E-posta nasıl iletilir?

Açılış

Kilitli sahte sayfanın ertesi günü, dış destek firmasının teknisyeni büroya uğradı ve kıdemli çalışanın gelen kutusundaki o e-postayı birlikte açtılar. Ekranda gönderen olarak bir kamu hizmetinin adı yazıyordu, yanında da o kurumun alan adını taşıyan bir adres. Çalışan sordu: adres bile doğruysa, bu e-postanın sahte olduğunu nasıl anlayacaktı?

Teknisyen e-posta programında "orijinali göster" seçeneğine tıkladı. Ekran, okunması zor, uzun bir metinle doldu. Teknisyen en alttan yukarı doğru okumaya başladı: e-postanın hangi sunucudan çıktığını, hangi sunuculardan geçtiğini ve büronun posta sunucusuna nereden ulaştığını gösteren satırlar vardı. Hiçbiri o kamu kurumuna ait değildi. Bir satır daha vardı: alıcı sunucunun, gönderen adresin gerçekten o kurumdan gelip gelmediğini kontrol ettiği ve "başarısız" yazan bir sonuç.

Çalışan, ekranda gördüğü gönderen adresinin bir zarfın üzerine elle yazılmış bir ad gibi olduğunu o gün öğrendi: herkes istediğini yazabiliyordu. Bu ders bir mektubun postaneden postaneye taşınmasına benzeyen o yolculuğu ve zarfın üzerine herkesin her adı yazabilmesinin sebebini anlatıyor.

Tek fikir

E-posta, gönderenin kimliğini doğrulamadan tasarlanmış bir protokolle, sunucudan sunucuya taşınır. Ekranda görünen gönderen adresi, gönderenin kendi yazdığı bir alandır; gerçek kanıt, mesajın yolculuğunu ve alıcı sunucunun yaptığı kontrolleri gösteren başlıklardadır.

Nasıl çalışır

Web sayfalarının tarayıcı ile sunucu arasında doğrudan bir konuşma olduğunu gördük. E-posta farklı çalışır: mesaj bir posta gibi, aradaki sunuculara emanet edilerek taşınır.

Bir e-posta gönderdiğinde, e-posta programın mesajı kendi posta sağlayıcının gönderme sunucusuna teslim eder. Bu sunucu, alıcının alan adına gelen postayı hangi makinenin teslim aldığını rehbere sorar; alan adı sistemi dersinde rehberde e-posta için ayrı kayıt türleri olduğunu söylemiştik. Sonra mesajı o sunucuya iletir, bazen arada başka sunuculardan geçerek. Alıcının sunucusu mesajı kabul eder ve alıcının posta kutusuna koyar; alıcı da kendi programıyla onu okur.

Sahteciliğin bu kadar ucuz olmasının sebebini görmek için bir e-postanın iki ayrı "gönderen" bilgisi taşıdığını bilmek gerekir.

Ekranda gördüğün, görünen gönderendir. Protokol, kendi başına, bu alana yazılan adresin gerçekten o kişiye ait olup olmadığını kontrol etmez. Bu yüzden e-posta, adres sahteciliğinin en kolay olduğu kanallardan biri olarak kaldı. Bir de daha basit bir hile var: görünen gönderenin ad kısmı. Adres tamamen farklı olsa bile ad kısmına istenen her şey yazılabilir ve pek çok e-posta programı, özellikle telefonlarda, adresi değil yalnız adı gösterir.

Yıllar içinde bu açığı kapatmak için alan adı sahiplerinin "benim adıma hangi sunucular e-posta gönderebilir" diye ilan etmesini, giden e-postaları imzalamasını ve alıcı sunuculara kontrolü geçemeyen e-postalarla ne yapacaklarını söylemesini sağlayan mekanizmalar geliştirildi. Alıcı sunucu bu kontrollerin sonuçlarını mesajın başlıklarına yazar. Bu mekanizmaların adlarını ve nasıl kurulduklarını Seviye 3'te, DNS ve e-posta altyapısı güvenliği modülünde ayrıntılı göreceğiz. Şimdilik bilmen gereken şu: kontroller her alan adında kurulu değildir ve kurulu olduklarında bile görünen adın aldatmacasını tek başına önlemezler.

Başlıklar bir e-postanın yolculuk kaydıdır. Her sunucu, mesajı aldığında başlığın en üstüne bir satır ekler; bu yüzden yolculuk alttan üste okunur. En alttaki alındı satırları gönderenin yazdığı ya da taklit ettiği bilgiler olabilir, ama alıcının kendi sunucusunun eklediği en üstteki satırlar ve doğrulama sonuçları, alıcı tarafından üretildikleri için daha güvenilirdir.

Sahada

Savunma

E-postaya karşı savunma, ekranda görünen gönderene güvenmemekle başlar ve üç katmanda kurulur.

Kişisel katmanda ilk kural, görünen adın yanındaki adresi okumaktır. Telefonda bu, gönderen adına dokunup adresi açmak demektir. İkinci kural, para, parola, kart numarası ya da acil bir işlem isteyen her e-postayı, e-postanın kendisinden bağımsız bir kanaldan doğrulamaktır: bildiğin bir numarayı aramak, kişiye ayrı bir mesaj atmak. Nilüfer Hanım'ın yaptığı tam olarak buydu ve bu tek alışkanlık, e-posta sahteciliğinin büyük kısmını boşa çıkarır. Üçüncü kural, şüpheli bir e-postanın başlıklarını açmaktan çekinmemektir; doğrulama sonuçlarında "başarısız" yazan bir satır ciddi bir uyarıdır.

Kurumsal katmanda savunma, dışarıdan gelen e-postaları görünür biçimde etiketlemek, Kaan'ın şirketinde olduğu gibi, ve çalışanlara şüpheli e-postaları tek tıkla bildirebilecekleri bir yol sunmaktır. E-posta güvenlik sistemleri, doğrulama kontrollerini geçemeyen ya da bilinen sahtecilik desenlerine uyan mesajları karantinaya alabilir.

Alan adı sahibi katmanında savunma, kendi alan adın adına başkalarının e-posta göndermesini zorlaştırmaktır. Bir alan adın varsa, şirketin, derneğin ya da kişisel adın olsun, e-posta doğrulama kayıtlarının kurulu olması, alıcıların sahte e-postaları ayırt etmesini sağlar. Selin'in şirketinin yaşadığı, bu kayıtların eksik olmasının bedeliydi. Bu kayıtları Seviye 3'te adım adım kuracağız.

Son olarak, gerçekten gizli ya da gerçekliği kanıtlanması gereken yazışmalar için standardın kendisinin işaret ettiği yol vardır: mesajın kendisini imzalayan ve şifreleyen uçtan uca yöntemler. Bunlar günlük kullanımda yaygın değildir, ama hukuki ya da hassas yazışmalarda kurumların başvurduğu çözümlerdir.

Uygulama

Bu uygulamada kendi posta kutundaki bir e-postanın başlıklarını açacak ve yolculuğunu okuyacaksın. Yalnız kendi posta kutunda, kendi aldığın bir e-posta üzerinde çalışırsın.

İlk denemede metin karmaşık görünecek ve bu normal; amaç her satırı anlamak değil, doğrulama sonuçlarının nerede durduğunu ve bir e-postanın yolculuğunun kayıt altında olduğunu görmek.

Defter: Tehditler bölümüne iki e-postanın doğrulama sonuçları ve aralarındaki fark. Acil durum sayfasına bir kural: para, parola ya da acil işlem isteyen e-postayı her zaman başka bir kanaldan doğrula. E-posta programında başlıkları açma seçeneğinin nerede olduğu.

Hata köşesi

Etik ve sınırlar

Bu derste e-posta sahteciliğinin neden mümkün olduğunu mekanizma düzeyinde gördün; amaç onu tanımak ve kendi kurumunu korumaktır. Başka birinin ya da bir kurumun adıyla e-posta göndermek, şaka amaçlı bile olsa, aldatmadır ve dolandırıcılık amacıyla yapıldığında ağır suçların konusu olur. Bir kurumda çalışanların farkındalığını ölçmek için yapılan oltalama simülasyonları bile ancak kurum yönetiminin yazılı yetkisiyle, belirli kurallar içinde yürütülür; bunu Seviye 11'de ayrıntılı konuşacağız. Bir de mahremiyet sınırı var: e-posta başlıklarını okumak kendi aldığın e-postalar için meşrudur; başkasının posta kutusundaki e-postaların başlıklarını incelemek, o kişinin ya da kurumun yetkisi olmadan yapılamaz.

Kapanış

1. E-posta, gönderenin kimliğini doğrulamadan tasarlanmış SMTP protokolüyle sunucudan sunucuya taşınır; protokolün kendi standardı onun özünde güvensiz olduğunu kabul eder.
2. Bir e-postada iki gönderen bilgisi vardır ve ekranda görünen gönderen, adın da adresin de, mesajı hazırlayanın yazdığı bir alandır; gerçek kanıt başlıklardaki yolculuk kaydı ve alıcı sunucunun doğrulama sonuçlarıdır.
3. Savunma, adı değil adresi, adresi değil doğrulamayı okumak, para ya da parola isteyen e-postayı başka bir kanaldan doğrulamak, dışarıdan gelen e-postaları etiketlemek ve alan adının e-posta doğrulama kayıtlarını kurmaktır.

Üç soru

1. Kıdemli çalışanın aldığı e-postada gönderen adresi doğru göründüğü hâlde sahte olduğunu ne gösterdi?
2. Nilüfer Hanım'a "Ece" adıyla gelen e-postada hangi hile kullanılmıştı ve onu ne kurtardı?
3. Selin'in şirketinin adını taşıyan sahte e-postaların alıcılara ulaşmasını hangi eksiklik kolaylaştırdı?

Yanıtlar

1. E-postanın başlıkları. Alındı satırları mesajın o kamu kurumuna ait olmayan sunuculardan geçtiğini gösteriyordu ve alıcı sunucunun doğrulama sonucu, gönderen adresin gerçekten o kurumdan gelip gelmediğine dair kontrolün başarısız olduğunu söylüyordu. Görünen gönderen adresi, mesajı hazırlayanın yazdığı bir alandı ve tek başına kanıt değildi.
2. Görünen gönderenin ad kısmına "Ece" yazılmıştı, ama adres Ece'ninkiyle ilgisizdi; telefon programı yalnız adı gösteriyordu. Nilüfer Hanım'ı adresi kontrol etmesi ve daha da önemlisi, para isteyen e-postayı Ece'yi telefonla arayarak başka bir kanaldan doğrulaması kurtardı.
3. Şirketin alan adı için e-posta doğrulama kayıtları eksikti. Bu kayıtlar, alıcı sunuculara o alan adı adına hangi sunucuların e-posta gönderebileceğini ve kontrolü geçemeyen e-postalarla ne yapacaklarını söyler; eksik oldukları için alıcı sunucular sahte e-postaları gerçeklerinden ayırt etmekte zorlandı.

Sonraki derse köprü

Bu derste e-postanın, alıcının sunucusunda, yani başkasının bilgisayarında durduğunu gördük. Aslında günlük hayatımızdaki verinin büyük kısmı böyle: fotoğraflarımız, belgelerimiz, e-postalarımız bir şirketin sunucularında duruyor. Sıradaki ders bulutun ne olduğunu soruyor: başkasının bilgisayarı fikrini, hizmet modellerini ve verinin gerçekte nerede durduğunu.