Üniversite öğrencisi NASA’nın güvenlik açığını buldu: Takdir mektubuyla ödüllendirildi
Zonguldak Bülent Ecevit Üniversitesi (BEUN) Mühendislik Fakültesi Bilgisayar Mühendisliği Kısmı 4. sınıf öğrencisi 22 yaşındaki Nas, NASA sistemlerinde kullanıcıların kendi hesaplarından öbür hesaplara erişim sağlamasına imkan tanıyan zafiyeti tespit etti.
Durumu NASA’ya bildiren, üç aylık süreç boyunca gerekli ek bilgileri sağlayıp NASA Siber Güvenlik takımlarıyla koordineli çalışan Nas, açığın kapatılmasına katkıda bulundu.
Öğrencinin tespit ettiği açığın data ihlali riski taşıdığı belirlenmesi üzerine Nas’a takdir mektubu gönderildi, ismi NASA’nın onur listesine eklendi.
Nas, gazetecilere, yaklaşık 3 yıldır siber güvenlik alanında çalışmalar yürüttüğünü belirterek, tespit ettiği “Account takeover” olarak nitelendirilen bu zafiyetin erişimi olmayan öbür hesaplara erişim sağlamasına imkan tanıdığını anlattı.
Aslında bu açığın “farklı hesabı çalmak” olarak söz edilebileceğine değinen Nas, “‘Zero click’ ismini verdiğimiz bir zafiyet çeşidi var. Bu zafiyet karşı tarafın hiçbir tıklamaya gerek kalmadan hesabının ele geçirilmesi manasına geliyor. Bazen SMS, ziyanlı linkler gelir. Bunlara tıkladığınızda birtakım bilgileriniz çalınır. Mesela bunlar zero click değildir. Bunlar bir tıklamaya gereksinim duyar ancak benim bulduğum zafiyet, karşı tarafın hiçbir tıklamasına gerek kalmadan hesap devralma zafiyetiydi.” diye konuştu.
Nas, bulduğu açığın kritik düzeyde değerlendirildiğini ve NASA’nın bu çeşit durumlarda belli siyaset uyguladığını, kurumun sistemlerinde tespit edilen ve geçerliliği kanıtlanan zafiyetleri bildiren araştırmacıları ödüllendirdiğini tabir etti.
Uzun vakittir bu alanla ilgilendiğini belirten Nas, “NASA’ya bunu bildirdim. Haziran ayında bu raporu gönderdim. NASA bu raporu inceledi ve geçerli bir zafiyet olabileceğine karar verdi. Ben de yaklaşık 3 ay süren süreçte NASA’ya ek bilgiler gönderdim. Kendi istedikleri doğrultusunda çalışmalar yaptım. ‘NASA’nın zafiyet kapatma etabına aslında yardım ettim.’ diyebiliriz. Zafiyeti gönderiyorsunuz, nasıl kapatılacağını anlatıyorsunuz. NASA’da bu yönergeye nazaran şayet nitekim başarılı halde süreç tamamlarsanız onur dokümanı veriyor.” formunda konuştu.
Nas, kelam konusu açığın NASA’nın kullanıcı kayıt sistemiyle ilgili olduğunu ve bulduğu zafiyetin kullanıcıların adres, e-posta, ad-soyad ve telefon numarası üzere hassas datalarına erişebildiğini lisana getirdi.
Bulduğu zafiyetin farklı kullanıcıların hesaplarına erişim sağlayarak bu bilgilerin ele geçirilmesine imkan tanıdığını, bunun da “veri ihlali” kapsamında değerlendirildiğini vurgulayan Nas, vakit zaman kapatıldığı bildirilen açığın tekrar tetiklenebildiğini gördüğünü, bu nedenle farklı metotlar izlenerek zafiyetin büsbütün ortadan kaldırıldığını anlattı.
Nas, bu süreçte üniversitesinin de kendisini tebrik ederek dayanak verdiğini belirterek, “Farklı şirketlerde zafiyetler bulup mükafatlar almıştım. NASA kadar büyük çapta şirket olmamıştı. Maddi açıdan ödül aldığım oldu lakin bu NASA’dan aldığım onur mektubu benim için manevi armağan üzere oldu. Benim hayalimdi ve hayalimi gerçekleştirdim. Çok memnun oldum. Bu alan beşere hakikaten hoş şeyler verebiliyor. Öğrenciyken takdir mektubu almam beni çok memnun etti. Bu alanda ilerlemem için biraz daha teşvik oldu.” değerlendirmesinde bulundu.
Zonguldak BEUN Rektörü Prof. Dr. İsmail Hakkı Özölçer de yaptığı yazılı açıklamada, Yusuf Nas’ın muvaffakiyetinin yalnızca üniversite için değil, ülke ismine da gurur verici olduğunu kaydetti.
Cumhuriyetin birinci üniversitelerinden biri olan Zonguldak BEUN’un bilimsel üretim ve genç yeteneklerin yetişmesi noktasında her geçen gün daha da güçlü adımlar attığını aktaran Özölçer, şunları tabir etti:
Özölçer, gençlerin teknoloji, bilişim ve savunma endüstrisi üzere stratejik alanlarda yetişmesinin ülkenin geleceği açısından büyük ehemmiyet taşıdığına da dikkati çekti.
