"Mobil uygulamalarla ortam dinlemesi yapılabilir"

Mobil uygulama yüklemeleri sırasında gereken bazı izinlerin, ortam dinlemesine sebep olabileceği belirtildi.

ANKARA (AA) - Mobil uygulama yüklemeleri sırasında gereken bazı izinlerin, ortam dinlemesine sebep olabileceği bildirildi.

AA muhabirinin, yayınladıkları "Siber Güvenlik Raporu" hakkındaki sorularını yanıtlayan Bilişim Hukuku Derneği Başkanı avukat Kürşat Ergün, "Örnek olarak söylüyorum, hava durumunu göstermek için yükleme sırasında lokasyon bilgisini alma izni isteyen herhangi bir hava durumu uygulamasının, kamera ve mikrofona erişim izni istemesi anlamsız" dedi.

 Bilişim dünyasında, işletim sistemine komut gönderen kullanıcı arayüzü olarak adlandırılan "shell" (Kabuk) dosyalarına işaret eden Ergün, kodların içerisine yerleştirilebilecek çok küçük casus yazılımlar sayesinde kullanıcıların telefonuna yönelik dış müdahalelerin olabileceğini ifade etti.

Ergün, şöyle devam etti:

"Herhangi bir mobil uygulama, amacının dışında örneğin kamera ve mikrofon gibi izinleri de istiyorsa bence sorgulamak gerekir 'neden' diye. Mobil uygulamalar, akıllı telefonların artmasıyla büyük bir pazar alanı oluşturarak insanlara hizmet etmekteler. Bu uygulamalar kendilerinin sistemde stabil bir şekilde çalışabilmesi için, yükleme öncesinde yükleyen tarafa birtakım izin isteklerinde bulunur. Bu izinler genel olarak sistem dosyalarına, kameraya, mikrofona, kişi listesine, arama kaydına, mesajlara, fotoğraflara, videolara, müziklere şeklinde listelenmektedir. İndirdiğiniz bir uygulama, bu izinlere neden ihtiyaç duyar?

Shell içerisindeki söz konusu dosyalar, bulunduğu cep telefonu, tablet ya da bilgisayarlar, uzak bir istemci üzerinden yetkisiz erişim için ulaşılabilir hale getirebilir. Sadece bunlar değil aynı zamanda iletişim formlarından, ziyaretçi defterlerinden, profil fotoğrafı yükleme alanlarından, mesaj gönderme sayfalarından sisteme enjekte edilebilir. Bu yazılımlar milyonlarca kişinin 3. kişilerin eline geçmemesi gereken bilgilerini ifşa edebilir. Bu bilgiler, kredi kartı bilgileriyle birlikte paylaşılması rahatsızlık verebilecek özlük bilgileri de olabilir."

- "Şartlar/koşullar okunmuyor"

Kürşat Ergün, insanların çok büyük bölümünün herhangi bir yazılım yüklemeden önce şartlar/koşullar maddelerini okumadığının altını çizdi.

"Birçok kişinin okumadan geçtiği izin sayfalarında bu izinlerin hangi amaçlarla kullanılacağı belirtilmektedir" diyen Ergün, şöyle devam etti:

"Daha basit bir ifadeyle, bu izinler verildikten sonra uygulama, size herhangi bir şekilde soru sormadan izin aldığı alanları, istediği an kullanabilmekte. Mesajlaşma uygulaması için verilen fotoğraf ve mikrofon donanım aygıtlarına erişim, sadece bu amaçla mı kullanılmaktadır? Elbette hayır. Bu izinler verildikten sonra uygulama sahibi, herhangi bir belirteç olmadan sizin telefonunuza hükmedebilir.

Geliştiriciler tarafından uygulama marketlerine yüklenirken, market yöneticileri tarafından talep edilen izinleri almasında herhangi bir sıkıntı bulunmayan uygulamalar, günümüzde rahatlıkla ortam dinlemesi ve günlük hayatın izinsiz bir şekilde takip edilmesinde kullanılmakta. Uygulama sahipleri bu izinleri sadece kendi programlarının düzgün bir şekilde çalışması için almış olsa bile, web ortamındaki atakların mobil uygulamalar için de geçerli olduğunu söyleyebiliriz."

Siber korsanların uygulamaların içerisine sızarak, uygulamanın aldığı tüm izinlere erişebildiğine dikkati çeken Ergün, sözlerini şöyle sürdürdü:

"Basit bir vakit geçirme aracı olarak gördüğünüz ses değiştirme uygulamasının keyifli dakikalar yaşattığı doğru olabilir fakat bu uygulama hacklendiğinde bu faaliyeti gerçekleştiren kişilerin sizden herhangi bir izne ihtiyaç duymadan, uygulamanın açık olmasına dahi gerek kalmadan ortam dinlemesi yapabileceğini biliyor muydunuz? Riskler sadece bununla da sınırlı değil. Böyle bir zararlı faaliyetin gerçekleşmesi durumunda telefonunuzdaki mesajların, yaptığınız sesli ve görüntülü görüşmelerin kopyaları istenen kişilere eş zamanlı olarak ulaştırılabilir, bulunduğunuz konum anlık olarak takip edilebilir, sizden izinsiz olarak aramalar ve mesaj gönderimleri gerçekleştirilebilir."

- "Kamu kurumları da tehdit altında"

"Bir kurumun ağ yapısına ulaşmak, dışardan çok güç olsa da web siteleri üzerinden bir tünel oluşturup içeriden birisi gibi davranabilmeniz mümkün olabilir" görüşünü dile getiren Kürşat Ergün, şunları kaydettti:

"Devlet kurumlarının web sitelerini içerisinde barındıran sunucular ve ağ yapıları, birçok riskli duruma açık bir halde yayın hayatına devam etmekte. İç görüşmeler, bilgi aktarımları, önemli belgelerin saklandığı intranet sunucuları, mail sistemleri, evrak depolama arşivleri gibi dijital ortamda saklanan ama organik olarak internet bağlantısı bulunmayan yapılara erişim, içerideki ağa bağlı herhangi bir bilgisayarı çözümleyerek kaldırılabilir. Bu durum çalıştırılabilecek ve antivirüslere takılmayacak olan bir uygulamayla veya web sitelerin hacklenmesi durumunda proxy olarak kullanılmasıyla çok rahat bir şekilde gerçekleştirilebilir. Türkiye siber saldırıların hedefi halinde. Kurumların bilgi işlem güvenliği teknik personel açığından dolayı tam anlamıyla sağlanamamakta."