenilir olarak tanınmasını sağlar.

1. Sistem Sertifika Deposu: Operasyon sisteminizin sertifika deposuna root.pem dosyasını ekleyebilirsiniz.
2. Tarayıcı Sertifika Deposu: Tarayıcınızın ayarlarından sertifikalar bölümüne giderek root.pem dosyasını Authorities sekmesine ekleyin.

Self-Signed Wildcard Sertifikası Oluşturma

Root CA’nızı oluşturduktan sonra, kendi wildcard SSL sertifikanızı oluşturabilirsiniz. Wildcard sertifikalar, bir ana domain ve tüm alt domainler için geçerlidir, bu sayede her alt domain için ayrı sertifika almak zorunda kalmazsınız.

Özel Anahtar ve CSR Oluşturma

Öncelikle, wildcard sertifikanız için özel bir anahtar ve CSR oluşturun:

openssl genrsa -out wildcard.homelab.home.key 2048

Daha sonra, aşağıdaki gibi bir OpenSSL konfigürasyon dosyası (opensslsan.cnf) kullanarak CSR oluşturun:

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no

[req_distinguished_name]
C = TR
ST = Attica
L = Istanbul
O = Wildcard Homelab Inc
OU = IT
CN = *.homelab.home

[v3_req]
keyUsage = keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1 = *.homelab.home

CSR’yi oluşturmak için:

openssl req -new -out wildcard.homelab.home.csr -key wildcard.homelab.home.key -config opensslsan.cnf

Sertifikayı Root CA ile İmzalama

Oluşturduğunuz CSR’yi kendi Root CA’nız ile imzalayarak wildcard sertifikasını elde edin:

openssl x509 -req -in wildcard.homelab.home.csr -CA root.pem -CAkey root.key -CAcreateserial -out wildcard.homelab.home.crt -days 7200 -sha256 -extensions v3_req -extfile opensslsan.cnf

Bu komut, wildcard sertifikasını oluşturur ve Root CA’nız tarafından imzalanmış olur.

Sertifikaların Doğrulanması ve Kullanımı

Oluşturduğunuz sertifikaların doğruluğunu ve güvenilirliğini kontrol etmek için aşağıdaki komutları kullanabilirsiniz:

openssl verify -CAfile root.pem wildcard.homelab.home.crt

Eğer her şey doğruysa, “wildcard.homelab.home.crt: OK” mesajını alırsınız.

Sonuç

Kendi Root CA’nızı ve self-signed SSL sertifikalarınızı oluşturmak, özellikle test ortamları ve iç ağlarda güvenli iletişim sağlamak için mükemmel bir çözümdür. Bu rehberde, adım adım nasıl kendi CA’nızı oluşturacağınızı ve wildcard sertifikalarınızı nasıl düzenleyeceğinizi öğrendiniz. Unutmayın ki, self-signed sertifikalar genel internet kullanımı için uygun değildir ve sadece güvenilir iç ortamlar için kullanılmalıdır.

CVE-2024-9164 kodu ile tanımlanan bu zafiyetin CVSS skoru 10 üzerinden 9.6’dır.

GitLab, yaptığı açıklamada, “GitLab EE’de, 12.5 sürümünden 17.2.9’a kadar olan tüm sürümleri, 17.3 sürümünden 17.3.5’e kadar olan sürümleri ve 17.4 sürümünden 17.4.2’ye kadar olan sürümleri etkileyen bir sorun keşfedildi. Bu sorun, rastgele branches üzerinde pipelines çalıştırmaya olanak tanıyor.” dedi.

Önemli Security Issues

Kalan yedi security issue’dan dördü yüksek, ikisi orta, biri ise düşük şiddette olarak sınıflandırılmıştır:

• CVE-2024-8970 (CVSS skoru: 8.2): Belirli koşullar altında bir saldırganın başka bir kullanıcı olarak bir pipeline tetiklemesine izin vermektedir.
• CVE-2024-8977 (CVSS skoru: 8.2): Product Analytics Dashboard yapılandırılmış ve etkinleştirilmiş GitLab EE örneklerinde SSRF saldırılarına olanak tanımaktadır.
• CVE-2024-9631 (CVSS skoru: 7.5): Çatışmalarla ilgili merge requests’in farklılıklarını görüntüleme sırasında yavaşlamalara neden olmaktadır.
• CVE-2024-6530 (CVSS skoru: 7.3): Yeni bir uygulamayı yetkilendirme sırasında OAuth sayfasında HTML injection’a yol açmaktadır; bu, bir site çapında XSS (Cross-Site Scripting) açığı nedeniyle gerçekleşmektedir.

Kullanıcıların Alması Gereken Önlemler

1. Güncellemeleri Yükleyin: GitLab CE ve EE sürümlerinizi en son güvenlik güncellemeleriyle güncel tutun.
2. Sistem İzleme: Sistemlerinizi sürekli izleyerek güvenlik açıklarını takip edin.
3. Erişim Kontrolleri: Kullanıcı erişimlerini düzenleyerek yetkisiz erişimleri engelleyin.
4. Güvenlik Testleri: Düzenli olarak güvenlik testleri yaparak zayıf noktaları tespit edin.
5. Eğitim ve Farkındalık: Ekip üyelerinizi güvenlik konularında bilgilendirerek, potansiyel tehditlere karşı duyarlı olmalarını sağlayın.

Son olarak, GitLab, son aylarda pipelines ile ilgili birçok güvenlik açığını gündeme getirdi. Geçtiğimiz ay, bir saldırganın pipeline jobs olarak rastgele bir kullanıcı olarak çalıştırmasına olanak tanıyan başka bir kritik açığı (CVE-2024-6678, CVSS skoru: 9.9) ele aldı.

Zafiyetin aktif bir şekilde istismar edildiğine dair herhangi bir kanıt bulunmamakla birlikte, kullanıcıların potansiyel tehditlere karşı korunmak için sistemlerini en son sürüme güncellemeleri önemle tavsiye edilmektedir.