E-Siber.com
M. Mekin Pesen
Sitede 1774 okunmaya değer yazı var.

Altý Oyulan Ýnternet Güvenliði ve Tedbirler

Eylül baþýnda dünya genelinde þok etkisine neden olan, Türkiye'de ise çoðunlukla magazinel bir haber olmaktan öteye geçmeyen ve detaylarý es geçilen NSA'in internet güvenlik ve gizliliðini derinden sarsan çalýþmalarýný haber aldýðýmýzdan beri VPN, HTTPS ve uluslararasý para trafiði gibi tüm güvenli sandýðýmýz iþlemler neredeyse yalan oldu...

 

Son olarak ortaya dökülen belgelere göre NSA, 2000'lerin baþýndan beri þifreleme algoritmalarýný kýrmak için 90'larýn sonundan itibaren "milyar dolar" yatýrým yapmakla kalmayýp baþlýca iþletim sistemi saðlayýcýlarý, güvenlik sistemleri üreticileri ve þifreleme standartlarýný belirleyen otoritelerle 'bir þekilde' anlaþýp kullanýcýlarýn gizlilik ve mahremiyetini istediði gibi hiçe sayýyormuþ.

 

 

Aslýnda arkasýnda çok güçlü bir matematik olan güvenlik protokolleri ve algoritmalarýný bütünüyle kýrmak þu an için söz konusu deðil. Zaten uzmanlara göre bu kolay kolay da mümkün olamaz. Çünkü protokollerin bir çoðu matematiksel olarak hala çözülemeyen ve çözülmesini saðlayabilecek adýmlarýn bile doðru düzgün atýlamadýðý oldukça ilginç matematiksel 'karmaþalara' (ayrýk logaritma problemi gibi) dayanýyor. Tabi bu durumun özellikle Kuantum kriptolojinin ileri bir seviyeye gelmesiyle kolayca aþýlabileceði düþünülüyor. Peki NSA neyi baþardý?

 

Son Belgelere Göre Neleri Yitirdik?

NSA'in sinyal istihbaratýna dayanan projesinin meyveleri olan bu sonuçlara göre Amerika, internet þirketleriyle çalýþarak þifreleme ürünlerine gizliliði zayýflatan arka kapýlar yerleþtirmeyi ilk amacý olarak belirlemiþ. Sonrasýnda:

  • IT sistemlerine, aðlara ve son kullanýcý haberleþme cihazlarýna anlaþma (zorlama!) yoluyla zaafiyetler ve gizli giriþler yerleþtirilmesini saðlamýþ
  • ticari açýk anahtarlý teknolojilerin standartlarý ve algoritmalarýný özellikle zayýflatmýþ
  • internet iletiþiminde kim kiminle ne zaman ve ne kadar haberleþmiþ sorularýnýn cevabýný olduðu gibi veren ve þifrelenmesi mümkün olmayan haberleþmenin meta verilerini (metadata) sürekli toplamýþ
  • internette sesli veya metinli bütün mesajlamalarý dinleyebilmiþ
  • Tor'u aðýnda kýsmen de olsa anonim kullanýcýlarý tespit etmeyi baþarmýþ

 

Kýsacasý NSA, SSL/TLS, HTTPS, VPN, Tor, þifreli chat, SSH ve þifreli VOIP'i büyük oranda ya etrafýndan dolanarak ya da belli baþlý algoritma konfigürasyonlarýnda olanlarý kýsmen de olsa kýrmayý baþarmýþ (aslýnda elindeki anahtarla bazýlarýný kýsmen bazýlarýný da tamamen açabilmiþ). Bu da bize güvenli ve gizli bildiðimiz ve standart parametreler ya da katsayýlarla korunan iletiþimi ve anahtarlarý artýk güvenilmez kýlýyor.

 

Bütün bunlarýn da yanýnda belgelere göre NSA'in internetin ana düðüm noktalarýna yerleþtirdiði gizli ve ultra hýzlý sunucular yoluyla, hedefe aldýðý aðlarý ve kullanýcýlarý internette dolaþýrken gitmek istedikleri yere ilk ulaþma anlarýnda yakalayarak (bir çeþit 'ortadaki adam' saldýrýsý gibi) inanýlmaz bir hedefli izleme olanaðýna da sahip olduðu görünüyor.

 

Peki NSA'in Bütün Bu Gözletme Kabiliyetlerine Karþý Kýsmen Neler Yapýlabilir?

Buradaki tavsiyeler ünlü güvenlik uzmaný ve kriptografik algoritma sahibi Bruce Schneier'in önerilerinden derlenmiþ ve üzerine yeni eklemeler yapýlmýþtýr.

 

Aðlarýn Ýçinde Gizlenin

NSA'in Tor'u hedef almasýna raðmen, bütün Tor aðýný ve kullanýcýlarýný ortaya çýkaramadýðý ama tekil olarak uzun süreli tek tük kullanýcýlarý tespit edebildiðini belgelerden öðrenebiliyoruz. Tor'da sizi ortaya çýkarabilecek en büyük zaaf ve NSA'in aslýnda en çok kullandýðý ve açýðýný bulduðu yöntem ise Firefox Tor Bundle'ýdýr. Tor'u bir tarayýcý eklentisi veya düðmesi olarak kullanmaktan vazgeçin ama hala Tor kullanmaya devam edin.

 

Online Haberleþmeyi ?ifrelemeye Israrla Devam

TLS'in en son sürümünü tercih etmeye gayret edin. Ve IPSec kullanýrken en karmaþýk ve olasý en zor kombinasyonlarý algoritmalarý deneyin. NSA'in özellikle þifreli haberleþmeleri hedef almasýna karþýn, þifreli iletiþimin internette düz metin halinde haberleþmekten daha mantýklý olduðunu unutmayýn. Örneðin, simetrik þifrelemeyi yalnýz kullanmak yerine üzerine asimetrik þifrelemeyi de uygulayýn ve eliptik-eðrili sistemlerin üzerine geleneksel ayrýk-logaritma tabanlý sistemleri tercih edin.

 

Ýnternete Baðlý Bilgisayarlarla Özel Bilgisayarlarý Birbirinden Ayýrýn

Çok özel iþler üzerinde çalýþtýðýnýz bilgisayarý asla internete baðlamayýn. Ýnternete baðlandýðýnýz bilgisayarý ayrý tutun ve her iki bilgisayar arasýndaki verileri harici bir disk ya da bellek ile þifreli bir biçimde taþýyýn.

 

Ticari ?ifreleme Yazýlýmlarýndan Uzak Durun

Özellikle ünlü firmalara ait ve kapalý kaynak olan güvenlik araçlarý ve þifreleme uygulamalarýný asla kullanmayýn. Kýsacasý açýk-kaynak olan ve de güvenlik zaafiyetleri sýklýkla güncellenen programlarý tercih edin. Örneðin GPG, Silent Circle, Tails, OTR, TrueCrypt, BleachBit, ve Password Safe gibi.

 

Ýnternette biraz araþtýrmayla NSA'in belgelerine ulaþabilirsiniz. Bu belgeleri dikkatli bir þekilde inceleyince internetteki geliþen altyapý ve yazýlým teknolojileri 'yüzünden' aslýnda çok fazla ve kolay bir þekilde afiþe olduðunuzu bariz bir þekilde görebiliyorsunuz...


· · · · · · ·
Yazan: | 05.10.2013 | 9594 kez okundu.

Yazılar E-Posta Kutunuza Gelsin:

Bu yazıyı izinsiz olarak alıp başka herhangi bir yerde yayınlayamazsınız (Bkz "dijital at hırsızı" kimdir?). Yazıların başka yerlerde yayınlanmasına ücreti mukabili izin veriyoruz. Yazıları izinsiz olarak başka bir yerde yayınlamanız, her türlü hukuki sonucu kabul ettiğiniz manasına gelir. Yazıları izin almak ve kaynak göstermek kaydıyla sadece kamu kurumları ve akademik araştırmacılar ücretsiz olarak kullanabilir. Bunların dışında kalan herkes ücret öder. Detaylar için bize ulaşın.

Yorum altyapısı: Disqus

Yukarı Çık

M. MEKİN PESEN
© 2007-2015 E-SİBER BİLGİ-İLETİŞİM TEKNOLOJİLERİ
E-Siber.com | E-Siber.net | ESiber.com | ESiber.net | RSS | Facebook | Twitter | E-Posta Aboneliği
IP: 54.162.218.214 | Yüklenme: 0.196 saniye. | Hakkımızda | İletişim | Reklam Verin | Site Politikaları | Atıflar