Giriş
Merhabalar ben Lihtg.
Konu içerisinde şifre güvenliğini detaylı şekilde ele alacağız ve alabileceğimiz hemen hemen tüm önlemlere uygulamalı şekilde değineceğiz. Konu içerisinde yıllardır duyduğumuz kaideler için sorulan "neden?" sorusuna da cevap olmaya çalışacağız.
Konuyu özellikle temel güvenlik konusunda bilinçlenmek ve hesaplarını çaldırmamak isteyen arkadaşlarımızın hiçbir cümlesini atlamadan okumasını ve bir şeyler kapmasını tavsiye ederim.
Sizler de ekleme yapmak veya sormak istediğiniz bölümleri mutlaka bana yorum atarak bildirin, yorumlarınızı bekliyorum
Girişimizi yaptığımıza göre konumuza başlayalım.
Şifre Seçimi
Evet bu konu okullarda bile sürekli şekilde bahsediliyor fakat gördüğüm kadarıyla buna gerektiği kadar dikkat edilmiyor maalesef. Bunların sebebi neden böyle yapmalıyız diye sorduğumuzda "siz öyle yapın işte" cevabını almamız olabilir diye düşünüyorum. Şimdi neden güvenli bir şifre seçmemiz gerektiğini ve bunu nasıl yapacağımızı öğreneceğiz.
1- Neden Güvenli Şifre?
Bunun için en basitinden Brute Force saldırısını öğrenelim. Brute Force (Kaba Kuvvet) saldırısı şifremize yönelik genellikle belli listeler kullanılarak deneme-yanılma yoluyla şifreyi kırmaya yönelik bir saldırıdır. Örneğin bu saldırıyla saldırgan sırasıyla a, b, ab, ba şeklinde milyonlarca deneme yaparak şifreyi bulmaya çalışır. Bu sebeple şifremiz ne kadar karmaşık olursa kırılması okadar uzun sürer ve hatta belki milyonlarca yıl kırılmayacak şifreler de yapabilirsiniz.
Ayrıca altta veri sızıntılarından bahsedeceğiz bu yüzden yine bu örnek üzerinden gidelim. Bir site sebebiyle parolalarımız sızdırıldığında bazen sızdırılan parolamız şifreli şekilde sızar ve parolamız yeterince güvenliyse bu şifrelenmiş hali kırılamaz ve parolamız açığa çıkmaz. Bu gibi sebeplerden dolayı parolamızı güvenli seçmek oldukça önemlidir. Şimdi güvenli parola seçimi için birkaç ipucunu görelim.
2- Güvenli Parola Seçimi
Güvenli bir şifre oluşturmak için çeşitli araç ve siteler var. Bunları tercih edebilirsiniz veya aşağıdaki tavsiyelerle kendi şifrelerinizi de oluşturabilirsiniz.
- a) Büyük-küçük harf, sayılar, özel semboller (!, #, ', _ , =, ?) karmaşık şekilde şifrenizde bulunsun. Hatta bazı sistemler boşluk karakterini de şifreye kabul ediyor. Mümkünse mutlaka kullanın. Ve kullandığınız sayı veya harfleri ardışık bir biçimde (abcde, 12345 vb.) şeklinde kullanmayın, olabildiğince karmaşık olsun.
- b) Asla isminiz, doğum tarihiniz, evcil hayvanınız gibi özel hayatınıza dair bilgileri kullanmayın. Bu hem şifreniz sızdırıldığında sizi korumak adına hem de size özel yapılabilecek Brute Force saldırılarından korunmak adına oldukça önemli olacaktır.
- c) Olabildiğince uzun şifre seçimi yapın. Tavsiyem kırılmasını olabildiğince imkansız hale getirmeniz için minimum 15 haneli şifreler kullanmanız.
3- Şifremi Nasıl Aklımda Tutacağım - Saklayacağım
Bunun en güzel yolu şahsi fikrim sadece sizin bildiğiniz bir defterinize yazmak. Bunun tek riski defterin kaybolması veya başkasının eline geçmesi. Bunların yaşanmaması için önlemleri almak biraz da size kalmış fakat dijital anlamda oldukça güvenli bir yöntemdir.
Bunun dışında KeePassX gibi şifre depolama sistemlerini kullanabilirsiniz. Bu parola depolama araçları parolaları kendi içerisinde şifreleyerek tutar ve bilgisayarınızda bunları kullanacağınız zaman hızlıca kopyalamanızı sağlar. Fakat şahsen böyle bir sistem daha önce kullanmadım ve zorunlu kalmadıkça tavsiye etmem. Bunların dışında üstteki tavsiyeleri dikkate alarak aklınızda kalacak bir şifre oluşturabilirsiniz. Bu bir şarkı sözü veya sevdiğiniz bir özlü söz olabilir. Bu sözleri üstteki tavsiyelerin ışığında özelleştirebilir ve kendi akılda kalıcı güvenli şifrenizi oluşturabilirsiniz.
Neden Aynı Şifreyi Bir Kere Kullanalım?
Bir çoğumuz belki yıllardır aynı epostayı her yerde kullanıyoruz. Hatta bir çoğumuz da aynı eposta ve şifreyi birden fazla sitede belki de her yerde kullanıyor. Yıllardır yapılan çeşitli uyarılara rağmen bu alışkanlık devam ediyor. Şahsi fikrim olarak bunun devam etmesinin sebebi insanlarımızın neden aynı şifreyi birden fazla yerde kullanmamamız gerektiğini anlamamış olması. Şimdi acaba kullandığımız epostanın veya parolamızın daha önce internete sızdırılıp sızdırılmadığını görelim ve neden aynı şifreyi kullanmamız gerektiğini uygulamalı şekilde öğrenelim. Daha kolay anlatabilmek adına örnek bir senaryo üzerinden ilerleyeceğim.
Benim epostam [email protected] olduğunu varsayıyorum. Ve bu epostada kullandığım şifre turkhackteam olsun.
Şimdi bu eposta ve aynı şifreyle Instagram, Facebook, Twitter, Papara, Trendyol, Yemek Sepeti sitelerine ve bir A sitesine kayıt olalım. Şuana kadar şifremizin zayıflığı dışında hiçbir sıkıntı yok, o konuya zaten üst başlıkta değinmiştik.
Şimdi bu büyük sitelerin dışındaki A sitesinin hacklendiğini ve kullanıcıların tüm eposta ve şifrelerinin sızdırıldığını düşünelim. Bu adımdan sonra senaryonun devamını anlamışsınızdır diye düşünüyorum
A sitesinden sızdırılan veriler Darkweb gibi yerlerde yayılır, satılır ve sizin bu epostayla bu şifreyi kullandığınız ortaya çıkar ve size saldırı yapmak isteyen bir kişi bu eposta ve şifreyle sizin diğer Instagram, Papara gibi hesaplarınıza rahatça girer, Trendyol veya Yemek Sepeti gibi hesaplarınıza girerek kayıtlı kredi kartlarınızı kullanır vb. vb.
Tabii ki bu tarz hacklenme ve veri sızıntıları illaki bilinmedik bir A sitesinde olacak değil, bu tarz sızıntılar büyük şirketlerin birçoğunda da gerçekleşebilir ve daha önce defalarca gerçekleşti. Ayrıca bu tarz sızıntılar illaki sitelerden kaynaklı olmayabilir, kullanıcı kaynaklı veri sızıntıları da gerçekleşebilir. Bu bilgisayarımıza giren Keylogger veya Grabber gibi zararlı yazılımlar sonucu verilerimizin sızdırılmasıyla da olabilir. Bu konuya da alttaki başlıklarda değineceğiz.
Şifrelerimiz Sızdırılmış mı?
Şifrelerin nasıl sızdırıldığını üstteki başlıkta öğrendik. Peki acaba bizim şifrelerimiz yayılmış mı? Bunu öğrenmemizi sağlayan Have I Been Pwned?, Google One, BreachDirectory gibi dünyaca ünlü hizmetler var. Bu sitelerin çalışma mantıkları oldukça basit. Daha önce internete sızdırılan veri tabanları, şifre listeleri gibi veriler arasında taramalar yaparak şifrenizin veya epostanızın daha önce sızdırılıp sızdırılmadığını sizlere söylüyor.
Sizler Google kullanıyorsanız kayıtlı şifreleriniz tümünün daha önce sızdırılıp sızdırılmadığını sizlere gösteren Google One hizmetini kullanabilirsiniz. Hatta Google One'in bildirimlerini aktifleştirerek herhangi bir şifrenizin sızdırıldığı öğrenildiği an bilgi sahibi olabilirsiniz. Biz bu konuda kullanımı çok basit ve bence gayet kaliteli olan Have I Been Pwned? sitesini tanıyacağız. Şimdi kullanımına geçelim.
1- Site Arayüzünü Tanıyalım
Anasayfaya baktığımızda üst kısımda "Home" , "Notify me", "Domain Search" , "Who's been pwned" , "Passwords" , "API" , "About" , "Donate" bölümlerini görüyoruz. Bunlardan bizim işimize yarayanları sırasıyla inceleyeceğiz. Fakat ilk önce ana sayfada önümüze çıkan e-postamızın daha önce sızdırılıp sızdırılmadığını öğrenmemizi yarayan özelliği kullanalım.
2- E-postamız Sızdırıldı mı?
Bu özellik daha önce e-postamızı kullandığımız bir sitede herhangi bir bilgimizin sızdırılıp sızdırılmadığını öğrenmemize yarıyor. Direkt olarak epostamızı girip kontrol edelim.
Evet kontrol ettiğimiz epostayı kullandığımız sitelerde bizi tehdit eden bilinen bir sızıntı yok
Fakat burada bulunamaması demek e-postamızın güvenli olduğu anlamına gelmez. Bu site, topladığı apiler ve databaseler üzerinde tarama yapıyor. Tarama yapmadığı veya internete tam olarak yayılmamış başka bir sürü veri tabanları var bu sebeple epostamız %100 güvenli diyemeyiz, şifrelerimizi düzenli olarak değiştirelim.3- Notify Me Bölümü
Bu bölümden e-postamızı girerek olası bir sızıntıda bize haber vermesini isteyebiliriz. Bu sızıntı tespit edildiği an açığımız kullanılmadan kapatmamıza yarar ve harika şekilde işimize yarar. Bu özelliği diğer bahsettiğim "Leak Check" sitelerinde de aktifleştirmeniz sizin işinize yarayacaktır.
4- Who's Pwneed Bölümü
Bu bölümden verileri sızdırılan ünlü siteleri görebilirsiniz. Tanıdığınızın kullandığı bir site olduğunu görürseniz onları da uyarabilirsiniz
5- Passwords Bölümü
Bu bölümde aynı mail kontrolü bölümü gibi çalışıyor. Şifrenizi girerek daha önce sızdırılıp sızdırılmadığını görebilirsiniz.
Bu site için bu kadar tanıtım yeterli diye düşünüyorum. Diğer bahsettiğim sitelerin hizmetlerini de sizler deneyerek öğrenebilirsiniz.
Bu sitelerin eğer varsa "Notify me" benzeri özelliklerini aktif etmeniz ve arada bir kendinizin de şifrelerinizi ve epostalarınızı kontrol etmeniz sizler için çok iyi olacaktır.
Şifrelerimizi Tehdit Edecek Zararlı Yazılımlar
Şimdi indirdiğimiz dosyaların içerisinde bulunabilecek ve şifre güvenliğimizi tehdit edecek zararlı yazılımları tanıyacağız ve bunlara alınabilecek mutlak önlemleri öğreneceğiz.
- Öncelikle RAT nedir bunu öğrenelim. RAT (Remote Access Trojan) bilgisayarımızı uzaktan kontrol edebilen, oldukça fonksiyonel bir zararlı yazılımdır. İçerisinde ekran izleme ve bu konuda öğreneceğimiz diğer zararlıları da barındırabilir. Aynı zamanda RAT aracılığıyla bilgisayardaki dosyalara da erişim sağlanabilir.
- Bunun dışında çok duyduğumuz Keylogger zararlısı var. Peki Keylogger nedir? Keyloggerların genelde tek amacı klavyeden bastığımız bütün tuşları kaydetmek ve yazılımın sahibine göndermektir. Keyloggerların bazılarında düzenli aralıklarla ekran resmi almak gibi özellikler de bulunuyor, bu konuda hepsine çözüm olacağız hiç merak etmeyin
- Şimdi ise Grabber zararlısının ne olduğunu öğrenelim. Bu zararlı bilgisayarımıza girdiği an tüm kayıtlı tarayıcı şifreleri, sistem bilgileri gibi bir çok bilgimizi toplar ve zararlının sahibine gönderir.
Az çok bu 3 zararlı yazılımın ne olduğunu öğrendik. Bunlar genellikle oyun hileleri, crack programlar, sürekli farklı bilgisayara takılan USB bellekler gibi şeyler yüzünden yayılıyor ve şifrelerimizi kapıyorlar. Şimdi bunlara ve bunların özelliklerine nasıl önlemler alacağımızı öğrenelim.
Zararlı Yazılımlara Önlem Alalım
- Tabii ki alabileceğimiz güzel bir önlem Antivirüsler ve Firewallar. Bunlardan Antivirüs olarak Kaspersky, Eset ve Norton; Firewall olarak ise Comodo Firewall ve ZoneAlarm'ı önerebilirim. Bilgisayarınızda en az birer tane Antivirüs ve Firewall bulunması mutlak surette önemli. Bunların dışında birazdan öğreneceğimiz Keyscrambler benzeri uygulamalardan da bulundurmanız sizin için faydalı olacaktır.
Bunun dışında şimdi zararlı yazılımların içindeki özelliklere bir bir nasıl önlemler alabileceğimizi öğrenelim.
1- Ekran İzlemeye Karşı Önlem
- Üstte öğrendiğimiz üzere birçok zararlı yazılımda ekran izleme özelliği mevcut. Bunu engellemenin basit bir yolu eğer şifre yazma yerinde sansür yoksa sekmeyi alıp ekranımızdan kenara çekmek ve monitörde göremeyeceğimiz şekilde yazmak Tabii ki bu yöntem gülünç ve basit gözüküyor olabilir fakat sadece ekranımızın izlendiğini varsayıyorsak gayet güzel bir yöntem. Buna ek olarak ekranda yazdığımız şifreleri gizleme araçları mevcut, herhangi birini tercih edebilirsiniz.
2- Grabberlara Karşı Önlem
- Grabberlar öğrendiğimiz üzere cihazda, özellikle de tarayıcılarımızda kayıtlı şifrelerimizi çekiyor. Bunun tabiiki en güzel yöntemi mümkün olduğunca hiçbir şifreyi kaydetmemek veya kaydediyorsak da KeePassX benzeri parolalarımızı şifreleyerek saklayan uygulama veya bu tarz eklentileri tercih etmeliyiz. Bunun için internette bir çok eklenti bulabilirsiniz.
- Ayrıca mutlaka temizliğe yönelik CCleaner gibi araçlar aracılığıyla düzenli olarak kayıtlı şifre ve geçmiş temizliği yapın.
3- Keyloggerlara Karşı Önlem
- Bu zararlıya karşı alabileceğimiz güzel bir çözüm ekran klavyesi kullanmak. Ekran klavyesinden tıkladığımız harfler Keyloggerlar tarafından kaydedilemez. Fakat bazı keyloggerlarda tıkladığımız yerleri veya düzenli olarak ekranımızın ekran resmini alan özellikler olduğu için ekran klavyesi kesin bir çözüm değil.
- Keyloggerlara karşı alabileceğimiz bir diğer önlem olan bir programı tanıyacağız şimdi. Programımızın ismi Keyscrambler. Programın çalışma mantığı oldukça basit, klavye aracılığıyla bastığımız her tuşu şifreler ve daha sonra şifreyi çözerek yazdırır. Bu program tam 17 yıldır geliştirilmektedir, eski olabilir fakat tam 10.000.000'dan fazla kişi tarafından kullanılmış ve kullanılmaya da devam etmektedir. Uygulama tüm tarayıcılar içerisinde yazdıklarınızı şifreler ve buna ek olarak 500'den fazla bağımsız uygulamayı destekliyor ve bunların içerisinde yazdıklarınızı şifreliyor.
Şimdi adım adım nasıl kullanacağımızı öğrenelim.
a) Keyscrambler'i İndirelim
Download – KeyScrambler by QFX Software Corp. Bu bağlantıyla birlikte orijinal sitesinden güvenli şekilde yazılımımızı indirebiliriz. Biz bu konuda ücretsiz versiyonunu tercih edeceğiz. İndirdikten sonra çok basit bir kurulumu var, hızlıca kuralım.
b) Ayarlarını Yapalım
Ayarları bilgisayarımız için en güvenli olacak şekilde yaptım. Programı kullanırken şahsen sistemimde aşağıdaki ayarları kullanırken herhangi bir yavaşlık görmüyorum fakat sizlerde kasma gibi durumlar yaşanırsa koruma seviyesini bir tık düşürebilirsiniz.
a) Keyscrambler'i İndirelim
Download – KeyScrambler by QFX Software Corp. Bu bağlantıyla birlikte orijinal sitesinden güvenli şekilde yazılımımızı indirebiliriz. Biz bu konuda ücretsiz versiyonunu tercih edeceğiz. İndirdikten sonra çok basit bir kurulumu var, hızlıca kuralım.
b) Ayarlarını Yapalım
Ayarları bilgisayarımız için en güvenli olacak şekilde yaptım. Programı kullanırken şahsen sistemimde aşağıdaki ayarları kullanırken herhangi bir yavaşlık görmüyorum fakat sizlerde kasma gibi durumlar yaşanırsa koruma seviyesini bir tık düşürebilirsiniz.
- "General" bölümünde yapabileceğiniz şey Windows başlangıcında uygulamayı çalıştır seçeneğini aktif etmek. Bu özellik sayesinde otomatik şekilde aktifleşir, sizi uğraştırmaz.
- "Display" kısmı tamamen size kalmış, ben şahsen sürekli bir sembol göstermesini istemediğim için "Splash Screen" seçeneğini deaktif ettim.
- "Update" bölümünde otomatik güncelleme özelliğini mutlaka açalım, her zaman programlarımızın güncel versiyonunu kullanmak bizim için önemli.
- "Advanced" bölümünde şifreleme korumasında ek seçenekler var bunları da açıyoruz.
- "Anti-Profiling" bölümünde ise şifreleme gücünü maksimuma alıyorum ve desteklediği tüm uygulamalarda çalışmasını istiyorum. En üstteki seçeneği bilerek aktif etmedim, daha deneme aşamasında olduğu için sistemimi inanılmaz şekilde yavaşlattı fakat sizlerin sistemi yeterli ise tercih edebilirsiniz.
Programın kullanımı gördüğünüz üzere oldukça basit. Şahsen her bilgisayarda bu ve buna benzer Zemana AntiLogger veya GhostPress gibi yazılımları bulundurmanızı tavsiye ediyorum.
4- Diğer Zararlı Yazılımlara Alınması Gereken Önlemler
İsim olarak bahsetmediğimiz fakat oldukça zararlı farklı yazılımlarda mevcut. Aşağıdaki temel önlemlere dikkat etmek bunlardan korunmamızı sağlayabilir.
- Diğer zararlılardan korunmak için birincil olarak asla bilmediğiniz veya güvenilirliğinden emin olmadığınız yerlerden dosyalar indirmemeniz. Hiçbir Antivirüste uyarı vermese bile içerisinde gömülü zararlılar bulunabilir ve en basitinden sisteminize zarar verebilir. Bunun dışında okul veya iş yeri gibi ortamlarda kullandığınız USB belleklerinizi kişisel bilgisayarlarınıza sokmayın. Güvenmediğiniz bir dosyayı indirmeniz zorunluysa mutlaka sanal bilgisayarınıza veya Sandboxie gibi sanallaştırma ortamlarına indirin. Kişisel bilgisayarınıza indirmeniz zorunlu ise Virus Total benzeri online tarama sitelerini kullanın. Sisteminizi ve kullandığınız uygulamaları sürekli olarak güncel tutun ve mümkünse düzenli olarak güncelliklerini kontrol edin. Firewall ve Antivirüsünüzü daima aktif ve güncel tutun.
Dosya Olmadan Yapılacak Saldırılara Önlemler
Zararlı yazılımlara karşı önlemleri gördük şimdi herhangi bir yazılım indirmeden yapılacak saldırılara karşı hangi önlemleri alabiliriz bunu görelim.
- Öncelikle aktif olarak kullandığınız tarayıcımızda güncel bir Antivirüs eklentisi kullanın. Bu olası çerez çalma saldırılarına karşı sizleri bir nevi koruyabilir. Ayrıca çerez çalma saldırılarından korunmak için her linke asla ve asla atlamayın. Çerez saldırısı demişken bunun da ne olduğunu öğrenelim. Örneğin bir siteye kayıt olduktan sonra "beni hatırla" seçeneğini aktif ettiğimizde bizim giriş bilgilerimiz çerez olarak cihazımıza kayıt edilir. Ve session hijacking benzeri saldırılar ile bu çerez çalınabilir ve sadece bu çerez ile hesabımıza erişim sağlanabilir.
- Bunun yanında https Everywhere gibi eklentilerle birlikte siteleri https bağlantısı göndermeye zorlayacak, eğer site https kullanmıyor ise sizi uyaracak eklentiler veya yazılımlar kullanabilirsiniz. Bunlar sizi olası sahte sitelere karşı da koruyacaktır.
- Bunların dışında mutlaka sitenin linkini sonuna kadar inceleyin, site ara yüzünde veya linkte tehlikeli olabilecek durumlar fark ettiyseniz asla herhangi bir bilginizi o siteye girmeyin. Günümüzde URL'ler oldukça gelişmiş şekilde gizlenip sahte bir site bile çok gerçekçi şekilde gösterilebiliyor. Bununla da ilgili konumu okuyabilirsiniz: Uygulamalı Şekilde Link Maskelemenin En Güzel Yolları Bu saldırılardan korunmanın en güzel yolu güncel link maskeleme yollarını takipte kalmak ve bu konuda bilinçlenmektir.
- Bunların dışında dosya olmadan Brute Force saldırısına maruz kalabiliriz. Bundan da nasıl korunabileceğimizi üstte zaten öğrendik. Güçlü bir parola bu saldırıdan koruyacaktır.
- Tüm konuya ek olarak ise mutlaka her türlü hesabınızda çok faktörlü doğrulamayı aktif edin, cihazınızda olduğunca az uygulama bulundurmaya çalışın ve internette olabildiğince az hesap açmaya çalışın. Bu tabii ki kendinizi soyutlayın demek değil fakat olası veri sızıntıları veya direkt siteden gelebilecek saldırılara karşı gördüğünüz her siteye kayıt olmamaya dikkat edin.
Son
Evet oldukça uzun bir rehberin sonuna geldik. Bu rehber dediğim gibi sadece şifrelerimize yönelik alabileceğimiz önlemleri anlatmaya çalıştım, olabildiğince başka güvenlik konularından uzak durmaya gayret ettim.
Konuyu beğendiyseniz bir teşekkür, beğenmediyseniz yapıcı şekilde eleştirilerinizi bekliyor olacağım.
Konu içerisindeki tavsiyeler yıllardır kullanılan ve benimde adım adım uyguladığım önlemlerdir. Sizler de hayatınız boyunca bu önlemleri alışkanlık haline getirirseniz çok korkulan "hacklenmek" ile alakalı bir sıkıntınız kalmaz. Şunu da eklemek isterim ki yardım merkezimizin birçok konusu hesabım çalındı ne yapmalıyım şeklinde sorularla dolu.. Bu tarz durumlara düşmemek için baştan önlemimizi almamız gerekiyor. Umarım konunun her bir cümlesiyle sizlere bir şeyler katabilmişimdir.
Esenlikler dilerim, saygılar.
-Lihtg-
Son düzenleme:
