AutoVM Açığı (?) hakkında Tartışma Konusu

Autovm'in sorunlarını yada autovmle ilgili olmayan sorunlarınızı yazılım alt yapısını @onatweb; yapmışçasına üzerine yıkmak çok yanlış. Kendisi elinden geldiğince yazılımı sorunsuz hale getirmeye, geliştirmeye ve yardımcı olmaya çalışıyor. Kendisi ile çok iyi geçmişimiz olmasada iyi işler çıkardığını ve yardımsever olduğunu biliyorum. Yeter ki suistimal edilmesin, darlanmasın. Alakasız şeyler talep etmeyi saçma buluyorum. Her firma kendi güvenliğinden sorumludur. Zamanı gelincede güncellemenizi alabilirsiniz diye düşünüyorum.

Şunu da belirteyim. Evet cahilsiniz yaptığınız işte, böyle bir şey demedim ama madem dile getirdiniz öylesiniz. İnsan kullandığı yazılımı bilir, Ne kullanıyoruz biz diye kontrol eder. Kendi önlemlerini alır. Sonuç olarak kapalı kaynak bir yazılım kullanmıyorsunuz. Açık kaynak bir yazılım kullanıyorsunuz. Benden aldığınız hizmet Açık kaynak olan bir yazılıma eklenen ek özellikler. Böyle olduğu halde her türlü güvenlik önlemleri benden beklerseniz bana muhtaç olursanız yaptığınız işi bilmiyorsunuz demektir. Ben sizin maaşlı IT çalışanınız değilim. Öyle zannediyorsunuz galiba. Ama değilim. Ben sadece Açık kaynak olan yazılıma eklenen ek özellikleri satan bir yazılımcıyım.

Bir önceki mesajımızda tarafımızı cehalet ile suçlayan kişi olarak sizden bahsetmemiştik, bazı samimi arkadaşlarınızın yaşanılan duruma biz hiç yorum yapmamıza rağmen bizlere bu şekilde çirkin ithamlarda bulunması sebebiyle bu hususu dile getirme gereği duyduk. Size göre biz cahildik evet peki 30'u geçen firmaların hepsi mi cahildi? İhlalden etkilenenler arasında 12 yıllık bilgi birikimi ve deneyimleri olan firmalar da mevcut. Durumla ilgili vaka analizi yapıp ileride bu tarz problemlerin tekrardan yaşanmaması adına nasıl çözüm yolları bulacağınızı araştırmak yerine benimle burada tartışıp cahilliğimi konuşmak sizce ne kadar mantıklı?

Olay yaşandığı gün ve devam eden günlerde sizin de söylediğiniz üzere tarafınıza ulaşıp herhangi bir problemden bahsetmedik tarafımıza ulaşıp ne oluyor hayrola diyen firmalar ulaştığında şüphe duyduğumuz hususlarda gerekli açıklamalar bulunarak konuyu kapattık.

Dolayısıyla 800TL para verdik kölemizsiniz, bize bunu sağlayacaksınız şeklinde bir tavır takınmadık. Hatta olaylardan sonra bizimle ilk olarak sizin sizin iletişime geçtiğinizi ve bu güzel nezaketinizden ötürü WHMCSTR otomasyonuna geçme işlemlerimizi yarıda bırakıp tekrardan sizlerle çalışma kararı aldığımızı hatırlatmak isterim. Forumlarda veya sosyal medya platformlarında tarafınıza karşı karalama kampanyası düzenlemedik, sizi herkesin içinde suçlamadık ve forum önünde zor durumda kalmanıza sebep olacak herhangi bir tavır sergilemedik.

Sizi zor duruma sokacak yaklaşımlar yerine şüphe duyduğumuz tüm hususları yasal mercilere belirtmekle yetindik, diğer firmalar gibi elektrik gitti, disk yandı, vds'inize virüs girmiş şeklinde müşterilerimize yalan beyanlarda bulunmadık.
Ücretli olarak satışı yapılan ve şifreli dosya paylaşımı yapılan yazılımdan AutoVM'in hatası ben sadece tasarım yapıyorum şeklinde açıklama bulunmanızı yanlış buluyorum.

Olayın büyümesini ve saatlerce tartışma içerisine girerek güzel vaktinizi çalmak istemiyorum bu son mesajımızdan sonra konu altına olumlu veya olumsuz tarafımızca hiçbir türlü yorum yapılmayacaktır, iyi günler dileriz.

@Keyubu;

"Ben sadece tasarım yapıyorum" sözünü bana alıntılar mısınız ? En az 1 milyon kere ben AutoVM'e ek özellik ekledim diye belirtmişimdir. Yani beni ilgilendiren eklediğim bu ek özellikler. Benim eklediğim bu ek özelliklerde bir açık olmadığına göre (olamaz demiyorum şu an gözlemlediğimiz kadarı ile yok) Onat Web Açığı diye paylaşmanız hangi Ahlaklı davranışa sığıyor bana anlatabilir misin ? Çok ahlaklı davranmış gibi birde kendini güzelliyorsun.

Sizin yaptığınız şey; Whmcs veya Wordpress'e yapılan bir modül için, Whmcs veya Wordpress tarafında açık çıktığında modülden kaynaklanıyormuş gibi göstermek. Hayır ama Wordpress'te Açık çıktı ? Modülde değil ?

Bunu anlamıyorsun sen. Aynı şey AutoVM için de geçerli. Açık kaynak kodlu bir yazılım ve buna ek özellik ekledim ben. AutoVM de bir açık çıktıysa AutoVM diye belirteceksin, Eklenen ek özelliklerde açık çıktıysa da Onat Web diye belirteceksin bu kadar basit.

Öyle bir anlatıyorsun ki, Sadece tasarım yapıyorum deyip elimi eteğimi çekmişim gibi. Ben 1 aydır nelerle cebelleşiyorum, ne uğraşlar veriyorum benimle alakası olmadığı halde firmaların içini rahat tutmak için bunu inkar ediyorsun resmen. Sanki bana yazmışsın da hayır kardeşim destek vermiyorum deyip başımdan savmışım seni.

Edit :

Şunu da ekleyeceğim. Ben olay yaşandığından beri sürekli olarak herkesin dediklerini ciddiye alıp gerekli aksiyonları aldım. Durumun stresi ile 1 kaç kişiye sert cevaplar vermiş olabilirim. Bu benim aksiyon almadığımı göstermiyor. Şu an güncellediğimiz şey, sizin kullandığınız framework sürümünde yoktu. Sizin kullandığınız framework sürümünde fonksiyonun içerisinde exit() fonksiyonu çalışır vaziyetteydi. Böyle oluyor ki buradan yararlanılma söz konusu değil.

Benim bahsettiğim şey şu; Kurumsal bir firma olarak, log kaydı olmadan, ispatlı olmadan insanları yanlış önlem almaya sürüklediniz. Sizin yaptığınız bu şey neticesinde AutoVM kullanmama kararı alıp, sunucularını poweroff yapan insanlarda mağdur oldu. Yanlış önlem aldılar ve doğru önlem aldıklarını düşünerek vmware tarafında herhangi bir önlem almadılar. Bunun neticesinde ise 2 tane firma bu sebepten dolayı veri kaybı yaşadı.

Nereden kaynaklanarak, mağdur olmuşsunuz bilinmiyor. AutoVM'den yararlanıldıysa bile elinizde log olması gerekiyor, buradan kaynaklanarak oldu demeniz için. Eğer yok ise de şüpheli yerler olarak bildirmeniz gerekiyor. Böyle yapsaydınız emin olun o 2 firma da mağdur olmazdı. Yanlış önlemler almazdı. Elinizde bir log olsa eğer benden dolayı kaynaklansın, ondan dolayı kaynaklasın umurumda olmazdı. Aldığınız aksiyon yanlış, bunu belirtiyorum size.

Son kez bir açıklama yapıp bende susmak istiyorum. Kendimi çok net bir şekilde anlatabilmek istiyorum çünkü;

Kimseye bir ithamda bulunduğum yok, üstüne alınmak isteyen alınsın. Sadece herkesin anlayabilmesi açısından son kez bir açıklama yapmak istedim. Yazmadan önce de mağdur olan firmalara Emir kipi ile cümle kurmayıp rica etmeleri durumunda, gerçekten tüm desteğimi sunuyorum. Düşene bir tekme de ben atacak değilim bazı insanlar gibi.

"ABC" diye bir yazılım var. Bu açık kaynak kodlu bir yazılım ve çok kişi kullanıyor bu yazılımı. Çok kişi kullandığı için de pazarı geniş diye bu yazılıma ek özellikler ekliyorum. Bu eklediğim ek özellikleri ise pazarlıyorum. Doğal olarak burada sorumlu olduğum şey eklediğim ek özellikler oluyor. Burada inkar edilecek bir şey var ise edebilirsiniz, yok ise diğer mevzuya geçmek istiyorum.

İnkar edecek var ise de şunu söyleyip öyle geçeyim diğer mevzuya. "WHMCS veya WORDPRESS artık her neyse bunlardan herhangi birine bir modül yaptığınızda yarın öbür gün WHMCS veya WORDPRESS tarafında bir açık çıkıp, siz sorumlu tutulduğunuzda ilk yardım elini uzatacak kişi benim, sizin yaptığınız şeyi yapmayacağıma emin olabilirsiniz."

Şimdi benim sorumluluğum bu eklediğim ek özellikler olmasına rağmen, İyi niyetimden dolayı çıkıp firmalar için güncellemeler yapıyorum AutoVM tarafında, ve bundan herhangi bir ücret talep etmiyorum. Bunu sorumluluğum zanneden insanlara üzülerek söylüyorum ki, hayır benim sorumluluğum değil.

Bunun üstüne çıkıyorum, kimsenin yapmayacağı şeyi yapıyorum. Lisansladığım dosyayı açık kaynağı ile paylaşıyorum. Çünkü kapalı kaynak olan tek dosya bu dosya, ve içiniz rahat olsun diye yapıyorum bunu.

Yetmediği gibi günlerce uğraşarak AutoVM'i tamamen dışarıya kapatıyorum ve bu güncellemeyi de ücretsiz paylaşıyorum.

Yetmiyor, yapamayan firmalar var ise bana belirtsin komik bir rakama tekrar kurulum yaparım diye teklifte bulunuyorum.

Yetmiyor, emin olduğunuz şüphelendiğiniz, veya tahmin ettiğiniz yerleri bana bildirin gerekli testleri ben yapacağım eğer bir sorun var ise ücretsiz güncelleme sözü veriyorum diye duyuruda bulunuyorum.

Yetmiyor, yetmiyor, yetmiyor maalesef. İnsanlarımızın, benim yaptığım şeyleri yapmayan insanları daha çok sevdiğini biliyordum ve ispatlanmışta oldu artık maalesef. Benden eskisi gibi yanıtlar almıyor olabilirsiniz, çünkü insanların tavırlarını, karakterlerini yaşadığı tecrübeler değiştiriyor. Ben bu yapılan şeyleri tecrübe ettiğim için artık başka bir tavır sergileme kararı aldım.

Şimdi en son mevzuya gelmek istiyorum. "Bu kadar kişi yanılıyor olamaz, 12 yıllık tecrübesi olan insanlar bunu söylüyor vs." mevzusuna. Ben her zaman, tüm yazılımlarda açık çıkabileceğini ve bunun kimsenin elinde olamayacağını sürekli olarak ek önlemler alarak sağlıklı bir ilerleme kayıt edilebileceğini savunan bir insanım.

Bana bir yazılımcı gelip, bakın burada açık var, şundan dolayı firmalar mağdur oldu deyip ispat gösterse, o adamın kölesi olurum ben. Egom yoktur bu konuda hiç bir zaman.(Tekrardan belirtiyorum bakın burada açığın söyleneceği mecra ben değilim. AutoVM güncellemesini yapacak kişiler AutoVM yazılımcılarıdır ben değilim. Böyle olduğu halde ben sorumluluk alıyorum.)

Ama çıkıpta AutoVM'de açık var bu kadar kişi yanılıyor olamaz düşüncesine, sürekli kafa patlatacak, diken üstünde oturacak bir insan da değilim.

Şuna da sessiz kalacak bir insan değilim, beni burada yanlış anlıyorsunuz. Örnek veriyorum bana bir açık bildirildi ki bildirildi. Bu açık ile bunlar yapılmış dendiği zaman buna da sessiz kalacak değilim. Bu açık ile neler yapılabiliyor araştırırım. Ona göre evet bu açık ile bunlar yapılabiliyor diye bildiririm. Sizlerin yapmış olduğu gibi buradan dolayı mağdur olundu diyerek insanları yanıltmam.

Şimdi dosya paylaşımını herkes ile yaptım, ve bu dosya paylaşımı ile neyin önüne geçmiş olduk ? Hemen anlatayım.

Framework güncellendikten sonra ->send() fonksiyonundan exit() fonksiyonu kaldırıldığı için, Autovm tarafına yanlış bir api anahtarı gitse bile işleme devam ediyor. Burada yaşanılabilecekler ise şunlar ; Sunucu silme, Sunucu oluşturma, Sunucu başlatma, Sunucu durdurma, Sunucu suspend atma gibi fonksiyonlar çalışabiliyor. Herhangi bir veri tabanı açığı veya admin girişi veya fiziksel sunucu bilgilerine sahip olma durumu olmuyor bu framework güncellemesinden sonra.

Ben şurada yanlış anlaşılıyorum, evet böyle bir açık var ama bu açıktan dolayı mağdur olmadınız dediğim zaman yanlış anlaşılıyorum. Bunu demek zorundayım abi ben ? Niye yanlış anlaşılıyorum. Yanlış bilgiye sessiz kalacak değilim herkesi doğru bilgilendirmek istiyorum. Eğer benim cahil olduğumu düşünüyorsanız da hayır yanılıyorsun bak yapılabiliyor diye gösterirsiniz. Bende özür dilerim haklısınız derim size.

Eğer sizin mağdur olduğunuz kısım sadece VM silinmesi ise evet buradan dolayı mağdur olmuş olabilirsiniz. Ama insanların bahsettiği şeyin vcenterdan veya başka yerden olduğu apaçık ortada.

Siz diyorsunuz ki ssh girişi yapılıp, rm -rf yazılmış. Bu açık ile bu yapılabilir mi ? "Hayır" yapılamaz. Mağdur olduğunuz şeyler arasında disk bozulmalarınız da var. Vcenterdan fiziksel sunucularınız çıkartılmış vs. Bu açık ile bu yapılabilir mi ? "Hayır."

Başka firmalar diyor ki; "Yedek sunucularımız, Disklerimiz komple silinmiş, AutoVm'in kendisi bile silinmiş" bu açık ile bu yapılabilir mi ? "Hayır."

Bu açık ile bunlar yapılamaz diyince niye yanlış anlaşılıyorum abi ben ? Eğer yapılabiliyorsa "Evet arkadaşlar buradan dolayı böyle olmuş" diyecek ahlaka sahibim ben. Kimseyi yanıltma gibi bir davranışa kapılmam, kapılamam.

Herhangi bir firma çıkıp dese ki, Sadece VM'lerimiz silinmiş. Evet bu açıktan yararlanılmış olabilir derim. Firmaların ESXI sunucuları komple çöküyor, erişim alamıyorlar, Vcenterlarında bulunan Tüm fizikseller siliniyor diskleri bozuluyor. Bu açık ile olamaz diyorum sadece. Niye yanlış anlaşılıyorum ?

Tekrar diyorum. Bu gibi önlemleri almak firmaların sorumluluğundadır. Yazılım açık kaynak kodludur ve bu sebepten dolayı firmalar kendi önlemlerini alma mecburiyetindedir. Ama bana herhangi bir şey bildirilirse ve test edip doğruluğunu onaylarsam anında herkes ile güncellememi paylaşırım. Bunun haricinde benden bir şey beklemeyin.

Umarım yanlış anlaşılmam, gına geldi çünkü artık.

Selametle.

Her firma kendi güvenliğinden sorumludur. Hiçkimse güvenliği %100 garanti edemez. Herkes üzerine düşeni yapmalıdır. İnsanları darlamayın artık. TR de az para çok iş, köle muamelesi nezaman bitecek ?

@FabNet;

Aynen hocam oluşan sorunlarda ücretsiz destek vereceğim diye yazdım. Başka neler yazmışım ?

Ar damarınız falan mı çatladı sizin ? Ne istiyorsunuz benden arkadaşım. Destek vermiyorum diyorum. Bu kadar basit bir cümleyi anlamakta güçlük mü çekiyorsunuz ? Ben hayır kurumu falan değilim, önceden iyi niyetimden bazı yerlerde destek oluyordum ama olmuyorum artık. Yazılım açık kaynak kodlu bana bağımlı değilsiniz. Yaptığım her güncellemeyi ücretsiz aldınız daha ne istiyorsunuz benden ? Benim sizden bir şey talep etmem gerekirken hala utanmadan benden bir şey mi talep ediyorsunuz ?

Edit :

Ben kendi getirdiğim ek özelliklere güncelleme getirmiyorum. AutoVM yazılımına güncelleme getiriyorum. Yani yapmakla sorumlu olmadığım yere güncelleme getiriyorum. Benim yaptığım iframesiz modülü yapıp, şifreleyip 2500 - 5000 TL den fazla fiyata satacak çok insan tanıyorum. Kimse babasının hayrına yapmaz. Ama ben bu güncellemeyi herkes ile ücretsiz paylaştım. Ama hala bu muameleyi görmek midemi bulandırıyor. Artık kimseye tahammülüm kalmadı. Engelleyip geçiyorum. Son kullanıcıların yapmayacağı şeyleri kurumsal firmalar yapıyor gerçekten çok ilginç.

Firmalar verdiği ücretin benden 1000 mislini aldı. Eğer bir açık çıkar ise de almaya devam edecekler. Yazılım açık kaynak kodludur ve bana bağımlı değilsiniz. Ben ücretli destek vermiyorum, başka birisi veriyordur. Bu kadar basit mantık var ortada.