Hacker

Genellikle insanlar, hack olaylarını yanlış anlıyor ve yanlış yorumluyor. Herhangi bir yerde bilgisayardan anlayan kişilere; "Sen hacker mısın? Aranızda hacker var mı?" tarzı sorular yöneltilebiliyor. Hem hacker kavramını açıklamaya hem de bu durumun gülünçlüğünü, yanlışlığını aktarmaya çalışacağım.

Öncelikle başlık gereği tanımımızı yapalım:
Hacker, internet ağına bağlanabilen herhangi bir bilgisayarın zayıflıklarını tespit edip bu zayıflıkları kullanmak suretiyle çıkar sağlayan kişiye verilen addır. Burada bilgisayar sözcüğüyle kastettiğim aslında internete bağlanabilen herhangi bir teknolojik cihazdır. Yani yalnızca masaüstü ya da dizüstü bilgisayarlar değil, ağa bağlanabilen her türlü araç hacklenebilir. Başka bir deyişle telefonunuz, tablet cihazınız da elbette hacklenebilir.

Hiç bilgisi olmayanların aklına "Peki ya web siteleri?" sorusunun geldiğini görür gibiyim. Evet, web siteleri de aslında ağa bağlı birer bilgisayardır. İşte bu yüzden paylaşımlı hostinglerde hacklenme olasılığı çok daha yüksektir de biri beni durdursun, konudan sapmayalım. Heh, tamam. Durdum. Devam ediyorum.

Tanımda ne demiştik? Zayıflık, zayıf nokta. İşte burada kastedilen zayıflık aslında ikili insan ilişkilerinden çok da farklı değildir. Diyelim ki bir arkadaşınızın e-posta şifresini çalmak istiyorsunuz ve hacking hakkında da en ufak bir bilginiz yok. Ne yapabilirsiniz? Arkadaşınızı zayıf noktasından yakalayacaksınız. Hiçkimse "Bana mailini vermezsen beni öldürecekler." gibi bir yalanı, orta derecede bir zekâya sahipse bile kolay kolay yutmayacaktır. Peki ne yapacaksınız? Şifreyi girerken elini takip edebilirsiniz. Mesela gece bilgisayarını alıp Google Chrome üzerinden -eğer kayıtlıysa- şifrelerine bakarsınız. İşte gece bilgisayarına ulaşabilecek olmanız, arkadaşınızın zayıf noktasıdır.

Bilgisayar sistemlerinde de aynı şekildedir. Zayıf noktalar bilgisayardan bilgisayara, ya da web sitesinden web sitesine göre değişir. Burada sunucu güvenliği, yazılım güvenliği gibi genel ayrımlar vardır. Örneğin bir web sitesini hackleyeceğim. İlk olarak kullandığı yazılıma bakarım. Eğer hazır bir CMS ise işim kolaydır ve hemen o sistemle ilgili biliyorsam SQL Injection, XSS, CSRF gibi açıklar ararım. Özel yazılım kullanılıyor ve yazılım geliştirici aklıma gelen tüm açıkları kapatmışsa web sunucunun paylaşımlı olup olmadığına bakarım. Paylaşımlıysa işim kolaydır ve aynı sunucuda barınan farklı siteler üzerinde açık tararım. Açık bulursam account üzerinden root olup hedef siteyi; sitede değil, sunucuda bulduğum açıkla hacklerim.

Bir dakika ya? Tamam, sakinim. Kafanızı karıştırmadan kaldığım yerden devam ediyorum. Yani yukarıdaki paragrafta anlattığım yöntemler, arkadaşınızın mailini hackleme örneğinden çok da farklı değil. Siz ne yaptınız? Gece uyuyan adamın bilgisayarından şifresini ele geçirdiniz. Peki bir hacker arkadaşının mailini nasıl alır? Hotmail, gmail gibi servislerde kolay kolay açık olmayacağından hedefi, yani arkadaşı üzerinden ilerler. Mesela bir keylogger yazabilir ve arkadaşının bilgisayarına gizlice kurabilir ya da kendi bilgisayarında keylogger'ı çalıştırıp, arkadaşının o bilgisayarda mailine girmesini sağlayabilir. Böylece tüm şifreler kolaylıkla eline geçecektir.

Burada örnek üzerinden anlatmaya çalıştığım şey hacker adı verilen kişinin de tıpkı ikili ilişkilerde olduğu gibi karşıdakinin zayıf noktasını bulmak zorunda olduğudur. Nasıl sosyal bir insan diğer insanların ne tarz sıkıntıları olduğunu daha net bir şekilde görebiliyor veya tahmin edebiliyorsa, hacker da aynı şekilde bilgisayarların ve kullanıcılarının açıklarını görebilir, tahmin edebilir ve tahmin ettiği açıkların olup olmadığını kontrol ederek sonuca gider. Bir insanı kandırıp, onun e-posta hesabını çalmakla bir hacker'ın yaptığı arasında esas açısından hiçbir fark yoktur. Özetle, normal bir insan ikna yeteneğini, hacker ise bilgisayar yeteneğini kullanarak aldatır. Siz bir insanı sosyal iletişimle kandırabilirsiniz, hacker da edindiği bilgiyle bilgisayarı kandırabilir.

Yukarıda da değindiğim üzere bir web sitesini hacklemek, bir kişisel bilgisayarı hacklemek gibidir; söz konusu web sitesinin açıklarını tahmin etmeniz gerekir. Eğer üst düzey bir hacker değilseniz genel olarak bakacağınız 4-5 yöntem ve bunların farklı varyasyonları vardır. Bu testler olumlu şekilde sonuç vermediyse daha fazla araştırılıp sürekli bu konuya yoğunlaşılarak hedef odaklı hack yapılabilir. Üst açıklamalarda bir web sitesinin de aynı zamanda bir bilgisayar olduğunu söylemiştim. Web sitesinin kişisel bilgisayardan farkı, işten anlayan insanlar tarafından geliştirilip yönetiliyor olmasıdır. Yani arkadaşınızın bilgisayarına kolaylıkla keylogger yedirebilirsiniz ancak elbette bir siteyi hacklemek bu kadar basit şekilde olmaz. Ha 3-5 kişinin ziyaret ettiği, hatta belki de etmediği, paylaşımlı bir hosting üzerinde barınan ve hizmet aldığı firmanın bile dandik olduğu siteler bu genellemeden kuşkusuz muaftır. Facebook, Twitter, Google gibi sitelerde çalışan insanlar yukarıda da vurguladığım; bir süre hackingle ilgilenmiş olan neredeyse herkesin bilebileceği muhtemel açıkları, bu hackercıklardan tabii ki daha iyi bildikleri için onlardan kaçınırlar, önlemlerini alırlar. Ancak tamamen yok edemezler. İşte gerçek hacker burada devreye girer.

Neden hacking ile uğraşılır?
Çoğu hacker kişisel ilişkileri için bir şey yapmaz. Bu, bildiğimiz sivilceli ergen tripleridir; kendilerine de zaten hacker denmez. Hacklense de hacklenmese de kimsenin umursamayacağı dandik 3-5 siteyi, basit bir webmaster tarafından bile bilinen piyasa olmuş açıkları kullanarak hacklemek 3 yaşında bir çocuğu kandırmaktan hallicedir. Nasıl 3 yaşındaki bir çocuğu kandırdığınızda çok zeki, ciddi anlamda bir deha, ikna kabiliyeti mükemmel gibi yaklaşımlarla karşılaşmazsanız o siteleri hackleyenlere de öyle bakamayız.

Gerçek hackerlar genelde maddi çıkar elde ederler. Örneğin birinin kredi kartını çalıp internet alışverişi yoluyla parayı izini kaybettirerek kendi hesaplarına geçirirler. Bir web sunucuyu tamamen ele geçirmek de hacker için maddi kazanç sağlar. Ancak hacker, hacklediği sunucuyu; hacklediğini duyurursa kazancından olacağı için o sunucuyu hacklediğini, başka bir deyişle sunucunun hacklendiğini gizli tutmak için ekstra çaba bile harcayabilir! Yani gerçek hacker; ben hackerım diye ortalarda dolaşan değil, hacker olduğundan hiç bahsetmeyen olma olasılığı daha yüksektir. Peki bir sunucuyu hackleyip nasıl para kazanır? En basitinden SEO için kullanabilir. Sunucuda 200 adet web site olduğunu düşünelim. Bu sitelere tek tek gizli linkini (hacklink) ekler ve bu linkleri bir ziyaretçi değil, ancak Google okuyabilir. Bu sayede SEO hizmeti vererek çok ciddi paralar kazanır. Mesela hacklediği sunucuyu başka sitelere saldırırken kullanabilir, kendi reklamı için veya çok daha alakasız şeyler için kullanabilir. Bu yüzden siteye gidip hacked by yaralı stayla yazmak hackerların işi değildir. Demin de söylediğim gibi sunucuyu kontrol edebildiği anlaşılırsa açık kapatılır ve daha fazla yarar sağlayamaz.

Bazı hackerlar da bulduğu açıkları site sahiplerine gönderip ödül kazanır ki bunlar white hat hacker (beyaz şapkalı hacker) veya etik hacker olarak adlandırılır. Çoğu büyük site bu tarz açıklar için iyi miktarda ödül vermektedir. Diyelim Google'da büyük bir açık buldunuz, bu yolla milyon dolara yakın kazanç sağlarsınız. Yalnız Google'da açık bulmak her baba hackerın da harcı değildir.

Şunu da belirteyim, illa maddi kazanç elde edilecek diye bir şey de yok. Bazen sırf insanlığa yararlı olmak amacıyla da bulduğu açıkları site yöneticilerine bildiren iyi hackerlar oluyor. Sistem hâlâ onları da kötü insanlar olarak gösterse de onlar aslında internette her şeyin ucretsiz olması için çalışıyorlar.

Nasıl hacker olunur?
Nasıl hacker olunur başlıklı yazılarla zaman kaybetmeyerek. Anladın?

Önce temel programlama dillerini öğrenmeyle işe başlamalısınız. Birkaç web sitesi yapacak seviyeye geldikten sonra bilgisayar ağlarıyla ilgili ayrıntılı bilgi sahibi olmak bir başlangıç sayılabilir. Zaten web sitesini yaparken olası ataklara karşı nasıl korunacağınızı, bu öğrenim sürecinde kapmaya başlarsınız. Bunlar yukarıda söz ettiğim 3 yaşındaki çocuğu kandırma seviyesine gelmenize ancak yeter yalnız ama öyle veya böyle bir yerden başlamış olursunuz. Gerisi kişinin bireysel çabasına kalıyor.

En başa dönecek olursak gerçek hacker ortalarda ben hackerım, modemini yakarım diye dolaşmaz. Ya da size birazdan bilgisayarında dosyalar silinmeye başladığında aklına geleyim demez. Kendini deşifre etmemek için kişisel ilişkilerinde de bu bilgisini kullanmaz. Çünkü yasadışıdır ve hacker olduğu anlaşılırsa hürriyetini kaybetmeye kadar gidebileceğini öngörecek kadar zekidir. Ha ortalarda hackerım diye dolaşan çocukların zaten çocuk olduğunu kolluk makamlarımız ve yargı organlarımız bildiği için onlara her şey serbesttir, göğüslerini gere gere ortalıkta fink atmalarında da sakınca yoktur. Çok kaptırırlarsa onlar için ıslah evleri zaten bulunmaktadır.

Her zaman için mizahını beğendiğim, kendi anlatımlarımı desteklemede referans vermekten mutluluk duyduğum Cem Yılmaz'ın şu repliği, yazının sonuna yakışacak ve cuk oturacaktır;

+ Oo, Japoncanız mükemmel! Japon musunuz?
- Heheheh evet, Japon'uz.
+ Ee, gözler?
- Kalbin aynasıdır!