Şirketimi ilk kurduğum günlerde biraz publicity olsun diye kalkıştığım bir işti o stream. Bundan 15 sene evvel master'daki tezim EEG sinyalleriyle yazı yazdırma üzerineydi. Matlab, C filan kodlar. Bunları 2018'de JavaScript'e port etmiştim. Sonra kullandığım wireless EEG cihazının üreticisi yeni nesil bir EEG cihazı çıkardığını açıklayınca hemen sipariş verdim, gelir gelmez de 24 saatlik bir coding yayınında beyin sinyalleriyle yazı yazdırma projesi yapayım dedim.
Dedim ama, meğer şirket raw EEG sinyallerini lisansla satıyormuş. Üstelik kredi kartını verip alabileceğin bir lisans da değil, onların kendi taraflarında onaylaması gerekiyor... Avustralyalı şirket, benim yayın Cumartesi... Cuma öğlen fark ettim raw data stream'e ulaşamadığımı, ki, raw data stream olmadan imkansız bu deneyi yapmam, adamlara her yerden yazdım, bir türlü ulaşamadım. Dedim yandı stream yani, rezil olacağım. Büyük PR da yapmıştık...
Bu arada bu cihazın ilk versiyonu çok kolay kırılmıştı, herkes lisanssız kullanıyordu, fakat ikinci versiyonu 6-7 yıldır kırılamamıştı. Yeni çıkan üçüncü versiyonu için de dolayısıyla bir şey yoktu ortada. Biraz dua ettim canlı yayında beni bu cihazı kırmak zorunda bırakmasınlar diye ama tutmadı.
Stream'e başladım, 5-6 saat teori filan anlattım, headset'i denedik filan... baktım olacak gibi değil, dedim "arkadaşlar şimdi bu cihaz bana benim beyin sinyallerimi parasını ödememe rağmen vermiyor, dolayısıyla bakalım hep beraber nasıl kıracağız..."—neyse ki çok büyük dert olmadı. Bilgisayara bir host yazılım yüklüyor, SSL pinning'i yoktu. Proxy ile SSL man-in-the-middle attack yaptım, gelen lisans cinsini değiştirdim ve voila! Cihaz bana raw data stream vermeye başladı. Yayındaki insanlar da gecenin 4'ünde heyecanla izliyorlar, kendime bir bardak viski koydum, biraz rahatladım. Güzel bir enstantaneydi. Kalan 12-13 saatte de işte o raw stream'le projeyi çalıştırıp demo yapmaya baktım. Toplamda 25.5 saat sürdü yayın
Sonra şirkete yazdım, dedim ki böyle böyle bir vulnerability var, ben yeni bir okul açtım, gelin bu okulda okumak için öğrencilere burs verin, ben de sizinle bu vulnerability'yi paylaşayım... yanaşmadılar
sonra "bir fix çıktık, kontrol edebilir misin?" dediler, ona da ben yanaşmadım.
İşte bu da böyle bir anımdır.
