Yazı TG ekibinden Scorp'a aittir.
Bu yazımızda teknik bilgiden daha çok bilgi güvenliğinin en çok tartışılan terimleri hakkında bilgi vereceğiz. Burada amacımız kendi tecrübelerimize dayanarak, bazı yanlış bilinen tanımların doğrularını açıklamaya çalışmak. Tanımların tamamı bize aittir fakat, bu tanımlamaları yaparken, aynı zamanda dünyadaki emsallerini de göz önünde bulunduracağız. Yani tamamı fikir olmayacak, kabul edilmiş tanımlamalar da olacaktır.
Hack nedir?
Hack bir sistemin veya bir elektronik cihazın, yapımcısı tarafından konulmuş işleyiş kurallarının dışına çıkabilmektir. Yani hack sadece bir sisteme izinsiz sızmak değildir. Bir sistemi, cihazı amacının dışında kullanılabilir hale getirmek de hack'tir (örneğin radyodan telsiz yapmak).
Hacker nedir?
Yukarıdaki tanımı gerçekleştiren kişiye hacker denir. Bu kişinin o alanda çok uzman veya istediği her cihazı kontrol edebilen birisi olması gerekmez. Bir kola makinasından bedava kola alabilen kişi, o kola makinasını hack'leyen kişidir. Halk arasında ise bilgisayarlara sızabilen kişiye denir.
Günümüzde hem beyaz şapkalılar dünyasında, hem underground camiada hacker denilince, her sisteme her istediğini yapabilen üstad gibi anlaşılmaktadır. Bu şekilde anlaşılması yanlış değildir. Aslında dilimizin bir etkisidir. Nasıl "adam" tek başına sıradan bir kelimeyken "adamlık" dendiğinde bambaşka bir mana çıkıyorsa bu da zaman içerisinde öyle bir anlam kazanmıştır.
Bizce hacker; bir sisteme eğlenmek için, merakından veya ideolojik bir sebeple, varını yoğunu, gecesini gündüzünü ortaya koyarak, kendi bilgisi dahilinde sızmaya çalışan kişidir. Bu işten pek çok zaman bir çıkarı olmaz, ancak girdikten sonraki o başarı hissi, başka hiçbir şeye değişilmez. Bu tipler, gerçek hayatlarında maddi zorluklar yaşadıklarında(ki genelde yaşarlar) hevesleri azalır. Bazıları bu işi bırakır, bazılarıysa bu işten o kadar zevk alıyodur ki imkan buldukça hala zaman zaman hack yapar.
Lamer nedir?
Yukarıdaki tanımlamalar hakkında bir fikri olan, kendisi bu alanlardan herhangi biri hakkında bilgili olmadığı halde, öyleymiş gibi görünen kişilere denir. Halk arasında ise kendisini olduğunun çok üstünde bir hack bilgisine sahipmiş gibi göstermeye çalışan kişilere denir.
Script-Kiddie nedir?
Hack konusunda bilgisi vardır. Ancak ezbere bir bilgidir. Mevcut, bulunup yayınlanmış zafiyetleri kullanabilen, ancak olayın mantığını bilmediği için, kendisi zafiyet geliştiremeyen kişiye denir. Ancak bu güzel bir yolda olduğunu gösterir. Çünkü aynı azim ve hevesle yoluna devam eden kişi hackerlık yolunda ilerlemektedir.
Örneğin ben bu işlere ilk başladığımda, ilk 6 ay sadece döküman okudum. Okuduklarımın hiçbirini anlamazdım, ama kafama yerleşirdi ve hazır açıkları kullanmaya çalışırdım. Daha sonra uygulamaya geçtikçe, hem kafamdaki bilgiler birbiriyle yapboz parçası gibi birleşmeye başladı, hem de kendim de denemeler yaparak yeni şeyler keşfetmeye başladım. Yani her hacker, hacker olmadan önce bu aşamadan geçer. Bu aşamada lamerlığa sapmadan sabit bir çizgide kalmak ise gerçekten zordur.
Security Geek nedir?
Bu kelime yabancı bir kelimedir ancak ülkemde örneklerini çokça gördüğüm için ve türkçe bir karşılığı olmasa da Türkiyede çokça karşılığı olduğundan tanımlama gereği duydum. Bu abilerin teknik bilgisi azdır. Ama bu alanda paylaşılmış bütün makaleleri her gün bıkmadan usanmadan ve anlamadan paylaşırlar. Bunları test etmek kolaydır. Sallama bi makale yazıp linkini atın, paylaşıp paylaşmayacaklarını izleyin. Özellikle içine NSA falan yazın. %100 paylaşırlar.
Hackerlığın Alt Dalları
Defacer'lar web uygulamalarının güvenlik açıklarını kullanarak arayüzüne müdahale eden kimselere denir. Yani halk arasında site hackleyen kişidir. Türkiyede bazı kesimler defacerlığın hack olmadığını söylerler. Ancak defacer da çalışan bir sisteme sızmaktadır. Ayrıca iş sadece arayüzle bitmez. Bu şekilde kurum/kuruluşun mail sunucusuna, ağına, hatta kişisel bilgisayarlarına bile sızma imkanı doğabilir. Defacer'lığın hack olmadığını söyleyen kesim hakkında da bilgi verecek olursak; 90 ların sonuyla 2000 lerin başına kadar hack ile uğraşmış çoğu kişi, daha çok network alanına yoğunlaşmıştır. Çünkü o tarihlerde web yeni yeni çıkmıştı. Ancak web üzerinde yapılmış bir hack daha çok ilgi çekmekteydi, çünkü tüm dünya yapılan hacklemeyi gözüyle görüyordu ve bu olay medyanın büyük ilgisini çekiyordu. Network hackerları ilginin biraz 2. planına atılmıştı. Bu sebeple gerçek hackin aslında network hack olduğunu söyleyen kişiler hala oldukça fazladır. He şunu da söylemekte fayda var, ticari mantıkla kurulmuş eğitimci firmalar daha çok network üzerine eğitim verir. Çünkü web hacking hala ülkemizde çok bilindik bir konu değildir. Bu biraz da illegal karşılanmasından ötürüdür.
Bu da daha çok network sistemleri üzerine yoğunlaşmış hacker türüdür. Bu hack dalının en büyük dezavantajı, başlangıç için bi şekilde ağa sızmış olma zorunluluğudur. Gerçi hepsinde bi şekilde sisteme sızıldığından pek de dezavantaj sayılmaz. Ama günümüzde ağ güvenliğini cihazlar ile sağlamak mümkün. Yine de sağlam hacker her durumda kendine bir yol çizer.
Bu abiler daha çok yazılımlarla ilgilenir. Reverse engineering konularında yoğunlaşmışlardır. Yazılımları decode edebilirler, lisansları bypasslayabilirler. Yazılımların güvenlik açıklarını bulabilirler.
Bu tipler yazılımcı olmaları açısından yukarıdaki cracker'lara benzerler. Bunlar farklı olaraksa trojan-rat kodlama ve yedirme uzmanıdırlar.
Bunlar daha çok elektronik seviyesinde hack yapan tiplerdir. En çoksa iletişim cihazlarına yönelik açıklar bulurlar. Baştaki "Ph" tahminime göre phone'dan gelmektedir. Eski tarihlerde sadece telefon sistemleri üzerinde yoğunlaşan hekçilere phreaker derlerdi, ancak şimdi her türlü elektronik cihaza yoğunlaşanlar daha çok phreaker olarak anılır.
Bu alandla çok uğraşan arkadaşınız varsa, sözüne fazla güvenmemenizi tavsiye ederim. Çünkü bu tipler daha çok insanları kandırarak sistemlere sızan tiplerdir. Şifreleri bizzat sahibini kandırarak ele geçirir. Bunu yapmak için pek çok yol ve iletişim cihazı kullanabilir(Telefon, mail, fax, hatta bizzat ortama sızarak gözlemleme). Bu tiplerin çok iyi teknik bilgiye ihtiyacı yoktur, ancak bir şifreyi ele geçirmek için kime ne demeleri gerektiğini bilmeleri gerekir. Bunu yapacak kadar teknik bilgi bu iş için yeterlidir. Sadece bu alanla uğraşan kişilerin hackerlığı tartışılır. Bu yöntemleri sisteme sızmak için teknik bilgilerine ek yardımcı olarak kullananlar ise büyük başarılar elde edebilir. Ülkemde zaten türk firmalarına bi telefon açarak yaptıramayacağınız şey yok. Bizim bizzat başımıza gelmiş mevzudur. Ve o çalışana hiçbir şey olmaz. Hatta "şifrenizi verdim ama bilmiyordum, özür dilerim" bile demezler.
Yazımızı bitirirken bir not daha düşelim,
Ülkemiz hala bilişim alanında ve özellikle hack bilgisi konusunda oldukça cahildir. Piyasada gördüğünüz ballandıra ballandıra anlatılan ve paylaşılan hack haberlerinin çoğu DDOS yöntemi ile networke geçici süreliğine kapatılmış sitelerin haberleridir. Bu yöntemde sisteme sızılmaz, hack değildir. Sadece sistemin kaynakları dışarıdan gönderilen büyük trafiklerle veya uygulama aşırı çalıştırılarak cevap verememesi sağlanır.
Bir de hack, filmlerde izlediğiniz gibi bir şey değildir. Herkesin her zaman her istediğini yapabildiği bir sanal dünya yoktur. Ama alanında çok uzman insanlar da vardır. Eğer bu alana heves ve azimle, öğrenmek için girmek isterseniz, biraz deneyin derim. Bir müddet sonra hevesiniz geçmezse, veya ilk büyük icraatinizde ben artık her yere girebiliyorum havasına girmezseniz, bir zaman sonra gerçekten herkesin tanıyıp saygı duyduğu bir seviyeye gelebilirsiniz. Bu bilgi düzeyinizle de bilgi güvenliği piyasasında pek çok kişiden bir adım önde olursunuz. Ama aksini düşünüyorsanız, bu piyasada para kazanacak kadar veya şekil yapabilecek kadar öğreneyim yeter derseniz, bir gün aynı hızla silinirsiniz.
Bize gelecek olursak;
biz insanların sadece rüyalarında inanabileceği zorlukları aşmaya çalışmaktan zevk alan ve hedeflerini ona göre belirleyen bir grubuz. Ama başarırız, ama başaramayız. Burada önemli olan yılmamak. Zaten bu kafadaysanız bi günden sonra meyvelerini toplamaya başlarsınız.
Sizce hangi tanıma gireriz bilmiyoruz ama hali hazırda Türk Ceza Kanununda "hacker" olarak tanımlanmış vaziyetteyiz.
Bu yazımızda teknik bilgiden daha çok bilgi güvenliğinin en çok tartışılan terimleri hakkında bilgi vereceğiz. Burada amacımız kendi tecrübelerimize dayanarak, bazı yanlış bilinen tanımların doğrularını açıklamaya çalışmak. Tanımların tamamı bize aittir fakat, bu tanımlamaları yaparken, aynı zamanda dünyadaki emsallerini de göz önünde bulunduracağız. Yani tamamı fikir olmayacak, kabul edilmiş tanımlamalar da olacaktır.
Hack nedir?
Hack bir sistemin veya bir elektronik cihazın, yapımcısı tarafından konulmuş işleyiş kurallarının dışına çıkabilmektir. Yani hack sadece bir sisteme izinsiz sızmak değildir. Bir sistemi, cihazı amacının dışında kullanılabilir hale getirmek de hack'tir (örneğin radyodan telsiz yapmak).
Hacker nedir?
Yukarıdaki tanımı gerçekleştiren kişiye hacker denir. Bu kişinin o alanda çok uzman veya istediği her cihazı kontrol edebilen birisi olması gerekmez. Bir kola makinasından bedava kola alabilen kişi, o kola makinasını hack'leyen kişidir. Halk arasında ise bilgisayarlara sızabilen kişiye denir.
Günümüzde hem beyaz şapkalılar dünyasında, hem underground camiada hacker denilince, her sisteme her istediğini yapabilen üstad gibi anlaşılmaktadır. Bu şekilde anlaşılması yanlış değildir. Aslında dilimizin bir etkisidir. Nasıl "adam" tek başına sıradan bir kelimeyken "adamlık" dendiğinde bambaşka bir mana çıkıyorsa bu da zaman içerisinde öyle bir anlam kazanmıştır.
Bizce hacker; bir sisteme eğlenmek için, merakından veya ideolojik bir sebeple, varını yoğunu, gecesini gündüzünü ortaya koyarak, kendi bilgisi dahilinde sızmaya çalışan kişidir. Bu işten pek çok zaman bir çıkarı olmaz, ancak girdikten sonraki o başarı hissi, başka hiçbir şeye değişilmez. Bu tipler, gerçek hayatlarında maddi zorluklar yaşadıklarında(ki genelde yaşarlar) hevesleri azalır. Bazıları bu işi bırakır, bazılarıysa bu işten o kadar zevk alıyodur ki imkan buldukça hala zaman zaman hack yapar.
Lamer nedir?
Yukarıdaki tanımlamalar hakkında bir fikri olan, kendisi bu alanlardan herhangi biri hakkında bilgili olmadığı halde, öyleymiş gibi görünen kişilere denir. Halk arasında ise kendisini olduğunun çok üstünde bir hack bilgisine sahipmiş gibi göstermeye çalışan kişilere denir.
Script-Kiddie nedir?
Hack konusunda bilgisi vardır. Ancak ezbere bir bilgidir. Mevcut, bulunup yayınlanmış zafiyetleri kullanabilen, ancak olayın mantığını bilmediği için, kendisi zafiyet geliştiremeyen kişiye denir. Ancak bu güzel bir yolda olduğunu gösterir. Çünkü aynı azim ve hevesle yoluna devam eden kişi hackerlık yolunda ilerlemektedir.
Örneğin ben bu işlere ilk başladığımda, ilk 6 ay sadece döküman okudum. Okuduklarımın hiçbirini anlamazdım, ama kafama yerleşirdi ve hazır açıkları kullanmaya çalışırdım. Daha sonra uygulamaya geçtikçe, hem kafamdaki bilgiler birbiriyle yapboz parçası gibi birleşmeye başladı, hem de kendim de denemeler yaparak yeni şeyler keşfetmeye başladım. Yani her hacker, hacker olmadan önce bu aşamadan geçer. Bu aşamada lamerlığa sapmadan sabit bir çizgide kalmak ise gerçekten zordur.
Security Geek nedir?
Bu kelime yabancı bir kelimedir ancak ülkemde örneklerini çokça gördüğüm için ve türkçe bir karşılığı olmasa da Türkiyede çokça karşılığı olduğundan tanımlama gereği duydum. Bu abilerin teknik bilgisi azdır. Ama bu alanda paylaşılmış bütün makaleleri her gün bıkmadan usanmadan ve anlamadan paylaşırlar. Bunları test etmek kolaydır. Sallama bi makale yazıp linkini atın, paylaşıp paylaşmayacaklarını izleyin. Özellikle içine NSA falan yazın. %100 paylaşırlar.
Hackerlığın Alt Dalları
- Defacer
Defacer'lar web uygulamalarının güvenlik açıklarını kullanarak arayüzüne müdahale eden kimselere denir. Yani halk arasında site hackleyen kişidir. Türkiyede bazı kesimler defacerlığın hack olmadığını söylerler. Ancak defacer da çalışan bir sisteme sızmaktadır. Ayrıca iş sadece arayüzle bitmez. Bu şekilde kurum/kuruluşun mail sunucusuna, ağına, hatta kişisel bilgisayarlarına bile sızma imkanı doğabilir. Defacer'lığın hack olmadığını söyleyen kesim hakkında da bilgi verecek olursak; 90 ların sonuyla 2000 lerin başına kadar hack ile uğraşmış çoğu kişi, daha çok network alanına yoğunlaşmıştır. Çünkü o tarihlerde web yeni yeni çıkmıştı. Ancak web üzerinde yapılmış bir hack daha çok ilgi çekmekteydi, çünkü tüm dünya yapılan hacklemeyi gözüyle görüyordu ve bu olay medyanın büyük ilgisini çekiyordu. Network hackerları ilginin biraz 2. planına atılmıştı. Bu sebeple gerçek hackin aslında network hack olduğunu söyleyen kişiler hala oldukça fazladır. He şunu da söylemekte fayda var, ticari mantıkla kurulmuş eğitimci firmalar daha çok network üzerine eğitim verir. Çünkü web hacking hala ülkemizde çok bilindik bir konu değildir. Bu biraz da illegal karşılanmasından ötürüdür.
- Network Hacker
Bu da daha çok network sistemleri üzerine yoğunlaşmış hacker türüdür. Bu hack dalının en büyük dezavantajı, başlangıç için bi şekilde ağa sızmış olma zorunluluğudur. Gerçi hepsinde bi şekilde sisteme sızıldığından pek de dezavantaj sayılmaz. Ama günümüzde ağ güvenliğini cihazlar ile sağlamak mümkün. Yine de sağlam hacker her durumda kendine bir yol çizer.
- Cracker
Bu abiler daha çok yazılımlarla ilgilenir. Reverse engineering konularında yoğunlaşmışlardır. Yazılımları decode edebilirler, lisansları bypasslayabilirler. Yazılımların güvenlik açıklarını bulabilirler.
- Trojan-Rat Coder
Bu tipler yazılımcı olmaları açısından yukarıdaki cracker'lara benzerler. Bunlar farklı olaraksa trojan-rat kodlama ve yedirme uzmanıdırlar.
- Phreaker
Bunlar daha çok elektronik seviyesinde hack yapan tiplerdir. En çoksa iletişim cihazlarına yönelik açıklar bulurlar. Baştaki "Ph" tahminime göre phone'dan gelmektedir. Eski tarihlerde sadece telefon sistemleri üzerinde yoğunlaşan hekçilere phreaker derlerdi, ancak şimdi her türlü elektronik cihaza yoğunlaşanlar daha çok phreaker olarak anılır.
- Sosyal Mühendis
Bu alandla çok uğraşan arkadaşınız varsa, sözüne fazla güvenmemenizi tavsiye ederim. Çünkü bu tipler daha çok insanları kandırarak sistemlere sızan tiplerdir. Şifreleri bizzat sahibini kandırarak ele geçirir. Bunu yapmak için pek çok yol ve iletişim cihazı kullanabilir(Telefon, mail, fax, hatta bizzat ortama sızarak gözlemleme). Bu tiplerin çok iyi teknik bilgiye ihtiyacı yoktur, ancak bir şifreyi ele geçirmek için kime ne demeleri gerektiğini bilmeleri gerekir. Bunu yapacak kadar teknik bilgi bu iş için yeterlidir. Sadece bu alanla uğraşan kişilerin hackerlığı tartışılır. Bu yöntemleri sisteme sızmak için teknik bilgilerine ek yardımcı olarak kullananlar ise büyük başarılar elde edebilir. Ülkemde zaten türk firmalarına bi telefon açarak yaptıramayacağınız şey yok. Bizim bizzat başımıza gelmiş mevzudur. Ve o çalışana hiçbir şey olmaz. Hatta "şifrenizi verdim ama bilmiyordum, özür dilerim" bile demezler.
Yazımızı bitirirken bir not daha düşelim,
Ülkemiz hala bilişim alanında ve özellikle hack bilgisi konusunda oldukça cahildir. Piyasada gördüğünüz ballandıra ballandıra anlatılan ve paylaşılan hack haberlerinin çoğu DDOS yöntemi ile networke geçici süreliğine kapatılmış sitelerin haberleridir. Bu yöntemde sisteme sızılmaz, hack değildir. Sadece sistemin kaynakları dışarıdan gönderilen büyük trafiklerle veya uygulama aşırı çalıştırılarak cevap verememesi sağlanır.
Bir de hack, filmlerde izlediğiniz gibi bir şey değildir. Herkesin her zaman her istediğini yapabildiği bir sanal dünya yoktur. Ama alanında çok uzman insanlar da vardır. Eğer bu alana heves ve azimle, öğrenmek için girmek isterseniz, biraz deneyin derim. Bir müddet sonra hevesiniz geçmezse, veya ilk büyük icraatinizde ben artık her yere girebiliyorum havasına girmezseniz, bir zaman sonra gerçekten herkesin tanıyıp saygı duyduğu bir seviyeye gelebilirsiniz. Bu bilgi düzeyinizle de bilgi güvenliği piyasasında pek çok kişiden bir adım önde olursunuz. Ama aksini düşünüyorsanız, bu piyasada para kazanacak kadar veya şekil yapabilecek kadar öğreneyim yeter derseniz, bir gün aynı hızla silinirsiniz.
Bize gelecek olursak;
biz insanların sadece rüyalarında inanabileceği zorlukları aşmaya çalışmaktan zevk alan ve hedeflerini ona göre belirleyen bir grubuz. Ama başarırız, ama başaramayız. Burada önemli olan yılmamak. Zaten bu kafadaysanız bi günden sonra meyvelerini toplamaya başlarsınız.
Sizce hangi tanıma gireriz bilmiyoruz ama hali hazırda Türk Ceza Kanununda "hacker" olarak tanımlanmış vaziyetteyiz.
Bu içeriği görmek için giriş yapın.
