Dijital ve Analog İletişim Kanallarında Kişisel Güvenlik

September 5, 2008 0:24

Uzun zamandır bahsetmek istediğim bir konuydu bu, daha yeni toparlayıp yazma fırsatı bulabiliyorum.

Bu makale boyunca “güvenlik”ten kasıt virüs, trojan v.b. yazılımsal haşerelerden korunmak değil, kişisel bilgilerinizin korunabilmesidir. Virüs ve haşerelerle mücadele başka bir makale konusudur.

Özellikle Türkiye’de kurum ve kuruluşlara güvenin çok düşük düzeylerde olduğunu biliyorum, bir çok istatistik ve araştırma kurumu da bunu destekliyor, ha siz çok güveniyorsanız bu kurumlara, güvenmeye devam edin tabii ki, ama her zaman eşeği sağlam kazığa bağlamakta fayda var. (Eğer Çatlı ya da Yeşil değilseniz bu yazıyı okumaya devam edebilirsiniz, Çatlı ve Yeşil siz çıkın çucuum, sınıfın huzurunu bozyonuz, siz zaten “güvenli”siniz)

Araştırma detayları: http://www.fedu.metu.edu.tr/site/dosyalar/raporlar/ef_ogrenci_profili_arastirma.pdf

Halkın Kurumlara Güveni Azalıyor

Kurumlara Güven Azalıyor

Kurumlara Güven Azalıyor (2)

Başlangıç Düzeyinde Güvenlik Önlemleri: Sizin

Yapabilecekleriniz

Kişisel güvenliğinizi ya da güvensizliğinizi sadece ve sadece kullandığınız cihaz ve yazılımlarda aramak ahmaklığın danişkası olur, siz özenli davranmadığınız sürece sizinle ilgili bilgiler elinizden avucunuzdan dökülecek ve ona ilgili “şefkati” gösterecek yeni sahiplerine ulaşacaktır, en önemli kural sizin kişisel güvenliğiniz konusunda özenli ve bilinçli davranışlarınızdır.

Başlarken şunları iyice bir hatım edin,

• Hem internette hem sokakta yüzde yüz güvenlik yoktur, güvercinle haberleşirseniz güvercinin şahinlere yem olma ve vurulma ihtimali, tele-şifre aletleriyle haberleşirseniz filmlere konu olma ihtimaliniz çok yüksektir.
• İnternette size “beleş” sözüyle verilecek herşeye balıklama atlamayın. Bu tür oltalara “pishing”, bunları yutanlara da “sazan” deniyor, ona göre…
• Kimler seni MSN’de blocklamış falan gibi oltalara katiyen gelmeyin, merak da etmeyin, herkesin kişisel tercihi kendine :P
• Olur olmaz, bilip bilmediğiniz heryere adınızı/e-posta adresinizi, telefon numaranızı yazmayın, bu tür bilgiler üzerinden dönen paralardan haberiniz olsa dudağınız uçuklar, sadece güvendiğiniz/ilgilendiğiniz sitelere bu veya benzeri bilgileri bırakabilirisiniz.
• İnternet ve telefon üzerinden katiyen hesap numarası, internet şubesi giriş bilgilerinizi falan kimselere vermeyin, telefonla aranıyorsanız “Ben şubeye bırakırım” deyip geçin, şubeden böyle bir arama yapılmış mı yapılmamış mı kontrol ettirin.
• Sizi cep telefonundan arayıp “şimdi 082 bilmemkaç tuşlayın, sonra da 12xyz tuşlayın” şeklinde açık bir edayla üçkağıda getireleceğiniz işlemleri yapmayın, bütün kontörleriniz uçabilir, ay sonu 500-600 ytl fatura gelebilir, suçlu kim? Kimse değil, suçlu sizsiniz…
• “Bu programı kurun 500 kontör kazanın” gibi safsatalara sakın ha sakın kanmayın, ne internette ne sokakta beleş diye birşey yok, bunu iyice belleyin. Bu size verilecek olanın en az on katının sizden geri alınacağının gizli adıdır: “Beleş, bedava, ücretsiz… püsür…”
• Mümkün olan son raddeye kadar ad-soyad ile değil, nick (takma ad, mahlat) ile gezinin, özellikle haber altı yorumlara, forumlara, sivil toplum kuruluşu web sitelerine yazacağınız yorum ve yazılar gibi, ha ne zaman kendi blogunuz oldu, benim adım übeyir sümbülkıran’dır diye sümbül’ün boynunu kırarsınız. (STK: Sivil Toplum Kuruluşları’na haksızlık olmasın, ama sitelerinin güvenli olmadığını kendileri de biliyorlardır, üstüne üstlük bireylerin “gerçekten” kendi tercihleri doğrultusunda “gerçekten” ifade edebildiği bu STK’ler derin ve gizli güçlerin özel ilgi alanındadır, bu yüzden Türkiye’de hem birey hem de alanen STK üyesi olmak çok zordur.)
• En azından bir yanınız popüler kültür karşıtı olsun, ve ara sıra onun sözünü dinleyin, mesela Facebook, Myspace gibi sitelerde cayır cayır bağırmayın, gizlenmesini öğrenin, hatta mümkünse bu tür kanalları çok fazla kullanmayın ama katil de olmayın :P (Amca katili facebook sayesinde yakalandı)
• İnternette sosyalleşme denilen şey, bedava işgücü anlamına gelir, dahil olurken dikkatli olun

Önce telefon dinleme ve bireysel özerkliğin ihlalleri sonucunda oluşan olaylara aşağıdaki linklerden bir bakalım.
963 telefon yasadışı dinlendi.
2004 yılında 19 bin 628 cep telefonu ve 3 bin 310 sabit telefon dinlendi.
Prens Charles’ın telefonu dinlendi.
Telefonlar da dinlendi.
50 bin kişi mahkeme kararıyla dinleniyor. (Belki de sıra sizde :)
Telekom da dinlemeden habersiz!

Bu haberler şimdilik telefon dinlemeleriyle ilgili, kısadan hisse ister ak olun ister kara, başıma gelmez demeyin, telefonda sizin için önem ve herhangi birileri için tehlike ya da dikkat arz eden şeyleri konuşmayın, ya da filmlerdeki gibi telefon klübelerinden ve kontörlü telefon görüşmesiyle, isim ve yer kullanmadan konuşun, allah muhafaza dinleme mekanizmasını yanlış alarm vesilesiyle devreye sokabilirsiniz, zira bu tür sistemler belli anahtar kelimeler algılandığında devreye giriyor, siz belki tamamıyla şakalaşarak “bomba atarım uleyn sizin eve” bomba tehlikeli sözcüğünden ötürü-getiri kayıt mekanizmasını tetikleyebilirsiniz. Sizin için hiç bir tehlike arz etmeyen durumlar bir çok kişi ve kurumu tedirgin etmenin ötesinde histeri krizlerine sokabilir, sizi öldürmek bile isteyebilirler (tirajikomik gülücük işareti yok ki), tamam, “ben prens charles değilim ki” diyebilirsiniz ama neyiniz eksik ki :P

Benzer tavsiyeler SMS ve MMS mesajlar için de geçerli tabi.

Sırada internette sörf güvenliği var. MS Internet Explorer’in dillere destan güvenlik açıklarını herkes duymuştur, İster işletmeci olun, ister solcu üniversite öğrencisi genç, ister faşo, ister bir muhalif, ister polis/doktor, ister ajdar olun, ya da gizli bir transfer teklifi almış ve bunu başarıyla nihayete erdirmek isteyen bir “siporcu”… bla bla bla… her türlü kişisel hak ihlalini yanlış bulan biri olarak bunları yazmayı istedim (bakalım başıma neler gelecek :P), herneyseniz o: daima açık kaynaklı yazılımlar kullanın, çünkü dev kurumlar (Microsoft, Apple v.s.) kişisel güvenlik alanında külliyen sınıfta kaldılar, daha güvenli bir yol olarak herkesin katkıda bulunduğu bu alanda hizmet veren binlerce proje var, bunların en önemlisi tabi ki Mozilla.

Tarayıcı olarak mutlaka ve mutlaka Firefox kullanın, çok da aptal bir hayran görüntüsü çizmek istemem ama gerçekten güvenilir olduğunu yaptığım iş dolayısıyla da adım kadar iyi biliyorum.

E-mail istemcisi olarak yine altına imzamı atabileceğim ikinci bir mozilla ürünü olarak Thunderbird‘ü tavsiye edeceğim.

“Bu yazılımlar çok mu güvenli, hiç mi şaşmaz” diye soracak olursanız şaşar tabii, her yazılım gibi bunlarında zaman zaman güvenlik yamaları oluyor, ama Firefox ve Thunderbird ikilisi bugünün koşullarında var olan en güvenli ve en hızlı yama edilen yazılımlar.

Sırada internet cafeler ve kişisel bilgilerinizin güvenliği var. Bir kere şunu kendinize kural edinin, ister kendi bilgisayarınızdan, ister arkadaşınızın bilgisayarından, ister internet cafelerden… “mühim” bir yerlere bağlanacağınız zaman asla ve asla, sebepler ve koşullar ne olursa olsun Internet Explorer kullanmayın, kullandırtmayın. Gerekirse 5-10 dakika vakit kaybedin ve www.mozilla.com adresinden Firefox indirip işinizi görün. (Bunu sadece ben demiyorum, internetin en güvenilir yazarları/çizerleri ve kurumları da aynı öneride bulunuyor.) Bunun yanı sıra arkadaşınızın bilgisayarından belki ama internet cafe’lerden asla Internet bankacılığı kanallarını kullanmayın, bu konuda bir çok kurban gördüm ve bizzat şahit oldum. İşiniz bittikten (artık bir Firefox kullanıcısı olduğunuzu varsayıyorum) sonra ctrl+shift+delete tuş kombinasyonuna basıp indirmiş olduğunuz bütün bilgileri ve açık kalan -türkçesi herneyse- session’ları mutlaka (Güvenli Çıkış, Çıkış, Logout, Sign off ve türevi butonlar ile) kapatın  ve masaüstü v.b yerlere kopyaladığınız dosyaları mutlaka o bilgisayardan silin. Kalkarken USB diskinizi sakın bilgisayardan sökmeyi unutmayın :-)

Sırada chat güvenliği var, internetten sevgili bulma ayakları falan külliyen yalandır, boşuna aramayın bulmazsınız, bulursanız da kendinizi kandırmış olursunuz beni değil, benden söylemesi. O yüzden chat yazılımlarınız sadece eş-dost ile, aileniz ve tanıdıklarınız ile alternatif bir iletişim metodu olarak kullanın, telefondan daha ucuz v.s. vb.

Ha ola ki özel bir mesele yazışacaksınız, kesinlikle OTR Chat (Off The Record - Kayıt dışı, Kayıda kapalı) modunda yazışmayı tercih edin.

Gmail bile artık OTR chat destekliyor.

Eğer bir güvenlik sertifikası kullanmıyorsanız, OTR chat sadece bilgisayarınızda dosya olarak kayıtlı olmadığı için diğer opsiyonlara göre biraz daha güvenlidir. Yoksa çok da aman bir numarası yoktur.

OTR desteklemeyen bir yazılım kullanıyorsanız Windows ve Linux için MirandaIM kurabilirsiniz. Mac kullanıcıları için benzer özelliklerde Adium var. Hepsi açık kaynak bunların vatandaş, geal…

Mac kullanıcıları chat, keychain, GPG, mail ve benzeri yazılım ayarlarını kesinlikle secure disk’lerde tutmalı, Secure disk oluşturmakla ilgili daha ayrıntılı bilgi için aşağıdaki sayfaları ziyaret ettikten sonra bu secure disk içerisinde Symbolic Linkler oluşturarak bütün datalarınızı güvenli hale getirebilirsinz.
Creating a Mac OS X Encrypted Disk Image

How to Use Encrypted Disk Images to Secure Files

Bir Adım Ötesi

Bu bölümde biraz daha ileri düzey güvenlik önlemlerinden bahsedeceğim, Bunlardan ilki

İnternette iz kaybettirmek: TOR Project

Bu bölümde Vidalia ve Firefox ile izimizi kaybettirip biraz daha güvenli bir hale geleceğiz,

www.torproject.org adresinden işletim sisteminize uygun “stable” versiyonu indirip kurduktan sonra bilgisayarınızı yeniden başlatın, Programlar’dan Vidalia’yı seçip başlatın.

Tekrar Firefox kullandığınızı varsayıyorum:  Tor Button eklentisini Firefox’a kurup Firefox’u yeniden başlatın. Firefox’un alt barında aşağıdaki gibi bir ibare göreceksiniz,

Bu butona her tıkladığınızda Proxy ayarlarınız aktif ya da pasif olur (Yeşil: aktif, Kırmızı:pasif)

Hem Vidalia hem Tor Button Yeşil renkliyken: http://check.torproject.com adresini ziyaret edin

Eğer IP adresiniz ve “iziniz” kaybedilmekte başarılıysa,

değilse aşağıdaki gibi bir ekran göreceksiniz.

TOR bağlantınız başarılı olduysa, google bile insana farklı muamele yapıyor,

Bir not: TOR bağlantısı kurduktan sonra bağlantınız biraz hatta bayaa bir yavaşlayabilir, eee bir iki tıkla başka ülkelere uçmanın da bir bedeli olmalı….

TOR güvenli midir

Eğer birileri canını dişine, yedi-ceddi bilgisayar kurdu eşini dostunu peşine takıp, bağlandığınız Proxy serverları indirip sizin Proxy bağlantınızı elinde tutmayı başaramazsa (Milyarda bir~~~) güvenlidir denebilir,

GPG ile Şifreli mailleşme, Thunderbird ile Enigmail, Firefox ile FireGPG

Çok fazla detaya girmeden geçiştirmek durumundayım, zira başlı başına bir makale olabilecek bir mevzu bu, ben kurdum kullanıyorum :P

Önce GnuGPG kurun ve çok zor bir şifreyle bir sertifika üretin, (Bu adımları uygularken ingilizce bilmeniz çok büyük avantaj :P)
Thunderbird için Enigmail eklentisini kurun, ürettiğiniz sertifikayı enigmail eklentisi ayarlarından tanıtın,
Üretilen sertifikayı arkadaşlarınıza eşe dosta gönderin, şifreyi nasıl olsa sadece siz biliyorsunuz, onlar da kendi şifrelerini.

Webmail (Gmail, Yahoo!, Hotmail v.b.) ile şifreli mailleşmek için Firefox için FireGPG eklentisini kurduktan sonra daha önce ürettiğiniz sertifika ile şifreli yazışabilirsiniz.

Çok daha ayrıntılı bilgi için aşağıdaki linkleri inceleyebilirsiniz:
Set Up GPG Encryption on Windows
Quick Tips for Using GPG
Step-by-step GnuPG Installation and Configuration on Windows
HOWTO Setup GnuPG Quickly
How to Use Gnu Privacy Guard (Linux/Ubuntu)
PGP/GPG on the Mac
PGP/GPG Beginners Mailing List
PGP ye Pratik Giriş, PGP Kullanımı ve E-mail Güvenliği

GPG gerçekten güvenilir midir?

Sadece bu soruya evet 99.9e(10^10^10)% oranında güvenlidir diyebiliyorum, ama asla %100 değil…

( 10^10^10: On üzeri onun, onuncu kuvveti demek, Matematikte bu ifadeye Googol denir)

1 ^googol = 10¹⁰⁰ = 10,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000,000

10^googol = (10¹⁰)¹⁰⁰.

Wikipedia: Googol
Wikipedia: Nikolai Gogol
Wikipedia: Gogol Bordello