Daha güvenli bir web site (2)

GEÇEN haftaki yazımda genel güvenlik önlemlerinden bahsetmiştim. Bugün ise biraz daha teknik bir doküman hazırladım. Devam edecek olan yazı dizisinde “Bilgilerin bulunduğu ortam nasıl daha güvenli bir hale getirilir ve bu ortama yetkisiz kişilerin ulaşılması nasıl engellenir?” gibi sorularının cevaplarını arayacağız.

Günümüzde saldırıları incelediğimizde çoğunlukla 3 alandan gelmektedir. Web siteye yapılan saldırılar, Sosyal Mühendislik saldırıları ve Server’a direkt olarak yapılan saldırılar.

Web siteye yapılan saldırılar nelerdir? Ne gibi önlemler alınmalı?

Web sitelerine yapılan saldırılar incelendiğinde, Hackerların günümüzde çoğunlukla şu açıkları kullanarak saldırıları gerçekleştirmektedir; XSS (Cross-Site-Script), CSRF(Cross-Site-Request-Forgery), Sql Injection, Information Lekage (Bilgi sızdırma) ve diğer zafiyetler (yazı dizisinin devamında ele alınacaktır).

XSS (Cross Site Script) açığı ve engellenmesi hakkında: Günümüzün en tehlikeli açıkların başında gelmektedir. HTML kod tabanlı bir saldırıdır. Saldırı JavaScript kodları ile gerçekleşir. Hacker bu açık ile daha kolay olduğu için çoğunlukla kurbanın oturum (session) bilgilerini çalmayı tercih eder. Bunun dışında bu açık ile kurbanın bilgisayarına virüs, keylogger, trojan benzeri zararlı yazılımlar yükleyebilir. Kullanım alanı, oluşturduğu tehlike gibi oldukça geniştir.

Get ya da Post metodu ile gelen verinin hiçbir kontrole uğramadan ekrana basılması sonucunda oluşur. Saldıran kişi genelde deneme-yanılma yöntemi ile açığı bulur. 

Örnek saldırı; Arama kısmında yapılan sorgu sonucunda kullanıcı site.com/ara.aspx?q=nd  sayfasına yönlendirildi. Arama yapılmak istenen veri eğer hiçbir kontrole uğramadan ekrana yazılmış ise, XSS açığı sistemde oluşur. Hacker bunu anlamak için HTML/JavaScript kodlarının çalışıp çalışmadığı kontrol eder ve site.com/ ara.aspx?q=”>[code] gibi bir sorgu gerçekleştirir.

Açığı fark eden hacker saldırıyı çeşitli yollar izleyerek gerçekleştirebilir; 

- JavaScript kodu ile cookie bilgilerinizi çalmak isteyebilir,

- JavaScript kodu ile bilgisayarınıza zararlı bir yazım indirmek isteyebilir.

Tedbir:

Get ve Post metodu ile gelen veri her zaman Encode işlemine tabi tutulduktan sonra işlenmelidir (veritabanına kaydı, ekrana yazdırma vb.)

Linkte “<,>,%3c,%3e,script” kelimeleri engellenmeli.

Bir dahaki yazımızda diğer güvenlik açıkları hakkında bilgi verip nasıl önlenebileceğini ele alacağız.

NURULLAH DEMİR

[email protected]

07.09.2010

Bilgisayarcılık ayağa düştü(mü?)

İnternet ve teknoloji günümüzün dükkânında en çok revaç bulan ürünlerini teşkil ediyor. Bilgisayar ve internet günlük hayatımızda sohbetlerimizin normal konuları haline geldi. Bir de bilgisayar üzerine eğitim alıyorsanız, internet ve bilgisayar sohbetleri sizin için kaçınılmaz olur.

Yaşadığım sohbetten yola çıkarak toplumumuzdaki bilgisayarcı algısına değinmek istiyorum. Bir sohbette eğitimimin “bilgisayar&bilişim” olduğunu öğrenen bir amca “Artık bilgisayarcılık da ayağa düştü” demişti. Bu cümle çok dikkatimi çekti. Ne kastetmişti amcamız?

Bilgisayarla ilgilenen ve interneti yoğun bir biçimde kullanan veya akşama kadar oyun oynayarak bilgisayarda vakit geçiren insanlara bilgisayarcı diyemeyiz. “Son kullanıcı” olarak, önümüze hazır olarak sunulmuş donanım ve yazılımları kullanmak bizi bilgisayarcı yapmaz. Elektronik ürünlerin, cep telefonlarının elimizde sıkça dolaşması elektronik mühendislerini ayağa düşürmeyeceği gibi, bilgisayarında günlük hayatımızda yoğun olarak kullanılması “bilgisayarcıları” ayağa düşürmez!

Cep telefonunu tamir etmek ayrıdır. Cep telefonunu tasarlayıp üretmek ayrıdır. Bilgisayarların tamir ve bakımını yapmak ayrıdır, bilgisayar teknolojisini kullanarak yeni ürünler tasarlamak ve üretmek ayrıdır. Usta, işçilerden her zaman daha kıymetli olmuştur. Zira, beyin ve düşünce her zaman el emeğinden daha kıymetlidir. Bilgisayarcılığın da elbette düşünceden ve mühendislikten hariç “amele işi” vardır. İşin garip yanı “bilgisayarcı dendiğinde beyin takımının değil, pratik iş takımının anlaşılmasıdır.” (Bu düşüncelerime tasdik eden bir anımı paylaşayım. Bir tanıdık bilgisayarını şikâyet edince “Alet çantam yanımda değil” demiştim. Ertesi gün flash belleğe gerekli yazılımları yükledim ve gittim. Tanıdık soruyor: “Alet çantan hani!” Ben de “Ben inşaat işçisi miyim? Benim alet çantam bu flash bellek ” dedim.) İnternet kafe işletmek de, saatçilik gibi bir meslektir. Oysa, beynimizi kullanarak, bilgisayar teknolojisiyle yeni ürünler sunmak çok kıymettar bir iştir. Ayağa hiçbir zaman düşmez. Üç beş kafadarın okul yıllığı olarak kurduğu Facebook bugün 500 milyon kullanıcıya ulaşmış durumda. Google ve Amazon.com gibi bu konuda birçok örnek var karşımızda. Yemeksepeti.com gibi yerli orijinal projelerimiz de dikkat çekmektedir. Demek ki, orijinal fikirlerin bilgisayar teknolojisi ile insanlara sunulması her zaman kıymetlidir.

Çoğu insanımız, bilgisayarları internete girebileceği, sohbet edebileceği araçlar olarak düşünür. Her işimizin bilgisayarla halledildiği dile getirilse de derinlemesine bunlar düşünülmüş değildir. Veri tabanı ve veri madenciliği kavramından habersiz bir vatandaşın “bilgisayarcılar ayağa düştü” demesi yanlıştır elbette. Günümüzde en zengin şirketler, bilişim şirketleridir. Bilgisayarların üretime yönelik kullanılması çok önemlidir. Kurumsal kaynak planlama yazılımları, müşteri ilişkileri yönetimi yazılımları günümüz işletmelerinin can damarları hükmündedir. Sistemin geneline hitap eden bu tür yazılımların başarısı işletme başarısı ile doğru orantılıdır. İndeed.com, kariyer.net, yenibiris.com gibi kariyer sitelerinde arandığı zaman “Erp Yazılımları Destek Elemanı” gibi bilgisayarların işletme içi çözüm üretmesine yönelik birçok pozisyon görülebilir. Bu açıdan baktığımızda, günümüz teknoloji ürünlerinin önümüze gelmesinde hep bu yazılımların ve bilgisayarcılığın etkileri vardır. Bu pozisyonlar ve işler kıymetli işlerdir. Ama ne yazık ki toplumumuzun bilgisayarcı algısı daha buralara gelmedi. İşin bir diğer yönü; günümüzde “salt bilgisayarcı” olmak çok anlam ifade etmemektedir. Burada amcanın dediğine katılmamız lazım. Zaten günümüzde, bilgisayar ve işletme alanını bir araya getiren bilişim bölümleri ve eğitimleri revaçtadır.

Günümüzde “diplomalı bilgisayarcılar” kadar gönüllü bilgisayarcılar vardır. Keyif aldığı veya toplumda bir yer edinebilmek için bilgisayar bilgisini artıran insan sayısı az değildir. Bir insan en değerli sermayesi olan zamanını, istekle yöneldiği bir iş için kullanırsa neden o alanda ilerleyemesin? Zaten bilgi kaynaklarına erişim günümüzde çok kolaydır. Bu yüzden işi ve diploması bilgisayar olmasa da “bilgisayarcı" geçinen birçok insan bulunmaktadır. Bu çok ilginçtir. İnsanlar, tıp okumadıkları halde tıpçı; mühendislik okumadıkları halde mühendis olmaya çalışmazlar. Ama bilgisayarcılık böyle değildir. Herkesin ilgisini çeken popüler bir daldır. Bu yüzden “diplomasız bilgisayarcı” ve diplomalı ama “vasıfsız bilgisayarcı” çoktur toplumumuzda… Bilgisayarcı kelimesinin altı karışık yani! Okuduğu liseye program satan Bill Gates, Harvard Üniversitesinden ayrılarak eğitimini yarım bırakmıştır. Günümüzde “uzaktan eğitimler” gittikçe popüler hale gelmektedir. Ülkemizde Bilgisayar programcılığından sonra, bilgisayar öğretmenliğinin, onun ardından da bilgisayar mühendisliğinin uzaktan eğitim tarzında açılması düşündürücüdür…

Her ne olursa olsun “Bilgisayarcılık ayağa düştü.” derken bir kez daha düşünmek lazım!

ZÜBEYİR ERGENEKON

07.09.2010

Keçeli Robo videoları

YENİ Asya Bilişim-Teknoloji sayfasının sevimli yüzü “Keçeli Robo” video çalışmaları ile okurlarının karşısına çıkacak...

Yeni Asya Gazetesi Bilişim Sayfası'nın sevimli yüzü “Keçeli Robo” kâinatı okuyacak! 

Her bir videoda kâinatın farklı bir yerinde bulunup (Semavat, dağlar, deniz vs...) bu yerlere hikmet gözlüğüyle baktıracak. Bazen Keçeli Robo'yu uçakta göreceğiz; göklerle , bulutlarla ilgili hikmetli dersleri dinleyeceğiz... Bazen hastanede görüp “Hastalar Risalesinden” hastalığın hikmetlerini öğreneceğiz...

“Kâinattan hâlıkını soran bir robotun müşehadatıdır!..”

07.09.2010

Bediüzzaman Hizmet TIR’ını internetten takip edin!

YENİ ASYA Temsilciler Toplantısında bilgisi verilen ve büyük heyecan uyandıran Bediüzzaman Tanıtım ve Hizmet TIR’ı projesinde son aşamaya gelindi.

17 Eylül’de Edirne’den start vermesi planlanan projede hazırlıklar bitmek üzere. 30 merkezde geceleme yapacak olan tır, 18 mahalde uzun süreli, 12 mahalde de kısa süreli program gerçekleştirecek. http://www.bediuzzamanhizmettir.org/ adresinden hizmet tırını gün gün takip edebilirsiniz. Sitede, hizmet tırının güzergâhı hakkında bilgi alabilir, ilgili fotoğraflara bakabilir ve yorum yapabilirsiniz. Sitede hizmet tırı ile ilgili detaylara da ulaşabilirsiniz.

07.09.2010

Dersleri canlı-interaktif yapmak ve bütün dünyaya hitab etmek mümkün

“EVET mümkün ve hiç de zor değil. Basit bir webkamerası ve bir adet ucuz bir mikrofonla dersleri canlı bir şekilde tv gibi internette yayınlayabilir, seyircilerin soru ve görüşlerini görebilirsiniz..”

Daha önce web üzerinden online risale derslerinin yapılabileceğinden bahsetmiştik ve teknolojiyi hizmet yönünde verimli kullanmak adına internet üzerinden online ders yapma projemiz de var. Çeşitli mekanlarda yapmış olduğumuz dersleri internet üzerinden canlı yayınlayıp, bir tv gibi izleyicilerin dersi izleyip-görüşlerini yazabildiği bir platform oluşturmak mümkün mü ve çok mu zor?

Evet mümkün ve hiç de zor değil. Basit bir webkamerası ve bir adet ucuz bir mikrofonla yaptığınız dersleri canlı bir şekilde tv gibi internette yayınlayabilir, seyircilerin soru ve görüşlerini görebilirsiniz. Üstelik binlerce kişi sizi izleyebilir ve mesaj da yazabilir, siz de ders sonrası mesajlara ve varsa sorulara bakıp, dünyanın heryerinden sizi dinleyenlerin sorularını cevaplandırabilir, dersinizi aynı zamanda interaktif bir canlı sohbete dönüştürebilirsiniz. Hatta ders öncesi sentezhaber gibi birçok sitede reklam ve canlı ders adresleri verebilir, yüzlerce kişinin tek tıklamayla canlı derse bağlanmasını sağlayabilirsiniz.

Peki bu dersleri canlı hale getirme teknik açıdan nasıl oluyor, ondan bahsedelim:

Öncelikle canlı tv oluşturma yöntemi var, bu yöntemle ücretsiz bir şekilde kendinize ait canlı bir tv oluşturuyorsunuz, burada isteyen herkes bu tv’nizden dersi izleyip, yorum yapabiliyor. Bununla ilgili birçok servis var, içlerinden en iyi bulduğumuz “livestream.com” Ehl-i dünya bu servisleri sokağını, izlediği maçı ya da oynadığı oyunları göstermek için kullanılıyor, fakat neden hizmet için kullanılmasın?

Bir diğer yöntemde online konferans yöntemi. Bu yöntemle canlı bir şekilde yine webcam ve mikrofonla online bir sistem üzerinden konferans verebiliyorsunuz, isteyen herkes bu konferansa katılıp sizi dinleyip, yorum yapıp, istediğiniz takdirde konuşabiliyor, hatta webcamıyla canlı bağlantı da yapabiliyor. Fakat bu sistemler birazcık paralı ve sınırlı. İçlerinden en uygun ve iyi bulduğumuz “dimdim.com” Bu sitedeki webinar modülüyle 1000 ve daha fazla kişiye konferans verebiliyorsunuz. Ücreti ise aylık 90 dolar civarı. Aslında kişi sayısı yetmediği zamanlar bu iki sistemi birlikte kullanıp sınırsız bir kitleye ders yapmak da mümkün. Ayrıca dünyanın heryerinde aynı anda yapılan derslerle canlı bağlantı kurup uhuvveti pekiştirmek de cabası...

MUHARREM ÖZEL

07.09.2010

Türkçe yama arşiviniz bu sitede!

BİLGİSAYARLARIN olmazsa olmazıdır programlar. İşinizi görecek programlar olmadıkça bilgisayarın hiçbir önemi kalmaz.

Peki, bu programları kullanmak için illa ki İngilizce mi bilmek gerekiyor? Türkiye’de kullanılan yazılımların yüzde 20’si Türkçe, yüzde 80’i ise İngilizcedir. Türkçe olmayan bir programı kullanmak ya da içinde yoğun olarak metin bulunduran bir oyunu oynamak yabancı dili olmayan veya zayıf olan kullanıcılar için ise çok kolay olmayacaktır.

Bu noktada yardımınıza TurkceYama.com sitesi yetişiyor. Sitede oyunlar ve programlar için çeşitli kategorilerde toplanmış 1400’e yakın Türkçe yama var ve bu yamalara her gün yenileri ekleniyor.

Size düşen TürkçeYama’ları ücretsiz olarak bilgisayarınıza indirip kurarak, kullandığınız programı ya da oynamakta olduğunuz oyunu Türkçeleştirmek. İsterseniz beğenmiş olduğunuz TürkçeYama’yı Facebook’ta paylaşarak arkadaşlarınızın da TürkçeYama sitesinden haberdar olmasını sağlayabilirsiniz.

Sitenin ziyaretçileri tarafından üretilen Türkçe yamalar siteye ekleniyor. Yöneticileri tarafından virüs kontrolü yapıldıktan sonra onaylanan Türkçe yamalar sitede yayınlanmaya başlıyor. Bu yamalara yorum yapabilir ya da yorumlara bakarak indirip indirmemeye karar verebilirsiniz.

Aradığınız Türkçe yamayı bulamadıysanız, sitenin forumuna girerek istekte bulunabilirsiniz.

Eğer sizde program ya da oyun Türkçeleştirmek isterseniz sitenin forum bölümünden konu ile ilgili bilgi alabilir siz de çalışmalarınızı TurkceYama.com’da yayınlayabilirsiniz.

Turkceyama.com 9 yıllık deneyimi ile vazgeçemeyeceğiniz sitelerden biri olmaya hazır. Sık Kullanılanlar’da yer açın.

Emre Merev-Turkceyama.com

07.09.2010