Internet'e bağlı sistemler ne kadar güvenli?

Pek çok alanda analog sistemler yerlerini dijital, Internet’e bağlı sistemlere bırakıyor. Evimizdeki lambayı bile akıllı telefonumuzdan kolayca kontrol edebiliyoruz. Bu tip sistemler pek çok açıdan kolaylık sağlasa da yetersiz güvenlik tedbirleri ve güvenlik açıkları gibi sebeplerle pek çok riski de beraberinde getiriyor. 

Geçtiğimiz hafta F-Secure’den güvenlik araştırmacıları Tomi Tuominen ve Timo Hirvonen İsveçli elektronik kilit üreticisi Assa Abloy’un Vision olarak bilinen sistemi için tüm kilitleri açan bir maymuncuk üretmeyi başardı. Araştırmacılar önce elde taşınabilir bir cihazla bir karttın manyetik şeridinden ya da RFID aracılığıyla bilgileri karttan alıyor. Ardından bu bilgiler kullanılarak en üst seviye erişim yetkisine sahip, oteldeki tüm kapıları açabilen bir maymuncuk üretiliyor. Vision kilit sistemi 166 ülkede 42 binden fazla otelde kullanılıyor. Assa Abloy açıkları kapatacak bir yama yayımlasa da her bir kilidin dahili yazılımlarının da tek tek güncellenmesi gerekiyor. Bu nedenle bu açığı hâlâ taşıyan kaç kilit olduğunu bilmek mümkün değil.

Mesele sadece kilit lamba gibi aygıtlar da değil üstelik. InternetWache’den iki güvenlik araştırmacısı, Tim Philipp Schäfers ve Sebastian Neef, Innsbruck Avusturya’da bir teleferiğin yönetim panelininin Internet’ten şifresiz bir şekilde erişime açık olduğunu keşfetti. Panelden teleferiğin hızı, halat gerilimi ve daha pek çok şey kolayca değiştirilebiliyordu. Araştırmacıların durumu yetkililere haber vermesinin ardından teleferik güvenlik denetimleri için kullanıma kapatıldı. 

Her iki sistemdeki açıklar ve ihmallerin can kaybına varabilecek sonuçları olabilirdi. Peki ya kullanmak zorunda olduğumuz Internet’e bağlı diğer sistemlerde durum ne? Mesela Internet’e bağlı çalışan sağlık donanımlarının güvenlik denetimleri ne kadar yapılıyor? Ya da Internet’e bağlı otomobiller ne kadar risk taşıyor? Trafik ışıklarını düzenleyen sistemler ne kadar güvenli? Peki ya hava trafik kontrol sistemleri? Hiçbirinin ne kadar güvenli olduğunu maalesef bilemiyoruz. Internet’e bağlı sistemler için temel güvenlik tedbirlerini ve güvenlik denetimlerini ve bu denetimlerin şeffaflığını garanti altına alacak düzenlemelere ihtiyacımız var.