Hesaplarını güçlendir

Açılış

Defne Hanım bir cumartesi sabahı büroya erken geldi. Önceki haftalarda çalışanlarının hesaplarıyla tek tek uğraşılmıştı; bu sabah sıra kendisindeydi. Teknisyen karşısına oturdu ve bir kâğıda beş satır yazdırdı: büronun e-postası, şirket banka hesabının internet şubesi, telefon operatörünün hesabı, muhasebe yazılımı ve kendi kişisel e-postası.

İlk yarım saatte beklenmedik bir şey çıktı. Banka hesabının parola sıfırlama bağlantıları büronun e-postasına değil, Defne Hanım'ın üniversite yıllarından kalma ve şifresini artık zor hatırladığı eski bir kişisel adrese gidiyordu. O eski adreste ikinci adım yoktu ve parolası, yıllar önce sızan bir sitede kullandığı parolanın aynısıydı.

Defne Hanım kâğıda baktı. Bankanın kendi girişi iki adımlıydı, kart onayları güçlüydü; ama bütün bunlar, unuttuğu bir posta kutusunun zayıf parolasına bağlıydı. Teknisyen kâğıttaki sırayı değiştirdi: önce eski adres, sonra büro e-postası, sonra banka. Bu ders, modül boyunca öğrendiğin her şeyi en önemli hesaplarına doğru sırayla, baştan sona uygulayacağın bir atölye.

Tek fikir

Hesap güvenliği tek tek ayarların değil, hesaplar arasındaki bağların bir sonucudur. Önce diğerlerini kurtarabilen hesabı, sonra ona bağlı olanları güçlendirirsen, zincirin hiçbir halkası arkadan çözülemez.

Nasıl çalışır

Modülün önceki yedi dersi kapıları tek tek açtı. Bu atölyede onları tek bir hesap kartında birleştireceğiz. Ama önce sırayı belirleyen ilişkiyi adlandıralım.

Zincirin tepesinde çoğu zaman gözden kaçan bir hesap daha durur: telefon operatörünün hesabı. Kısa mesajla gelen kodlar ve kurtarma telefonu olarak kayıtlı numaralar, o hesabı yöneten kişinin elindedir; SIM değiştirme dersinde gördüğümüz gibi, operatörü ikna eden biri numarayı, numarayla birlikte de ona bağlı bütün kurtarma yollarını alır. Bu yüzden operatör hesabının kendi parolası, varsa ikinci adımı ve hattın başka bir karta aktarılmasını zorlaştıran ek doğrulama, zincirin en tepesinde yer alır. Parola yöneticisi de aynı yerdedir: bütün parolaları tutan hesap, ele geçirildiğinde bütün kapıları birden açar.

Defne Hanım'ın bankası, zincirde eski kişisel adresinin altındaydı. Bankanın güçlü girişi, o adresin zayıflığını telafi etmiyordu. Sıra bu yüzden önemlidir: zincirin tepesinden başlamak gerekir.

Kurtarma zincirinin yanında, hesapların bir de görünmez yan kapıları vardır.

Bu izinler parolayı değiştirmekle kapanmaz, çünkü uygulama parolayı hiç bilmez; kendisine verilmiş bir erişim belgesiyle çalışır. Bu yüzden atölyenin bir adımı, her hesabın bağlı uygulamalar listesini okumaktır.

Atölyenin hedefi, her hesap için aynı soruları aynı sırayla sormaktır. Modül boyunca öğrendiklerin sekiz kapı oluşturur: parola, parolanın nerede saklandığı, ikinci adım, ikinci adımın türü, geçiş anahtarı, kurtarma yolları, oturumlar ve bağlı uygulamalar, ve bildirimler.

Bir hesabı güçlendirmek bir akşamın işidir ve her hesapta bütün kapıların en iyisine ulaşmak gerekmez. Bazı hizmetler geçiş anahtarı sunmaz, bazıları güvenlik sorusunu kaldırmaya izin vermez. Amaç, her hesapta sunulan en iyiye ulaşmak ve ulaşamadığın yerde neyin eksik kaldığını yazmaktır.

Sahada

Savunma

Bu atölyenin savunmadaki yeri, modülün parçalarını kalıcı bir alışkanlığa çevirmesidir.

Önleme, sıranın doğru seçilmesiyle başlar. Zincirin tepesindeki hesaplar, yani kurtarma e-postaları, telefon operatörü hesabı ve parola yöneticisi, ilk güçlendirilir; çünkü onların zayıflığı altlarındaki her hesaba taşınır. Defne Hanım'ın unuttuğu adres, bankanın bütün önlemlerini boşa çıkarabilirdi.

Tespit, bildirimlerin doğru yere gitmesine bağlıdır. Her hesapta yeni giriş, yeni cihaz, kurtarma ve ayar değişikliği bildirimlerinin açık olduğunu ve bugün kullandığın bir adrese ya da telefona gittiğini kontrol etmek, bir sonraki saldırının ilk dakikalarda görülmesini sağlar.

Müdahale, kartın kendisinde yazılıdır. Atölyenin sonunda her hesabın kartında, o hesap ele geçirilirse ilk ne yapılacağı ve hangi kurtarma yolunun kullanılacağı durur. Bir olay sırasında bunları düşünmek yerine kartı açmak yeterli olur.

Toparlanma ise düzenli tekrardır. Hesaplar değişir: yeni hizmetler gelir, telefon numaraları değişir, bir uygulamaya izin verilir ve unutulur. Atölyeyi yılda bir kez, ayrıca telefon değiştirdiğinde ve bir sızıntı haberinde yinelemek, kartı güncel tutar.

Kurumlar için de aynı mantık geçerlidir: kurumun ortak hizmet hesapları, alan adı kaydı, bulut yönetim konsolu, sosyal medya hesapları ve banka, Bora'nın bulduğu gibi çoğu zaman kişisel adreslere ve ayrılmış çalışanlara bağlı kalır. Bunların kurtarma zinciri, kişilerin değil kurumun elinde olmalıdır.

Uygulama

Bu bir atölye dersi: bütün iş burada. En önemli beş hesabını kurtarma zincirine göre sıralayacak, her biri için aşağıdaki hesap kartını dolduracak ve her kapıyı sunulan en iyi duruma getireceksin. Beş hesap için iki ya da üç akşam ayır; acele etme.

Beş kartın hepsi bittiğinde, bir hesabın ele geçirilmesinin diğerlerini sürüklemeyeceği bir düzen kurmuş olacaksın. Bir kart yarım kalırsa, eksik kapıyı yazıp bir sonraki akşama bırakmak, aceleyle yanlış bir ayar yapmaktan iyidir.

Atölyenin sonunda eski yedek kodları, eski parola kâğıtlarını ve artık kullanılmayan kayıtları imha et; yenileri kilitli yerde dursun.

Defter: Hesaplar bölümünde beş hesap kartı ve zincir çizimi, atölyenin tarihiyle. Takvime üç tarih: bir yıl sonra atölyeyi yinele; telefon değiştirdiğinde kurtarma ve ikinci adım kapılarını yinele; bir sızıntı haberinde o hesabın kartını yinele.

Hata köşesi

Etik ve sınırlar

Bu atölye kendi hesapların içindir. Bir aile üyesinin hesaplarını onunla birlikte güçlendirebilirsin, ama kararlar onundur: hangi yöntemi kullanacağını, kimi güvenilir kişi yapacağını o seçer; sen klavyeyi tutan kişisin, hesabın sahibi değil. Kurumun ortak hesaplarında değişiklik yapmak yetki ister; Bora alan adı hesabını kurumun onayıyla taşıdı ve değişikliği kayda geçirdi. Ayrılmış bir çalışanın kişisel adresine bağlı kalmış bir kurum hesabını kurtarmak için o kişinin kişisel posta kutusuna girmeye çalışmak ise, amacın kurum hesabını kurtarmak olsa bile yapılmaz; doğru yol, hizmetin kurumlar için sunduğu resmî sahiplik doğrulama sürecidir.

Kapanış

1. Hesaplar bir kurtarma zinciri oluşturur; zincirin tepesindeki e-posta, telefon ve parola yöneticisi önce güçlendirilir, çünkü onların zayıflığı altlarındaki her hesaba taşınır.
2. Her hesap sekiz kapıyla sınanır: parola, saklama, ikinci adım ve türü, geçiş anahtarı, kurtarma yolları, oturumlar ve bağlı uygulamalar, bildirimler; hedefe ulaşılamayan kapı yazılır ve bilinçli olarak kabul edilir.
3. Atölye bir kez yapılıp bırakılmaz; yılda bir, telefon değiştiğinde ve bir sızıntı haberinde yinelenir, kurumların ortak hesaplarının kurtarma zinciri de kişilerin değil kurumun elinde tutulur.

Üç soru

1. Defne Hanım'ın bankası neden eski kişisel adresinden sonra değil önce güçlendirilmemeliydi?
2. Kaan'ın takvim uygulaması neden parola değişikliklerine rağmen e-postalarına erişebiliyordu?
3. Bora'nın bulduğu alan adı hesabındaki sorun neydi ve neden önemliydi?

Yanıtlar

1. Bankanın parola sıfırlama bağlantıları eski kişisel adrese gidiyordu; yani banka kurtarma zincirinde o adresin altındaydı. Eski adres zayıf kaldıkça, onu ele geçiren biri bankanın parolasını sıfırlayabilirdi. Bu yüzden önce zincirin tepesindeki eski adres, sonra banka güçlendirilmeliydi.
2. Uygulama Kaan'ın parolasını hiç bilmiyordu; üç yıl önce kendisine verilen bir erişim izniyle çalışıyordu. Parola değişikliği bu izni kaldırmaz. İzinler hesabın bağlı uygulamalar listesinden ayrıca okunup kaldırılmalıdır.
3. Hesap, kapatılmış bir eski çalışan adresine bağlıydı; kurtarma zinciri boşluğa açılıyordu. Kayıt şirketi bir doğrulama istese ya da süre dolsa kimse cevap veremez, hastane alan adını kaybedebilirdi. Hesap kurumun ortak adresine taşındı, ikinci adım açıldı ve yenileme tarihi takvime yazıldı.

Sonraki derse köprü

Bu modül hesaplarının kapılarını güçlendirdi; Defne Hanım'ın zincirinde, Kaan'ın bağlı uygulamalarında ve Bora'nın alan adında gördüğümüz zayıflıkların hepsi teknikti. Ama Selin'in müşteri hizmetleri kaydındaki arayan hiçbir kilidi kırmadı; bir insanı ikna etti. Ders 7.1 sosyal mühendisliği ele alıyor: teknolojiyi değil insanı hedefleyen saldırıyı ve onun kullandığı psikolojik kaldıraçları.