Vulnerability in Windows 7 Local System Administrator Rights Risk Report

Herkese merhaba,

Microsoft Windows 7’nin lansmanıyla birlikte güvenlik konusuna çok daha fazla bütçe ayırdığını ve bu konuda çok fazla mesai harcadıklarını, bundan sonrası içinde birinci önceliğin tartışmasız güvenlik olacağını üzerine basa, basa söylemişti. Hatta, Bill Gates’inde bu konuda sıkı baskısı olduğunu duymuştuk.

Tüm bilgi teknolojileri uzmanları bu konuya sevinmişlerdi… Nede olsa bilgisayar güvenliği önemli ve bu önem birincil elden tüm dünyaya duyuruluyordu. Artık bu konudaki uzmanların ve bilgi deneyimi olan tüm güvenlik elemanlarının değerleri bir kat daha artacaktı. 

Bu gerçekten sevindirici bir haberdi.Nede olsa bundan önceki Windows Vista daha satışa sunulmadan Polonya asıllı bir bayan olan güvenlik uzmanı Joanna Rutkowska tarafından kırılmıştı (en yüksek lokal kullanıcı seviyesini ele geçirmişti) ve bunu  Las Vegas’ta yapılan dünyanın en önemli bilgisayar uzmanlarını buluşturan Black Hat konferansında yapmıştı. Tabiki dünya devi Microsoft bir kadına boyunmu eğecekti? J Hemen açıklama yapıldı; Vista’nın henüz son halini almadığını, ancak yazılım uzmanlarının işletim sistemini en güvenilir şekilde piyasaya sunacacaklarını söylediler… L

Tabi tüm bu gelişmeler bir sonraki işletim sistemi olan Windows 7’ye birer kaynak teşkil ediyor olmalıydı. Gerçekten böylemi olmuştu? Bunun cevabını ileriki satırlarda vermeye çalışıcaz…

Evet, Microsoft her seminerinde ve her fırsatta güvenlik konusuna değiniyor ve bu konuda neler yaptıklarını ballandıra, ballandıra anlatıyorlardı. Meyve veren ağaç taşlanır misali tüm hacker’lar ve hacker cıklar’da bu güvenlik sistemlerini aşmak için bir kat daha fazla mesai yapıyorlardı…

Ancak, güvenlik firmalarının zaman, zaman yayınladıkları raporlarda yada bültenlerde şöyle yazılar çıkıyordu; “İşte Dünyada En Çok Kullanılan 25 Şifre” yada “Bütün Dünya’nın Büyük Bir Kısmı Aşağıdaki 100 Şifreyi Kullanıyor” vb. Bunların ilk 25’i genelde aşağıdaki gibiydi.

1.password

2.123456
3.12345678
4.abc123
5.qwerty
6.monkey
7.letmein
8.dragon
9.111111
10.baseball
11.iloveyou
12.trustno1
13.1234567
14.sunshine
15.master
16.123123
17.welcome
18.shadow
19.ashley
20.football
21.jesus
22.michael
23.ninja
24.mustang
25.password1

Peki bunların ilk 25’i, 100’ü yada 500’ü istatistiksel olarak ortadaysa ve hacker’ların bir sisteme girerken denedikleri ilk 500 şifre bunlar ise işletim sistemi sahibi, mimarı Microsoft güvenlik konusuna şimdiye kadar vermediğimiz maksimum önemi vericez demelerine rağmen halen bu şifrelerin tanımlanmasına neden izin veriyordu? İnsan haklarından dolayımı? Daha özgür bir dünya için çalıştıklarındanmı? Yoksa, hacker’lar bu duruma üzülürler diyemi?

Burada durum böyleyken, bir zamanların meşhur Logon.scr dosyasının CMD.exe ile değiştirilerek ilgili sistemi elegeçirme olayı çok meşhurdu. (Sene sanırım 2006 falandı…)

Sonra Microsoft bununla ilgili bir yama çıkartarak bu işlemi kısmende olsa ortadan kaldırdı. Kısmen diyorum çünki, Windows NT’den sonra gelen Windows 2000 işletim sisteminde aynı olay tekerrür etmişti.!

Nihayet Vista ve Windows7;

Aradan 6 yıl gibi uzun bir süre geçmişti ve malesef Logon.scr yerini yeni mirasçısı Setch.exe dosyasına bırakıvermişti.! Yine CMD.exe ile Setch.exe dosyasını yer değiştirirseniz ilgili makinede bir anda süper kullanıcı (local admin) olabiliyorsunuz.! Peki Microsoft neden ısrarla bu dosyanın bu şekilde değiştirilmesine izin veriyordu? Tüm dünyanın bildiği çok basit bir dosyanın isminin değiştirmesinden kaynaklanan bu risk neden her seferinde işe yarıyordu?

Evet, dostlar bende bu soruların cevabını merak etmiş ama bir türlü bulamamıştım.

Bunun üzerine 30/09/2011 tarihinde secure@microsoft.com mail adresine “Vulnerability in Windows 7 Local System Administrator Rights Risk Report” isimli bir mail gönderdim ve ekinede konula ilgili raporumu ekledim. Raporumda sadece dosya ismi değiştirmeden kaynaklanan riskten değil başka bir, iki güvenlik açığındanda bahsetmiştim.( Raporun Ing. Ve Türkçe dosyalarını aşağıda bulabilirsiniz)

Gönderdiğim mailime konuyla ilgili Microsoft uzmaınından hemen cevap gelmişti ve bence özrü kabahatinden daha büyüktü. Üstüne üstlük birde sözüne dayanak olarak konuyla ilgili bir link eklemişti.

Hi Aziz,

Having unrestricted physical access to a system such as would be required to reboot a system with a different OS CD is something that falls under the 10 Immutable Laws of Security.  This is something that we would not track as a security vulnerability.  The 10 Immutable Laws are available at http://technet.microsoft.com/en-us/library/hh278941.aspx. 

Best Regards,
Nate

İlgili kişiyle bu konu hakkındaki son yazışmamsa aşağıdaki gibiydi ve bunun bir güvenlik açığı olmadığını savunuyordu.!

Hello Aziz,

I agree with you that there are defensive measures that can be taken to protect systems from issues that result from an attacker having physical access, including disk encryption.  That said, the scenario you presented is not something that we would address as a security vulnerability.

Best Regards,
Nate

-----Original Message-----
From: aziz bilgili [mailto:azizbilgili@gmail.com] 
Sent: Saturday, October 01, 2011 2:59 PM
To: Microsoft Security Response Center
Subject: Re: Vulnerability in Windows 7 Local System Administrator Rights Risk Report

Hello again,
I know these laws. Many are absolutely correct.
Reboot  system with a different OS CD. That's right.
I think these types of problems can be partly resolved.
Full disk encriptions and for programs certificate control.
Would not it be closed for long periods of this problem?

Tabiki bu cevaptan sonra malesef söylecek bir şey kalmamıştı…

Evet arkadaşlar, bildiğiniz üzere %100 güvenli bir sistem maalesef yok ve bence hiçbir zaman olmayacak. Ama neden şu ankinden daha güvenlisini kullanmayalım değimli?

Rapor - TR;
https://drive.google.com/file/d/0B6nXVW-8rrrKZEdCS29xbFZLXzA/edit?usp=sharing

Rapor - Ing.; https://drive.google.com/file/d/1pxERCtUzriozksvzu5SXsR13YFmvVHA5jRLQucFltXbDPJoNqzV74TFty8fQ/edit?usp=sharing

Saint.exe;
https://drive.google.com/file/d/0B6nXVW-8rrrKMk5wbms2TEk2T1U/edit?usp=sharing

Saygılarımla,

@ziz BİLGİLİ - 08/01/2014