Cookie (Cerez) Nedir? Ne Ise Yarar?
Tanitim
Ne zaman bir siteye girseniz ve internette gezinseniz, site yapimcilari tarafindan surekli iziniz surulur. Bu iz surme islemi Cookie yani Cerez denilen kucuk boyutlu metin dosyalari ile yapilir. Genellikle zararsiz olan bu cookieler siteyi ziyaret eden kisilerin o site uzerinde rahatca gezinebilmesi icin cesitli bilgi ve ayarlari icerir.
Cookieler Tam Olarak Ne Yapar?
Cookie, sunucudan sizin sisteminize gonderilen cok kucuk boyutlu bir bilgi dosyasidir. Boylece tarayicinizdan kisisel bilgilerinizi ve siteye ait olan ayarlarinizi cekebilir. Bazen sistem onbelleginde kaydedilseler de genellikle tarayicinin Gecici (Temporary) dizinlerinde kaydedilirler. Bir siteye daha once girip girmediginizi, o site uzerindeki tema, yerel saat, font boyutu gibi cesitli ufak ayarlari veya site uzerinde bir sayfayi kac kere goruntulediginizi kayit altina cookieler alir. Cookieler bazen de sifre ve kullanici adlarini saklamak icin kullanilir. Ornegin, bir uye giris formunda Beni hatirla seklinde bir secenek gordugunuzde bu hatirlama islemini cookie dosyalari yapar.
Cookieleri Nerede Bulabilirim?
Cookieler Firefox, Internet Explorer, Google Chrome gibi bilinen buyuk tarayicilarda rahatlikla bulunabilir.
- Internet Explorer: Araclar ---> Internet Ayarlari
- Netscape 4: cookies.txtyi herhangi bir metin duzenleyicisi (Notepad, wordpad vs.) ile acin.
- Netscape 6: Edit -----> Options ------> Privacy and Security. View Stored Cookies tikladiginizda gorebilirsiniz.
- Mozilla Firefox: Ayarlar--------> Gizlilik-------> Cerezler. Cerezleri Goruntule ye tikladiginizda tek tek herbirini gorebilirsiniz.
-Mac: Macda cerezler genellikle Magic Cookies isimli klasorde saklanir.
Cookielerin Iceriginde Neler Vardir?
Ne zaman sisteminizde bir cerez hazirlansa, icerisinde tarayicinin anlayacagi sekilde belirli bir domaine ait kullaniciyla ilgili bilgileri de icerisinde barindirir. Simdi hiddenfile.Org sitesine kullanici girisi yapmadan karsimiza cikan ornek bir cereze bakalim ve inceleyelim:
Name: ForumVisit
Content: LastVist=40808%2C0081712963
Host: www.hiddenfile.org
Path: /
Send For: Any type of connection
Expires: Saturday, September 22, 2012 12:12:44 AM
Bir diger cerez de:
Name: ASPSESSIONIDQSQTAAQQ
Content: BDABOMABMJBEEIFJOOCDKDHF
Host: www.hiddenfile.org
Path: /
Send For: Any type of connection
Expires: At end of session
Simdi burada cerezler bize ne demek istiyor tek tek bakalim. Ilk cerezde:
Name: Cerezin adi. (ForumVisit)
Content: Cerezin icerigi (LastVisit ile kullanicinin en son siteye ne zaman giris yaptiginin kaydini tutuyor)
Host: Site domaini.
Path: Site yolu.
Send For: Ne tur bir baglanti icin gonderildigi. (Butun baglanti cesitleri ile belirtilmis)
Expires: Cerezin ne zaman gecerliligini yitireceginin kaydi. (Bir tarih ve saat belirtilmis)
Ikinci cerezimize bakalim:
Name: Cerezin adi. (ASPSESSIONIDQSQTAAQQ)
Content: Cerezin icerigi (ASP Session ID ile oturumda kim oldugunuzun bilgisi tutuluyor)
Host: Site domaini.
Path: Site yolu.
Send For: Ne tur bir baglanti icin gonderildigi. (Butun baglanti cesitleri ile belirtilmis)
Expires: Cerezin ne zaman gecerliligini yitireceginin kaydi. (Oturum sonlanana kadar)
Bazi siteler kullanicilarin oturum bilgilerini sifreleyerek saklamaktansa cerezler ile duz metin seklinde saklamayi tercih ederler. Bu buyuk bir guvenlik acigini ortaya cikarabilir ve kullaniciya ait bilgilerin calinmasina neden olabilmektedir. Ornegin yukaridaki gibi bir cerezde Content kisminda SOLVER%3A8daaad7a37162c37ee2fff0f7d6f169d%3A15 gibi bir ifadeyle karsilasirsaniz:
Kullanici adi: SOLVER
Kullaniciya Ait Bir Bilgi: 8daaad7a37162c37ee2fff0f7d6f169d (MD5 Ile sifrelenmis)
ID: 15
Cookielerden Nasil Kurtulabilirim?
Cookielerin yeri her tarayiciya ve isletim sistemine gore farklilik gosterir. Genellikle siteler uzerinde rahatca gezinebilmeniz ve size uygun site ayarlarinin kaybolmamasi icin cookielerinizi silmeniz pek iyi bir tavsiye degildir. Fakat yine de gezinme gecmisinizi temizlemek ve gizliliginizi yenilemek isterseniz yukarida belirttigim bazi tarayicilara ait cookie yollarina giderek temizleyebilirsiniz. Bunun haricinde eger hicbir sitenin bilgisayarinizda bir veri birakmasini istemiyorsaniz tarayicilarda bulunan Cookieleri Tutma gibi bir secenek ile cookie kaydedilmesini engelleyebilirsiniz. Ama unutmayin: Oturum acmaniz gereken sitelerde cookielerinizin acik olmasi gerekmektedir.
Daha once yazmis oldugum Silinemeyen Cookie: Evercookie adli makalemde yeni uretilen bir cesit silinemeyen cookieyi anlatmistim. Bu cerezin ne amacla kullanilacagi henuz tam olarak bilinemiyor fakat bircok guvenlik uzmanina gore bu Silinemeyen Cookieler buyuk bir gizlilik sorunu olusturacaga benizyor.
Cookie Calmak Nedir Nasil Yapilir?
Yukarida belirttigim gibi bir cookie websitesi uzerinde size ait bircok bilgiyi icerir. Bu yuzden de bu cookienin suresi daha dolmadan yabanci birinin eline gecmesi halinde buyuk bir guvenlik zaafiyeti ortaya cikar. Ornegin hiddenfile.Org sitesinin belirtmis oldugum cerezine bakalim. Sitede oturum actigimi farzettigimizde bu cerez icerisinde bana ait oturum bilgileri tutulacak. Eger ki bir kisi bana ait olan bu cerezleri toplayarak kendi cerezleri ile degistirirse, otomatik olarak site o kisiyi ben zannedecek ve benim hesabimla oturum acmis sayacak.
Cookie calmanin mantigi bu sekildedir ve bircok yolu vardir. Ornegin; XSS saldirilari bunun en populer olanidir. XSS konusuna cok fazla girmeyecegim bu makalede fakat kisaca ozetliyeyim:
XSS acigi olan bir site uzerinde istediginiz HTML ve JavaScript kodlarini calistirabilirsiniz. Bu da size o siteyi etkilemekten ziyade siteye ugrayan kullanicilari etkileme firsati sunar. Site uzerinde calistiracaginiz bir javascript kodu ile XSS Sniffer olusturup oraya giren kullanicilarin cookielerini calabilirsiniz ve bu sekilde onlarin oturumunu da calmis olursunuz. Genel olarak XSS acigindan cookie calmanin da mantigi budur. Daha detayli anlatim icin bu konuda yuzlerce makale mevcuttur.
XSS haricinde kisiye gonderilen bir Cookie Stealer programi ile de cerezler calinabilmektedir. Bu kucuk program, kisi actigi takdirde bilgisayarindaki butun cerezleri saldirgana mail olarak gonderir ve saldirgan da o bilgiler dogrultusunda kurbanin cesitli hesaplarina girebilir.
Cookieler Nasil Duzenlenir / Degistirilir?
Bircok yerde bana gelen sorular hep cookielerin nasil duzenlenecegi ve degistirilecegi yonunde. Bu aslinda karmasik gibi gozukse de oldukca kolay bir islemdir. Bunu yapmanin genel olarak 2 yolu vardir: Elle duzenlemek ve cesitli programlar ve scriptler araciligiyla duzenlemek.
Elle duzenlemek icin yapmaniz gereken sey yukarida belirttigim tarayici yollarindan istediginiz siteye ait cookieyi bulmaktir. Bu cookie genellikle txt formatinda metin editoru ile acilabilecek sekildedir ve bunu acip icerigini degistirebilirsiniz. Ornegin; XSS ile elde ettiginiz bir cerezi bu sekilde varolan cereziniz ile degistirebilirsiniz. Elle degistirme yontemi bu sekildedir ve gunumuz tarayicilarinda cok daha zahmetlidir. O yuzden ufak programlar ve scriptler ile bunlari duzenlemek daha mantiklidir.
Simdi programlar ile cerezlerin nasil duzenlenecegine bakalim:
Bu konuda onlarca program ve tarayici eklentileri mevcuttur. Benim onerim:
Google Chrome icin: Edit This Cookie eklentisidir.
Firefox Icin: Cookies Manager+ eklentisidir.
Opera Icin: Operanin kendi cookie editorunu kullanabilirsiniz. Buna ulasmak icin Tercihler > Gelismis > Cerezler > Cerezleri yönet yolunu izleyebilirsiniz.
Bunlarin haricinde Googleda arama yaparak cesitli cookie editor programlarina ulasabilirsiniz.
Cookielerimin Calinmasindan Nasil Korunurum?
Artik cookielerin onemini ve calinmasi halinde basiniza gelebilecekleri biliyorsunuz. Simdi bunlarin olmamasi icin nasil korunacaginiza goz atalim.
Eger bir site yoneticisi iseniz kullanicilarinizin guvenligi icin cookie surelerini cok uzun tutmayin. Ornegin maksimum gecerlilik suresini 12 saat ya da 6 saat yaparak (Tercihe gore daha da kisa tutulabilir) cookienin suresinin dolmasini saglayin. Boylece bir nebze guvenlik onlemi almis olursunuz.
Eger ki siteye giren kullanici iseniz oncelikle cookieleri ile meydana gelebilecek tehlikelerin farkinda olun. XSS gibi saldirilardan korunmak icin Firefoxun No-Script eklentisini kurun ve kullanin.
Bilgisayariniza antivirus ve guvenlik duvari kurun ve cookie stealer, keylogger, trojan gibi zararlilara karsi onlem almak icin duzenli olarak tarama yaptirin.
Tanitim
Ne zaman bir siteye girseniz ve internette gezinseniz, site yapimcilari tarafindan surekli iziniz surulur. Bu iz surme islemi Cookie yani Cerez denilen kucuk boyutlu metin dosyalari ile yapilir. Genellikle zararsiz olan bu cookieler siteyi ziyaret eden kisilerin o site uzerinde rahatca gezinebilmesi icin cesitli bilgi ve ayarlari icerir.
Cookieler Tam Olarak Ne Yapar?
Cookie, sunucudan sizin sisteminize gonderilen cok kucuk boyutlu bir bilgi dosyasidir. Boylece tarayicinizdan kisisel bilgilerinizi ve siteye ait olan ayarlarinizi cekebilir. Bazen sistem onbelleginde kaydedilseler de genellikle tarayicinin Gecici (Temporary) dizinlerinde kaydedilirler. Bir siteye daha once girip girmediginizi, o site uzerindeki tema, yerel saat, font boyutu gibi cesitli ufak ayarlari veya site uzerinde bir sayfayi kac kere goruntulediginizi kayit altina cookieler alir. Cookieler bazen de sifre ve kullanici adlarini saklamak icin kullanilir. Ornegin, bir uye giris formunda Beni hatirla seklinde bir secenek gordugunuzde bu hatirlama islemini cookie dosyalari yapar.
Cookieleri Nerede Bulabilirim?
Cookieler Firefox, Internet Explorer, Google Chrome gibi bilinen buyuk tarayicilarda rahatlikla bulunabilir.
- Internet Explorer: Araclar ---> Internet Ayarlari
- Netscape 4: cookies.txtyi herhangi bir metin duzenleyicisi (Notepad, wordpad vs.) ile acin.
- Netscape 6: Edit -----> Options ------> Privacy and Security. View Stored Cookies tikladiginizda gorebilirsiniz.
- Mozilla Firefox: Ayarlar--------> Gizlilik-------> Cerezler. Cerezleri Goruntule ye tikladiginizda tek tek herbirini gorebilirsiniz.
-Mac: Macda cerezler genellikle Magic Cookies isimli klasorde saklanir.
Cookielerin Iceriginde Neler Vardir?
Ne zaman sisteminizde bir cerez hazirlansa, icerisinde tarayicinin anlayacagi sekilde belirli bir domaine ait kullaniciyla ilgili bilgileri de icerisinde barindirir. Simdi hiddenfile.Org sitesine kullanici girisi yapmadan karsimiza cikan ornek bir cereze bakalim ve inceleyelim:
Name: ForumVisit
Content: LastVist=40808%2C0081712963
Host: www.hiddenfile.org
Path: /
Send For: Any type of connection
Expires: Saturday, September 22, 2012 12:12:44 AM
Bir diger cerez de:
Name: ASPSESSIONIDQSQTAAQQ
Content: BDABOMABMJBEEIFJOOCDKDHF
Host: www.hiddenfile.org
Path: /
Send For: Any type of connection
Expires: At end of session
Simdi burada cerezler bize ne demek istiyor tek tek bakalim. Ilk cerezde:
Name: Cerezin adi. (ForumVisit)
Content: Cerezin icerigi (LastVisit ile kullanicinin en son siteye ne zaman giris yaptiginin kaydini tutuyor)
Host: Site domaini.
Path: Site yolu.
Send For: Ne tur bir baglanti icin gonderildigi. (Butun baglanti cesitleri ile belirtilmis)
Expires: Cerezin ne zaman gecerliligini yitireceginin kaydi. (Bir tarih ve saat belirtilmis)
Ikinci cerezimize bakalim:
Name: Cerezin adi. (ASPSESSIONIDQSQTAAQQ)
Content: Cerezin icerigi (ASP Session ID ile oturumda kim oldugunuzun bilgisi tutuluyor)
Host: Site domaini.
Path: Site yolu.
Send For: Ne tur bir baglanti icin gonderildigi. (Butun baglanti cesitleri ile belirtilmis)
Expires: Cerezin ne zaman gecerliligini yitireceginin kaydi. (Oturum sonlanana kadar)
Bazi siteler kullanicilarin oturum bilgilerini sifreleyerek saklamaktansa cerezler ile duz metin seklinde saklamayi tercih ederler. Bu buyuk bir guvenlik acigini ortaya cikarabilir ve kullaniciya ait bilgilerin calinmasina neden olabilmektedir. Ornegin yukaridaki gibi bir cerezde Content kisminda SOLVER%3A8daaad7a37162c37ee2fff0f7d6f169d%3A15 gibi bir ifadeyle karsilasirsaniz:
Kullanici adi: SOLVER
Kullaniciya Ait Bir Bilgi: 8daaad7a37162c37ee2fff0f7d6f169d (MD5 Ile sifrelenmis)
ID: 15
Cookielerden Nasil Kurtulabilirim?
Cookielerin yeri her tarayiciya ve isletim sistemine gore farklilik gosterir. Genellikle siteler uzerinde rahatca gezinebilmeniz ve size uygun site ayarlarinin kaybolmamasi icin cookielerinizi silmeniz pek iyi bir tavsiye degildir. Fakat yine de gezinme gecmisinizi temizlemek ve gizliliginizi yenilemek isterseniz yukarida belirttigim bazi tarayicilara ait cookie yollarina giderek temizleyebilirsiniz. Bunun haricinde eger hicbir sitenin bilgisayarinizda bir veri birakmasini istemiyorsaniz tarayicilarda bulunan Cookieleri Tutma gibi bir secenek ile cookie kaydedilmesini engelleyebilirsiniz. Ama unutmayin: Oturum acmaniz gereken sitelerde cookielerinizin acik olmasi gerekmektedir.
Daha once yazmis oldugum Silinemeyen Cookie: Evercookie adli makalemde yeni uretilen bir cesit silinemeyen cookieyi anlatmistim. Bu cerezin ne amacla kullanilacagi henuz tam olarak bilinemiyor fakat bircok guvenlik uzmanina gore bu Silinemeyen Cookieler buyuk bir gizlilik sorunu olusturacaga benizyor.
Cookie Calmak Nedir Nasil Yapilir?
Yukarida belirttigim gibi bir cookie websitesi uzerinde size ait bircok bilgiyi icerir. Bu yuzden de bu cookienin suresi daha dolmadan yabanci birinin eline gecmesi halinde buyuk bir guvenlik zaafiyeti ortaya cikar. Ornegin hiddenfile.Org sitesinin belirtmis oldugum cerezine bakalim. Sitede oturum actigimi farzettigimizde bu cerez icerisinde bana ait oturum bilgileri tutulacak. Eger ki bir kisi bana ait olan bu cerezleri toplayarak kendi cerezleri ile degistirirse, otomatik olarak site o kisiyi ben zannedecek ve benim hesabimla oturum acmis sayacak.
Cookie calmanin mantigi bu sekildedir ve bircok yolu vardir. Ornegin; XSS saldirilari bunun en populer olanidir. XSS konusuna cok fazla girmeyecegim bu makalede fakat kisaca ozetliyeyim:
XSS acigi olan bir site uzerinde istediginiz HTML ve JavaScript kodlarini calistirabilirsiniz. Bu da size o siteyi etkilemekten ziyade siteye ugrayan kullanicilari etkileme firsati sunar. Site uzerinde calistiracaginiz bir javascript kodu ile XSS Sniffer olusturup oraya giren kullanicilarin cookielerini calabilirsiniz ve bu sekilde onlarin oturumunu da calmis olursunuz. Genel olarak XSS acigindan cookie calmanin da mantigi budur. Daha detayli anlatim icin bu konuda yuzlerce makale mevcuttur.
XSS haricinde kisiye gonderilen bir Cookie Stealer programi ile de cerezler calinabilmektedir. Bu kucuk program, kisi actigi takdirde bilgisayarindaki butun cerezleri saldirgana mail olarak gonderir ve saldirgan da o bilgiler dogrultusunda kurbanin cesitli hesaplarina girebilir.
Cookieler Nasil Duzenlenir / Degistirilir?
Bircok yerde bana gelen sorular hep cookielerin nasil duzenlenecegi ve degistirilecegi yonunde. Bu aslinda karmasik gibi gozukse de oldukca kolay bir islemdir. Bunu yapmanin genel olarak 2 yolu vardir: Elle duzenlemek ve cesitli programlar ve scriptler araciligiyla duzenlemek.
Elle duzenlemek icin yapmaniz gereken sey yukarida belirttigim tarayici yollarindan istediginiz siteye ait cookieyi bulmaktir. Bu cookie genellikle txt formatinda metin editoru ile acilabilecek sekildedir ve bunu acip icerigini degistirebilirsiniz. Ornegin; XSS ile elde ettiginiz bir cerezi bu sekilde varolan cereziniz ile degistirebilirsiniz. Elle degistirme yontemi bu sekildedir ve gunumuz tarayicilarinda cok daha zahmetlidir. O yuzden ufak programlar ve scriptler ile bunlari duzenlemek daha mantiklidir.
Simdi programlar ile cerezlerin nasil duzenlenecegine bakalim:
Bu konuda onlarca program ve tarayici eklentileri mevcuttur. Benim onerim:
Google Chrome icin: Edit This Cookie eklentisidir.
Firefox Icin: Cookies Manager+ eklentisidir.
Opera Icin: Operanin kendi cookie editorunu kullanabilirsiniz. Buna ulasmak icin Tercihler > Gelismis > Cerezler > Cerezleri yönet yolunu izleyebilirsiniz.
Bunlarin haricinde Googleda arama yaparak cesitli cookie editor programlarina ulasabilirsiniz.
Cookielerimin Calinmasindan Nasil Korunurum?
Artik cookielerin onemini ve calinmasi halinde basiniza gelebilecekleri biliyorsunuz. Simdi bunlarin olmamasi icin nasil korunacaginiza goz atalim.
Eger bir site yoneticisi iseniz kullanicilarinizin guvenligi icin cookie surelerini cok uzun tutmayin. Ornegin maksimum gecerlilik suresini 12 saat ya da 6 saat yaparak (Tercihe gore daha da kisa tutulabilir) cookienin suresinin dolmasini saglayin. Boylece bir nebze guvenlik onlemi almis olursunuz.
Eger ki siteye giren kullanici iseniz oncelikle cookieleri ile meydana gelebilecek tehlikelerin farkinda olun. XSS gibi saldirilardan korunmak icin Firefoxun No-Script eklentisini kurun ve kullanin.
Bilgisayariniza antivirus ve guvenlik duvari kurun ve cookie stealer, keylogger, trojan gibi zararlilara karsi onlem almak icin duzenli olarak tarama yaptirin.
