İnternette güvenli gezinme

Hangi alışkanlıklar gerçekten işe yarar ve hangi sırayla?

Her şeyden önce: tarayıcıyı güncel tutun. Bu cümle o kadar çok tekrarlandı ki artık duyulmuyor, ama tekrar önem sırasını değiştirmiyor. Yalnızca bir sayfa açmakla cihazınıza ulaşan hemen her açık, tarayıcının kendisindeki bir açıktır ve yaması siz duymadan haftalar önce çıkmıştır. Üç sürüm geride bir tarayıcı, üstüne koyabileceğiniz herhangi bir güvenlik ayarından daha açıktadır.

Her alışkanlığın gerçekte neyi durdurduğuna göre asıl sıralama şudur: tarayıcıyı ve işletim sistemini güncelleyin; eklentileri azaltın; indirilen dosyalara dikkat edin; önemli hesaplar için farklı bir parola kullanın; ve en son, en çok konuşulan şey, kilide ve adrese bakın.

Listede olmayan ve olması gerekiyormuş gibi duran iki şey. Birincisi, geçmişi düzenli temizlemek: kötü bir alışkanlık değil, ama güvenlik değil gizliliktir ve yeri gizlilik dersidir. İkincisi, tarayıcıya fazladan bir güvenlik aracı kurmak: çoğu zaten bir eklentidir ve bu dersin üçüncü bölümü eklentilerle ilgili.

Tutumumuz: tam olarak tek bir şey yapacaksanız, otomatik güncellemeyi açın ve rahat bırakın. İki şey yapacaksanız, bir yıldır açmadığınız eklentileri silin. Listenin geri kalanı bu ikisinden küçüktür.

Adres çubuğunun yanındaki kilit neyi kanıtlar?

Tek bir şey ve yalnızca o tek şey: o alan adıyla bağlantınız şifrelidir ve aradaki kimse onu okuyamaz veya değiştiremez. O alan adının arkasında kimin oturduğu ve doğru söyleyip söylemediği hakkında hiçbir şey söylemez ve zaten hiç söylemesi amaçlanmadı. Teknik ayrıntı HTTP ve HTTPS dersinde.

Sertifika sağlayıcıları da aynı şeyi söylüyor. Ücretsiz sertifikaları milyonlarca sitede duran Let's Encrypt, kendi resmî açıklamasında bir alan doğrulama sertifikasının yalnızca bir açık anahtarın bir alan adına ait olduğunu öne sürdüğünü ve "bir sitenin içeriği ya da onu kimin işlettiği hakkında başka hiçbir şey söylemediğini" yazdı; ayrıca böyle bir sertifikanın bir web sitesinin itibarı, gerçek dünyadaki kimliği ya da güvenliği hakkında hiçbir bilgi taşımadığını açıkça ekliyor.

Okumakta olduğunuz sitenin sertifikası iyi bir örnek. Açın; sahip alanında tam olarak tek bir şey var: alan adı. Şirket adı yok, sicil numarası yok, ülke yok. Dolandırıcı bir sitenin de birkaç dakikada ve hiçbir bedel ödemeden alabileceği şeyin ta kendisi.

Ve bu dersin yazıldığı gün, bu sitenin kendi iletişim formundan gerçek bir örnek: okuru bir Bitcoin transferi hakkındaki bir sayfaya iten bir mesaj geldi. O sayfa tümüyle meşru ve tanınmış bir metin yayımlama hizmetinde barındırılıyordu; sağlam HTTPS, yeşil kilit ve kimsenin şüphelenmeyeceği bir alan adıyla. Eski ipuçlarının hiçbiri geçerli değildi. Mesajı ele veren bambaşka bir şeydi: kimsenin istemediği bir kripto para transferi, web tasarımı talepleri için yapılmış bir formdan geliyordu.

Peki doğru ipucu nedir? Kilit değil, tutarlılık. Bu mesaj sizin başlattığınız bir şeyin yanıtı mı? Adres çubuğundaki alan adı, harf harf, olduğunuzu sandığınız yer mi? Sizden istenen şey o sitenin gerçekten yaptığı işle örtüşüyor mu? Üçü de evetse kilit bir fazlalıktır. Değilse kilit hiçbir şeyi kurtarmaz.

Neden tarayıcı eklentisi en çok gözden kaçan risk?

Tutumumuz, açıkça: bir tarayıcı eklentisi, ne kadar riskli olduğu ile ne kadar dikkat çektiği arasında en geniş açığa sahip şeydir. Çoğu kişi bir uygulama kurmadan önce bir saat düşünür ve bir eklentiyi iki saniyede kurar; oysa eklenti, tüm çevrimiçi hayatlarının içinden geçtiği tek yerde oturur.

Nedeni izinler satırında yazılıdır ve neredeyse kimse okumaz. "Tüm web sitelerindeki tüm verilerinizi okuma ve değiştirme" gibi bir cümle tam olarak söylediği şeyi ifade eder: o eklenti banka sayfanızın içeriğini görebilir, yazdığınızı okuyabilir ve sayfayı fark etmeyeceğiniz biçimde değiştirebilir. Google'ın eklenti yazarlarına yönelik kendi belgeleri izinleri tam da bu açıklıkla sınıflandırıyor ve Mozilla'nın her izin isteği mesajının ne anlama geldiğini söyleyen bir sayfası var.

İkinci sorun, ki daha kötüsü budur: eklentiler el değiştirir. Birkaç yılda popülerleşmiş basit ve zararsız bir eklenti satılabilir ve yeni sahibi bir sonraki sürümde dilediğini ekleyebilir. Kendisi değişebilen bir şeye güvendiniz ve otomatik güncelleme o değişikliği cihazınıza sessizce teslim eder.

Aynı şeyi başka bir ölçekte kendi sunucumuzda yaşıyoruz. Bu sitede yirmi dört etkin WordPress eklentisi çalışıyor ve her biri, tıpkı bir tarayıcı eklentisi gibi, WordPress'in kendi sahip olduğu yetkiyle yürütülüyor. Sayıyı düşük tutmamızın, çoğunu kendimizin yazmasının ve işi bitmiş bir eklentinin ihtiyaten açık bırakılmak yerine devre dışı kalmasının nedeni budur. Kural her iki yerde de aynı: daha az kod, daha az saldırı yüzeyi.

Pratik hamle: tarayıcınızın eklentiler sayfasını açın, bir yıldır açmadığınız her şeyi silin ve geri kalanı için izinler sütununu okuyun. Bir birim dönüştürücünün tüm web sitelerindeki verileri okuyup değiştirmesi gerekmez.

İndirdiğiniz dosyanın gerçekte ne olduğunu nasıl anlarsınız?

Uzantısından anlayamazsınız. Bunu bir yazıdan değil, kendi kodumuzdan söylüyoruz. Yükleme katmanımız önce dosya uzantısına bakar, ama orada durmaz: ardından dosyanın gerçek içeriğini okur ve içerik uzantıyla uyuşmuyorsa reddeder; kullanıcının gördüğü mesaj tam olarak bunu söyler. Görseller için bir adım daha ileri gider ve dosyayı gerçekten bir görsel olarak açmayı dener; görsel uzantılı ama görsel olmayan bir dosya tam burada yakalanır.

Nedeni basit: dosya uzantısı, dosyaya adı veren kişinin bir iddiasıdır, içeriği hakkında bir olgu değil. Windows da bilinen uzantıları varsayılan olarak gizler ve "fatura.pdf.exe" adlı bir dosyayı ekranınızda "fatura.pdf" olarak gösteren şey işte o tek ayardır.

En çok etkisi olan dört alışkanlık. Birincisi, Windows ayarlarında dosya uzantılarının gösterimini açın; bir kez, temelli. İkincisi, yazılımı ilk arama sonucundan değil üreticinin kendi sitesinden alın, çünkü sonuçların üstündeki reklamlar tam olarak zehirli sürümlerin oturduğu yerdir. Üçüncüsü, aramadığınız hâlde kendiliğinden gelen bir dosyadan şüphelenin; e-posta ekleri ve mesajlaşma uygulamalarında gönderilen dosyalar, kötücül yazılımın sıradan bir kullanıcıya ulaştığı ana yoldur. Dördüncüsü, işletim sistemi bir dosyayı açarken sizi uyardığında o uyarıyı ciddiye alın; onu geçmek bir tıklama daha ister ve o tıklama oraya kasten konmuştur.

Güvenli kurulum ve bir dosyanın iddia ettiği şey olup olmadığını denetlemek kendi dersine sahip: yazılımı güvenle kurmak.

Halka açık wifi hâlâ tehlikeli mi?

On yıl öncesine göre çok daha az ve hakkında hâlâ yazılanlardan da az. O eski tablo, bir kafede oturup banka parolanızı havadan kapan biri, çoğu sitenin şifrelemesiz olduğu bir dünya üzerine kurulmuştu. Bugün açtığınız hemen her şey şifreli ve o saldırı artık kolayca işlemiyor.

Ama "daha az", "hiç yok" demek değil ve geriye kalan genelde söylenmez. Aşağıdaki şekil dört gerçek katmanı gösteriyor. Ağın sahibi, içeriği göremese bile hangi alan adlarına bağlandığınızı hâlâ görür; alan adı, bağlantının ilk aşamalarında ve ad sorgusunda hâlâ görünürdür. Katılırken açılan ve parola ya da telefon numarası isteyen sayfa internet değildir, o ağı işleten kişiye aittir. Tarayıcınız güncel değilse, üzerinde oturduğunuz ağ tam da o açığı sömürmek için en iyi yerlerden biridir. Ve sonuncusunun ağlarla hiçbir ilgisi yok: arkanızda duran kişi ekranınızı görüyor.

Peki pratikte? Dört şey. Telefonunuzda açık ağlara otomatik katılmayı kapatın, yoksa telefonunuz tanıdık adlı herhangi bir ağa kendini iliştirir. Halka açık ağda dosya paylaşımını kapatın; Windows bunu bağlanırken sorar ve çoğu kişi tıklayıp geçer. Tarayıcı bir sitenin sertifikası konusunda uyarırsa, özellikle halka açık bir ağda ciddiye alın. Ve para ya da kimlik içeren işleri otelin ücretsiz wifi'si yerine kendi telefon bağlantınız üzerinden yapın; korkudan değil, bedeli sıfır olduğu için.

Ve dürüstçe: çoğu kişi için asıl risk havaalanı wifi'si değil, üç yıl önce kurup unuttukları eklentidir.