Yazılımı güvenle kurmak

Nereden indirdiğiniz neden indirdiğinizden önemli

İki farklı yerden indirilen bir program mutlaka aynı dosya değildir. Adı aynıdır, simgesi aynıdır, kurulurken size tam olarak aynı ekranları bile gösterebilir. Ama içindeki baytlar farklı olabilir ve dışarıdan bunu görmenin bir yolu yoktur.

Bu cümle dersin tamamıdır. Söylediğimiz diğer her şey, yalnızca bu tek şeyden emin olmanın bir yoludur.

Bir programın üreticisinin kendi dosyasını kurcalamak için bir sebebi yoktur. Dosyayı yeniden yayımlayan bir sitenin olabilir de olmayabilir de ve siz hangisi olduğunu ayırt edemezsiniz. Bu yüzden ilk kural basit ve istisnasızdır: her programı onu yapanın sitesinden alın, üreticinin resmi bir mağazası varsa, işletim sisteminizin mağazası ya da resmi bir Linux deposu gibi, oradan alın.

Kural basit ve onu uygulamak tam da işlerin bozulduğu yer. Üreticinin kendi sitesinden alın diyen kişi, o sitenin hangisi olduğunu bildiğinizi varsaymıştır. Bu tek adımın üzerinde iki tuzak durur. Birincisi, arama sayfasının üstündeki reklam satırları: bir program adına herkes reklam satın alabilir ve o en üstteki satır mutlaka üreticinin sitesi değildir. İkincisi, benzer görünen alan adları; yeri değişmiş bir harf ya da aynı adın başka bir uzantısı. Göz adı okur, adresi okumaz ve bu tuzak tam olarak bunun üzerine kurulur.

Pratik cevap iki satır. Adresi bir arama sonucundan değil, programın kendisinin size verdiği bir yerden alın; örneğin elinizde zaten olan bir kopyanın Hakkında menüsünden ya da programın Wikipedia sayfasından. Doğru siteye bir kez ulaştığınızda da onu yer imlerinize ekleyin ki bir dahaki sefere hiç arama olmasın.

WordPressde aynı kural başka bir kılıkta karşınıza çıkar: bir eklentiyi WordPress deposundan ya da onu yazan şirketin sitesinden kurun. Bir grup sohbetinde elden ele dolaşmış bir zip dosyası, tam olarak bu dersin uyardığı şeydir.

Sağlama nedir, sade dille

Sağlama, bir dosyanın her bir baytından hesaplanan kısa bir dizedir. Dosyanın parmak izi diye düşünün. Her dosyanın kendi dizesi vardır ve dosyanın bir baytı değişirse dize tamamen değişir.

Tamamen, biraz değil. Şu anda tekrarlayabileceğiniz gerçek bir örnek: küçük harfli hello kelimesinin sha256 parmak izi 2cf24dba ile başlıyor, aynı kelimenin ilk harfi büyük hali olan Hello ise 185f8db3 ile. Tek bir harf değişti ve dizenin öncekine hiçbir benzerliği kalmadı. İki parmak izini karşılaştırmayı kolaylaştıran da budur: ya harf harf uyuşurlar ya uyuşmazlar, arada bir hal yoktur.

Ciddi üreticiler dosyalarının parmak izlerini indirme bağlantısının yanında yayımlar. Dosyayı alır, parmak izini kendi makinenizde hesaplar ve üreticinin yazdığıyla karşılaştırırsınız. Uyuşuyorsa elinizdeki dosya üreticinin yayımladığı dosyadır. Uyuşmuyorsa silin ve yeniden indirin.

Hesaplamak da özel bir yazılım gerektirmez. Windowsta certutil -hashfile setup.exe SHA256 bunu yapar, Mac ve Linuxta ise shasum -a 256 setup.exe.

İran indirme sitelerinin gerçeği

Dürüst olalım, çünkü burada nazik davranmak kimseye yaramaz. İranda kurulan yazılımın büyük bir bölümü üreticinin sitesinden gelmiyor. Sebebi anlaşılır: birçok üretici sitesi İrandan açılmıyor ve resmi ödeme de mümkün değil. Bu bir tercih değil, bir kısıt.

Ama kısıt riski ortadan kaldırmaz; yalnızca açıklar. Dosya üreticinin sitesinden gelmediğinde üç şey aynı anda kaybolur. Üreticinin yayımladığı parmak izi artık sizin dosyanızla uyuşmaz, yani karşılaştırma aracı işe yaramaz hale gelir. Kurulum dosyası genelde lisansı aşmak için yeniden paketlenmiştir, yani biri dosyanın içine girmiştir ve siz yalnızca lisansa mı dokundu yoksa başka bir şey de mi ekledi bilmezsiniz. Ve otomatik güncelleme genelde kapatılır, çünkü güncelleme lisansı geri getirir; son bölümde güvenliğin en önemli parçası olduğunu göreceğiniz aynı güncellemeler.

Görüşümüzü açıkça söylüyoruz: sizin hakkınızda hiçbir şey bilmeyen bir oyun ya da küçük bir program için riski kendiniz tartın. Ama parolalarınızın, banka hesabınızın ya da müşteri verilerinizin içinden geçtiği herhangi bir program için yeniden paketlenmiş bir kurulum dosyası kabul edilebilir bir risk değildir. Orada, resmi sürümü satın alamıyorsanız, gidip başka bir program bulun.

Ücretsiz ve açık kaynak alternatifler ve neden genelde daha güvenli seçim

Burada, insanların nadiren açıkça söylediği basit bir mantık işliyor. Resmi sürümü ücretsiz olan bir programın kurcalanmış kopyası için pazar yoktur. Herkesin orijinal siteden bedava alabildiği bir şeyi kimse yeniden paketleme zahmetine girmez. Böylece bu dersin ilk kuralı hiç çaba harcamadan uygulanmış olur.

İşini yapan birkaç gerçek örnek: belgeler ve elektronik tablolar için LibreOffice, video oynatmak için VLC, sıkıştırma için 7-Zip ve web gezinmek için Firefox. Dördü de kendi sitelerinden indiriliyor ve dördü de bir parmak izi ya da imza yayımlıyor.

Şimdi bir reklamın asla söylemediği kısım: açık kaynak olmak kendi başına güvenli olmak demek değildir. Kodun bakılabilir olması demektir ve bu ancak biri gerçekten baktığında bir şey ifade eder. Binlerce kullanıcısı ve etkin geliştiricisi olan büyük bir proje bu ilgiyi görür; son güncellemesi üç yıl önce olan tanınmamış bir eklenti görmez ve kodunun açık olması hiçbir şeyi telafi etmez.

Tek başına en değerli alışkanlık: güncel tutmak

Bu dersten yalnızca tek bir şey yapacaksanız, o da budur. Otomatik güncellemeleri açık bırakın ve güncelleme uyarılarını iki hafta ileri atmayın.

Sebebi şu: gerçek saldırıların çoğu yeni keşfedilmiş açıklar değildir; aylar önce yaması çıkmış ve kimsenin yamayı kurmadığı açıklardır. Saldırgan yeni bir şey keşfetmenin değil, henüz güncellememiş birinin peşindedir.

Kendi deneyimimizden bir örnek, bu sitenin blogunda da yazılı. WordPress 7.0.4 tek konulu bir güvenlik sürümüydü ve tam olarak tek bir dosyayı değiştirdi. Kapattığı açık uzaktan kod çalıştırmaydı, ama yalnızca iki yardımcı programın belirli bir bileşimini taşıyan sunucularda. Bizim kendi sunucumuzda tam olarak o bileşim vardı. Bir site yöneticisi için olayın tamamı tek bir güncelleme tıklamasıydı; o tıklamayı yapmayan için ise açık bir kapı.

Yanında, çok az söylenen daha küçük bir alışkanlık: kullanmadığınız yazılımı silin. Kurulu her program, hiç açmasanız bile, bir saldırı yüzeyi daha ve güncel kalması gereken bir şey daha demektir. Program sayınızı azaltmak başlı başına bir güvenlik önlemidir.