Anlık letiler ve Bireysel Internet Güvenlii Murat Lostar* Internet, yaygınlamaya baladıı günlerde "en büyük bilgi bankası" diye adlandırılıyordu. Artık, hem elektronik banka ubesi, hem de telefondan sonra en önemli haberleme aracımız. E-posta, Internet'in bize saladıı önemli olanaklar arasında günlük hayatımıza yerleti. Ancak, Internet ve saladıı fırsatlar, beraberlerinde, daha önce tanımadıımız problemleri de getiriyorlar. Internet üzerinden bize hizmet veren (bankalar, e-posta ile anlık ileti firmaları ve elektronik ticaret) siteler, Internet'in ve yeni teknolojinin getirdii problemleri çözmek için kendi alanlarında youn biçimde çalııyorlar. Bu çalımalar oldukça youn olmakla (ya da olması gerekmekle) birlikte, yeterli deil. Biz kullanıcıların da üzerine düen bazı görevler var. Bizlere ait sorumlulukları, aaıda ayrıntılı biçimde inceleyeceiz. Ancak yine de burada, ilk ve en önemli sorumluluumuzun yeni teknolojinin getirdii tehdit ve problemleri anlamak olduunu belirtmekte yarar var. Elektronik ticaretten bankacılıa, e-posta'dan Internet-telefon görümelerine kadar birçok konu benzer sonuçlar vermekle birlikte, bu yazıda daha çok anlık iletiler üzerinde duracaız. 1988'de balayan IRC (Internet Relay Chat), Austos 1996'da Mirabilis irketinin ICQ ("I seek you" diye okunur) programıyla birlikte daha da yaygınlatı. Uzun süre sadece özel kullanıcılar ile ev kullanıcılarının yararlandıı "anlık ileti" (A - Instant Messaging) programları, gün geçtikçe özel irketlerde de hızlı ve kolay iletiim yollarından biri olarak kabul görmeye, kullanılmaya balandı. Bugün Microsoft (MSN Messenger), America Online (AOL Messenger / ICQ), IBM (Lotus STEP) gibi birçok seçenek, özel ve ev kullanıcıları kadar, kurumlar tarafından da tercih ediliyor. A, kurumlar için hayatı gerçekten kolaylatıran özelliklere sahip. ster masasında, ister evde, isterse de yeni mobil çözümlerle birlikte seyahatte olsun, çalıma arkadaınızın bilgisayarının açık olup olmadıını anlayabiliyorsunuz.yazılı mesajınızın anında onun ekranında belirmesi ve cevabını da hemen alabilmenizin yanı sıra, gelimi ürünlerle dosya aktarımı ile sesli, görüntülü iletiim gibi ek özellikler de salanabiliyor. Anında iletiim, bilgisayarı baında olmayanlar için bilgisayardan cebe kısa mesaj (SMS) özellikleri ile daha da arttı. Anlık leti ile Gelen Tehlikeler (Problemler) Virüsler Virüsler, günümüz iletmelerinin yaygın bilgi ilem problemlerinin baında geliyor. Sürekli Internet balantısı sahibi iletmeler, virüsleri girite durduran çözümler üzerinde duruyorlar.
Ne var ki, bu çözümlerin çou, Internet giriinde çalımaktadır ve sadece e-posta içindeki virüsleri bulmaya yöneliktir. A programları ile yollanan dosyaları tarayamadıkları için, virüslerin kolayca kurum içine girmesine ve kurum içinde yayılmasına engel olamazlar. Özel Virüs, Solucan ve Truva Atları "FunnyFile", ICQ.PWS.Trojan ve "Choke" gibi A programları üzerinden bilgi hırsızlıı ve kendilerini yaymak için yaratılmı özel virüs, solucan ve Truva Atları, aslında hiç de yeni tehditler deil. Internet'te kullanılan her yaygın ürün için olduu gibi, A programlarının da açıklarından veya kullanıcıların hatalarından yararlanarak yayılan zararlı programlar sürekli artıyor. Bu zararlı programları bazıları sadece kendilerini yayarken, bazıları bilgisayardaki gizli olabilecek dosyaları bakalarına yollamakta ve dıarıdan bilgisayarın kontrolünü ele geçirmeye çalımaktadırlar. Kimlik Hırsızlıı Internet'te kimlik hırsızlıı, hem kolaydır, hem de sık gerçekleebilmektedir. Ancak, A çözümleri, kiilerin karılıklı rahat görümelerine olanak saladıı için, kimlik hırsızlıkları olasılıını artırmanın yanı sıra, ortaya çıkabilecek olumsuz sonuçların etkilerini de büyütür. Telefonda konutuunuz kiinin sesi, e-posta'da ise balıklar, iletiim içinde olduunuz kii hakkında bilgi verirken, A çözümleriyle yapılan özellikle yazılı haberlemelerde bu tip yardımcı öeler bulunmaz. Kullanıcı adı ve parolaların çalınması sonucu, bir bakası gibi davranarak bilgisayarın baına geçen biri, A programı aracılııyla karısındakini kolaylıkla yanıltabilir, gizli bilgilere eriebilir. Taklitçilik Sizinle ilk kez A üzerinden balantıya geçen birinin kimliinden nasıl emin olabilirsiniz. Ne yazık ki, cinsiyet, ya ve dı görünüleriyle ilgili bilgileri deitirerek kendini tanıtmayı yeleyen çok sayıda Internet kulanısı var. Kurumlarda da, A programına kendi adı yerine patronunun adını yazarak dier çalıanları kandırmak çok kolaydır. Takip A programlarının hemen hepsi, bilgisayarınızın açık olup olmadıı, hatta sizin bilgisayarın baında olup olmadıınız hakkında bilgi vermektedir. A programları kullanım kolaylıı adına, karıdaki kullanıcılar için bilgisayarın online/çevrimiçi ya da uzakta/away gibi bilgiler veriyorlar. Bu bilgilere bakarak arkadalarımızın bilgisayarının baında olup olmadıını kolaylıkla anlayabiliyoruz. lk bakıta çok kullanılı gibi görünen bu özellik, kötüye de kullanılabilir. Basit hırsızlıktan, sanayi casusluuna kadar birçok konuda, bu özellikten yararlanılmaktadır. Birinci körfez savaı çıkmadan hemen önce, dıarıya hiç bilgi sızdırılmamasına karın, akamları Pentagon'a sipari edilen pizzaların artması basına yansımıtı.
SPAM/SPIM E-posta'da olduu gibi, özellikle ICQ gibi, A programları sayesinde istemediiniz mesajların bilgisayarınıza gelmesi ve en azından zamanınızı alması A programlarının beraberinde getirdii sorunlardan biridir. Türkiye'de de 3 Kasım 2002 seçimleri öncesi birçok A kullanıcısı, kendi istekleri dıında, tanımadıkları kiilerden, partiler ve adaylar hakkında mesajlar aldılar. Tele kulak Masanızda oturuyorsunuz, yan odada, hatta yan masada oturan bir arkadaınıza, telefon etmek veya seslenmek yerine, A üzerinden hassas bir konuda bir soru sordunuz. O da cevap yazdı. Bu soru ve cevabın tüm dünyayı dolamı olabileceini biliyor musunuz? Günümüzde çok yaygın kullanılan bazı A programlarının, kimliinizi ve bulunduunuz yeri korumak amacıyla, tüm haberlemeleri kendi sunucuları üzerinden ilettiini biliyor musunuz? Üstelik ifrelenmeden. Yan masadaki arkadaınıza yazdıınız yazı, geçtii tüm alarda bakaları tarafından "dinlenebilir". Kötüye Kullanım A programları, kurum çıkıında filtrelenmedii sürece, aile fertleri ve özel arkadalarla haberlemek için de rahatlıkla kullanılabilir. Pratikte bu kullanım olasılıını kötüye kullanarak, çalıma saatlerinin çok büyük bir kısmını, e-postalar ile birlikte A üzerinden haberleerek geçiren çalıanlara rastlamak hiç de küçük bir olasılık deildir. Peki Ne Yapacaız? Korunma Yöntemleri Yazının baında da belirttiimiz gibi, burada, kurumlar için deil, bizim birey olarak uygulayabileceimiz korunma yöntemlerini ileyeceiz. Kısaca balıklarımız u ekilde: 1. Bilinçli kullanıcı olalım 2. Parolalarımızı koruyalım 3. Virüslere karı koruma salayalım 4. Yazılım deliklerine karı bilgisayarımızı koruyalım 5. Dier önlemler imdi sırayla bu önlemler üzerinde duralım: 1. Bilinçli kullanıcıolalım Dier tüm önlemler bir yana, en önemlisi, teknolojik problemlerin ve tehditlerin farkında olup, buna uygun davranılar içinde olmaktır. Bu konudaki temel birkaç maddeyi burada sıralamakta yarar var:
a. Gizli bilgiler söz konusu olduunda, hiçbir zaman A programları ile haberlemeyin. Kredi kartınız, kullanıcı adı, parola gibi gizli bilgileri ve kimlik ile dier kiisel bilgileri, karınızdaki kim olursa olsun, A programları ile yollamayın. Unutmayın, bu haberleme Internet üzerinde rahatlıkla bakaları tarafından dinlenebilir, kaydedilebilir. b. Okuduunuz her eye inanmayın. Unutmayın, karınızdaki kii, görünen, ya da iddia ettii kii olmak zorunda deildir. Internet üzerinde insan aldatma ve ilgili sahtekârlıklar her geçen gün artmaktadır. c. A üzerinde sadece kayıtlı kiilerle ve arkadalarımızla görüelim. Kendiliklerinden yeni balantı kurup bize mesaj/dosya gönderebilenler bilgisayarımıza zarar verebilirler, bizi aldatacak mesajlar gönderebilirler. d. A programlarında kullandıımız e-posta adresini ve kod adımızı Internet'te yayınlamayalım. Tanımadıımız kiilerin bizimle balantıya geçebilme olasılıını en düük düzeyde tutalım. e. Bakalarının da kullanabilecei ortak bilgisayarlarda (Internet Cáfe'ler, vb.) A programlarına girerken, parolamızı hatırlamasını engellemek için "otomatik olarak balan" seçeneini iptal edelim. 2. Parolalarımızıkoruyalım Internet ve teknoloji ortamında bizi ve bilgilerimizi korumanın en yaygın yolu parolalardır. Hem A programlarına balanırken, hem de dier tüm kimlik dorulama süreçleri parolalarla iliki yapılmaktadır. Dolayısıyla, parolamızın bir bakasının eline geçmesi, bir anlamda, Internet dünyasında kimliimizi kaybetmemiz anlamına gelebilir. Parolalarımızı nasıl koruruz? Parolalarımızı korumanın birkaç temel yolu vardır: a. Güçlü parolalar yaratalım (aaıda ayrıntılarıyla ilenmitir) b. Parolalarımızı düzenli olarak deitirelim Ne kadar özel, uzun, kısaca güçlü olursa olsun, bütün parolaların dönemsel olarak deitirilmesi gerekmektedir. Ayrıca, yeni parolalar seçerken, eski parolamızın herhangi bir kısmının yeniden kullanılmadıından emin olmalıyız. c. Parolaları hiçbir zaman bakalarıyla paylamayalım. Kendi kullanıcı hesabımızla yaptıımız tüm ilemlerden ahsen biz sorumluyuz. Kullanıcı hesabımızın bir bakası tarafından kullanılmaması hem maddi, hem de çou zaman kanuni bir zorunluluktur. d. Her parolayı sadece bir kez kullanalım. Bir web sitesinde, uygulama programında, cep telefonunuzda ya da kredi kartınızda kullandıınız bir parolayı ele geçiren herhangi biri, aynı parola ile baka bilgilere ulaamamalıdır. Bunu salamanın en basit yolu, farklı alanlarda farklı parolalar kullanmaktır. Peki tüm bu parolaları nasıl hatırlayacaım? Bu sorunun cevabını "güçlü parolalar yaratma" bölümünde bulabilirsiniz. Güçlü parolalar yaratmak
Önemli olan, sizin hatırlayabileceiniz ancak bakalarının tahmin edemeyecei bir parola oluturmaktır. Parolanızın aaıdaki özelliklere sahip olmasına dikkat edin: En az yedi karakter içermelidir, ne kadar uzun olursa, tahmin edilmesi o kadar güç olur (Microsoft Windows 2000 ve Windows XP parolaları 128 karakter uzunluunda olabilir) Büyük ve küçük harfler, sayılar, simgeler içermelidir kinci ile altıncı karakter arasında en az bir adet simge bulunmalıdır En az dört farklı karakter olmalı, tekrarlar bulunmamalıdır. Rasgele seçilmi harfler ve sayılardan olumu gibi görünmelidir Güçlü bir parolada yapılmaması gerekenler: Parolanızda oturum açma adınızın HERHANG BR BÖLÜMÜNÜ kullanmayın. HERHANG bir dilde anlamı olan bir kelimeyi veya adı kullanmayın Benzer harfler yerine sayılar kullanmayın Eski parolanızın herhangi bir kısmını yeniden kullanmayın "klmno" ve "34567" gibi ardıık harfler veya sayılar kullanmayın Klavyede yan yana bulunan harfleri kullanmayın (örnein, "asdfg") Yukarıdaki örnek ve tanımlara uygun olan, her seferinde de farklı parolalar nasıl yaratacaız. Cevap parolaları deil, parola yaratma yöntemini belirlemek ve bunu akılda tutmak. imdi birkaç örnekle bu yöntemi açıklayalım: Kredi Kartları: Günümüzde cüzdanımızda birden fazla kredi kartı, banka kartı vb. bulunmaktadır. Her kart için farklı parola hatırlamak ya da her biri için aynı parolayı kullanmak yerine, dört haneli tek bir sayı ile farklı kartlarda farklı parolalar yaratabiliriz. Örnek olarak 3685 sayısını alalım. Kartlarımız üzerindeki 3, 6, 8 ve 5 sayılar, ilgili kartın parolasını oluturacak. Örnein kartımızın numarası 3450 4304 5542 7822 ise, o kartın parolası: 5344, bir baka kartın numarası 5422 5498 7866 1233 ise, parolası 2485 oluyor. Oysa bu numaraları hatırlamak yerine sadece "3685"'i hatırlamak yetiyor. Cep telefonları: Cep telefonlarında, sayılar yerine, üzerindeki harfleri kullanarak güçlü parolalar yaratabiliriz. Örnein cep telefonumuzu açarken kullandıımız PIN kodu için, (pin kodu, fabrika çıkıı dört hane olmakla birlikte, sekiz haneye kadar çıkarılabilir) aklımızda sayılar tutmak yerine, basit ve hatırlaması kolay bir kelime tutup, onu tulayabiliriz. Örnein benim PIN kelimem "MIHRIBAN" olsun. lgili sayıları bilmeden her ihtiyacım olduunda bu kelimeyi yazıyorum. M=6, I=4, H=4. Sonuç olarak PIN kodum 64474226 ve ben bu sayıyı hiçbir zaman hatırlamak zorunda deilim.
Kısaltmalar kullanmak: Uzun ve karmaık parolalar yaratırken kullanılabilecek önemli yöntemlerden biri de, kolay hatırlayabileceiniz, uzun bir yazının içinden parolaları yaratmak. Örnein stiklal Marı'nı ele alalım. Korkma sönmez bu afaklarda yüzen al sancak, Sönmeden yurdumun üstünde tüten en son ocak Parolamız, her kelimenin ikinci harfi ile olusun: Korkma sönmez bu afaklarda yüzen al sancak, Sönmeden yurdumun üstünde tüten en son ocak Parolamız: "oöuaülaöusünoc" oldu. Ancak bu harfleri hiçbir zaman ezberlememiz gerekmiyor. Tek hatırlamamız gereken "stiklal Marı'nın ikinci harfleri" Klavye'de kaydırma: Seçtiimiz anahtar kelimeyi, klavyedeki ilgili tular yerine yanlarındaki tulara basarak yazabiliriz: Örnein (Q klavyede bir saa kaydırırsak): Murat M-Ö, U-I, R-T, A-S, T-Y. Murat-Öıtsy ortaya çıkıyor. Harflerin yerine benzeyen rakamları ve iaretleri deitirmek: Yukarıda yarattıımız parolaları daha güçlü hale getirmek için bazı harfleri deitirebiliriz: Örnein: -$, o- 0, l-1, j-!,. Önemli: Bu yazıdaki örnek parolaları deitirmeden kullanmayın!
3. Virüslere karıkoruma salayalım Virüslere karı korunabilmek için aaıdaki temel koruma önlemlerini almamız gerekir: a. Anti virüs yazılımı kullanın Yeni bir bilgisayar satın aldıınızda, virüse karı koruma yazılımının önceden yüklenmi olmasına dikkat edin. Yüklenmemise, yazılımı satın alın, yükleyin ve yeni bilgisayarınızı çalıtırmadan önce yazılımı etkinletirin. Yeni koruma yazılımınızı kaydettirin. Kayıt yaptırırken, ürün güncelletirmeleri olduunda size bildirilmesi seçeneini iaretleyin. b. Virüse karı koruma yazılımınızı en iyi verimi alacak biçimde kullanın Otomatik güncelletirme yapan ve virüs olup olmadıının anlaılması için bilgisayarınızın belirli aralıklarla incelenmesini salayan seçenekleri kullanın. Gelen e-postaları ve ekleri koruma yazılımına inceletin. Etraflı bir koruma uygulayın, dosyaları açmadan önce virüs olup olmadıına bakın. Otomatik güncelleme için kaydolun. Program otomatik olarak virüs kaydı dosyalarını güncelletirerek iyi bir koruma salayacaktır. Programı, disk sürücülerinizi her hafta inceleyecek biçimde ayarlayın. Sistem incelemesini siz uyurken yapacak biçimde ayarlayın. Sabah kalktıınızda bir inceleme raporunu hazır bulacaksınız. Çalıtıından emin olun. Yazılımın çalııp çalımadıını anlamak için ekranın alt kısmındaki görev çubuunda bulunan yazılım simgesine sık sık göz atın. Dier programları üst sürüme terfi ettirdiinizde, koruma yazılımı için de aynı ilemi uygulayın. Bilgisayarınızın iletim sistemini veya dier yazılım programlarını üst sürüme terfi ettirdiinizde, virüse karı koruma yazılımınızın da en son sürümünü edinin. Yeni bir virüsün ortaya çıktıını duyduunuzda, koruma yazılımını aldıınız satıcının Web sitesine giderek, nasıl bir virüs olduunu ve hangi yazılım ürünlerini etkilediini örenin. c. Bilgisayarınızda virüs olup olmadıını takip edin: Aaıdaki belirtilerden birine rastladıysanız virüsten üphelenin: Bilgisayar kapanıyor. Bu durum, bilmediiniz bir ilemin yürütüldüü anlamına gelebilir. Modem çok youn çalııyor. Harici bir modeminiz varsa, bilgisayarı etkin olarak kullanmadıınız zamanlarda dahi ııkların youn bir biçimde (sanki karıdan dosya yükleniyormu gibi) yanıp söndüünü görebilirsiniz. Bilgisayarınıza korsan bir yazılım yükleniyor ya da çalııyor olabilir. Bilgisayar normal biçimde çalımıyor. Uygulamaların doru biçimde çalııp çalımadıına veya dosyalardaki içeriin bozuk görünüp görünmediine bakın. 4. Yazılım deliklerine karıbilgisayarımızıkoruyalım Bilgisayarımızda kullandıımız tüm yazılımlarda, (iletim sistemi, ofis uygulamaları, e- posta yazılımı, vb.) kullanıma balandıktan sonra bazı hatalar ve güvenlik açıkları
kefediliyor. Bu açıklara karı üretici firmalar, düzenli olarak, yeni yamalar çıkarıyor. Bize düen, bilgisayarımızın, son yamalar da yüklenerek, güncel tutulmasıdır. a. Bilgisayarımızda kullanılan iletim sistemi ve dier programların üreticilerinin yayınladıı güvenlik e-postalarına abone olalım. Böylece çıkan yamalardan haberimiz olur. b. Çıkan yamaları zaman kaybetmeden bilgisayarımıza yükleyelim., c. Dönemsel olarak, bilgisayarımızda ortaya çıkabilecek güvenlik açıklarını kontrol edelim. Bu amaçla, Internet'te bulunan ücretsiz yazılımlar kullanılabilir. Son Söz Son on yılda her yönüyle hayatımıza giren Internet ve benzeri olanaklar, dier konularda olduu gibi, anlık iletiler konusunda da pek çok kolaylık salarken, daha önce yaamadıımız, düünmediimiz sorunları beraberinde getirmitir. Bu durumda bize (yazıyı buraya kadar okuduunuza göre size de) düen ise, gelien teknolojiden korkmak ve kullanmayı reddetmek yerine, sorunlarını çözüp yararlanmaktır. Güvenli günler. Referanslar http://www.irc.org/history.html http://www.rpi.edu/~leec7/cyber_art/icq.htm http://securityresponse.symantec.com/avcenter/venc/data/w32.choke.worm.html http://securityresponse.symantec.com/avcenter/venc/data/msnpws.trojan.html http://securityresponse.symantec.com/avcenter/venc/data/w32.funnyfiles.worm.html http://securityresponse.symantec.com/avcenter/venc/data/w32.annoying.worm.html http://www.microsoft.com/turkiye/guvenlik/ * Güvenlik Yönetimi Danımanı, Lostar Bilgi Güvenlii A.. (murat @ lostar comnospam)