Arşivden: Morris solucanı — Bir deney interneti nasıl dize getirdi?
Kasım 1988'de bir yüksek lisans öğrencisinin yazdığı küçük bir program, o günkü internete bağlı bilgisayarların önemli bir kısmını yavaşlattı, kilitledi. İlk büyük internet salgını, bugün hâlâ kullandığımız olay müdahale düzeninin de başlangıcı oldu.
Hey hey, yıl 1988, Kasım'ın ikisi, akşam saatleri. İnternet daha bugünkü internet değil; üniversiteler, araştırma laboratuvarları ve askeri kurumlardan oluşan, herkesin birbirini az çok tanıdığı bir mahalle. Kapılar kilitsiz, komşular güvenilir sayılıyor. O akşam mahalleye bir misafir giriyor; kapı kapı dolaşıyor, her evde bir kopyasını bırakıyor ve sabaha karşı sistem yöneticileri kendilerini, nedenini bilmedikleri bir yavaşlamanın ortasında buluyor.
Misafirin adı sonradan konacaktı: Morris solucanı. Yazanı Cornell Üniversitesi'nde yüksek lisans öğrencisi Robert Tappan Morris'ti ve program, izini kaybettirmek için MIT'deki bir bilgisayardan salınmıştı.
Ne oldu?
Solucan, Unix makinelerde aynı anda birkaç kapıyı deniyordu. Purdue Üniversitesi'nden Eugene Spafford'un o günlerde yazdığı ayrıntılı analize göre başlıca yolları şunlardı: e-posta sunucusu sendmail'deki bir debug özelliği, kullanıcı bilgisi veren fingerd servisindeki bir buffer overflow, makineler arası güven ilişkisine dayanan rsh/rexec mekanizması ve tahmin edilebilir parolalar. Yani teknik bir açık, kötü bir varsayılan ayar ve insan zaafı aynı pakette.
Asıl felaket ise bir hesap hatasından doğdu. Solucan, bir makineye ikinci kez bulaşmamak için "burada kopyam var mı?" diye soruyordu; ama yöneticilerin bunu taklit ederek solucanı durdurmasını önlemek için, cevap "evet" olsa bile belli bir olasılıkla yine de kopyalanacak şekilde yazılmıştı. Sonuç: aynı makinede onlarca kopya, tükenen işlemci, kilitlenen sistemler. FBI'ın 30. yıl yazısına göre o günkü yaklaşık 60 bin bilgisayarın 6 bin kadarı etkilendi.
Nasıl fark edildi?
Kimse bir alarm paneline bakarak fark etmedi; makineler yavaşladı, yük ortalamaları tavana vurdu, yöneticiler birbirine haber verdi. Berkeley ve MIT'deki ekipler gece boyunca solucanın kopyalarını yakalayıp kodunu çözmeye çalıştı. Olayın internet topluluğu içindeki seyri, sonradan RFC 1135 olarak yayımlanan "The Helminthiasis of the Internet" başlıklı belgede kayda geçti.
İlginç olan şu: uyarı mesajları da aynı ağdan dolaşıyordu. Ağ tıkandıkça "şu servisi kapatın" haberi de geç ulaştı. Bazı kurumlar çareyi bağlantıyı tümden kesmekte buldu. Mahallenin herkesi tanıdığı günlerde bile, kriz anında kime, hangi kanaldan haber verileceği belli değildi.
Bugüne mirası
FBI'ın aktardığına göre Morris, 1986 tarihli Computer Fraud and Abuse Act kapsamında mahkûm edilen ilk kişi oldu. Daha kalıcı miras ise kurumsal: olaydan kısa süre sonra Carnegie Mellon'da, bilgisayar olaylarına koordineli müdahale için CERT Koordinasyon Merkezi kuruldu. Bugün USOM'dan üretici PSIRT'lerine kadar uzanan "olay bildir, koordine et, duyur" zincirinin ilk halkası buydu.
Teknik dersler de eskimedi. İnternete açık bir servisteki tek bir açık, otomatik yayılan bir kodla saatler içinde binlerce makineye ulaşabiliyor; bu hafta sitede okuduğunuz OpenSSH SSHole açığının KEV'e girmesi aynı uzak servis riskinin bugünkü yüzü. Güven ilişkileri de hâlâ zayıf halka: AhsayCBS saldırısında saldırganın yedekleme sunucularından komşu sistemlerin kimlik bilgilerine uzanması, 1988'deki rsh güveninin modern bir yankısı.
Arşivden not
Morris solucanı bize üç şey bıraktı: Bir servis internete açıksa bir gün biri o kapıyı çalar. Güvendiğiniz komşu, saldırganın da komşusudur. Ve kriz günü kimi arayacağınızı kriz gününde öğrenemezsiniz. Otuz sekiz yıl geçti; kapılar değişti, dersler değişmedi.
