Sahte site ve alan adı

Açılış

Barış ikinci el bir oyun konsolu almak için bir ilan sitesinde günlerce aramış, sonunda uygun fiyatlı birini bulmuştu. Satıcı mesajlaşma uygulamasından yazdı: başka bir şehirdeydi, konsolu kargoyla gönderecekti, ama ikisi için de güvenli olsun diye ilan sitesinin "güvenli ödeme" hizmetini kullanacaklardı. Bir bağlantı gönderdi.

Açılan sayfa ilan sitesinin renklerini, logosunu ve yazı tipini taşıyordu. Üstte ilanın fotoğrafı ve fiyatı duruyordu; altta kart bilgileri için bir form ve "ödemeniz ürün teslim edilene kadar güvencemiz altındadır" yazısı vardı. Barış kart numarasını yazmaya başlamıştı ki Ece omzunun üzerinden baktı ve tek bir şey sordu: "Adres çubuğunda en sağdaki noktadan önce ne yazıyor?"

Barış adresi baştan okudu ve ilan sitesinin adını gördü. Ece adresi sondan okudu. İlan sitesinin adı en başta duruyordu, ama adresin gerçek sahibi, en sağdaki kısımda, bambaşka bir ad taşıyordu. Barış formu kapattı. Bu ders bir adresin gerçekte kime ait olduğunu, onu nereden ve hangi yönde okuyarak anlayacağını anlatıyor.

Tek fikir

Bir adresin kime ait olduğunu, adreste geçen tanıdık adlar değil, en sağdaki kayıtlı alan adı söyler. Sahte siteler o tanıdık adları sola, alt alan adlarına ya da yol kısmına koyar; adresi sağdan sola okumak bu hileyi bozar.

Nasıl çalışır

Alan adı sistemi dersinde adların bir ağaç oluşturduğunu, HTTPS dersinde ise kilit simgesinin bağlantının şifreli olduğunu söylediğini ama sitenin kime ait olduğunu söylemediğini gördük. Bu derste o eksik soruyu, "bu site kimin?" sorusunu, adresin kendisinden cevaplayacağız.

Bir web adresi soldan sağa yazılır ama alan adı kısmı sağdan sola anlam kazanır. Sağda en genel kısım, üst düzey alan adı durur; sola doğru gidildikçe daha özel adlar gelir. Bu zincirin içinde bir sınır vardır: o sınırın sağı kimsenin tek başına sahip olamadığı ortak kısımdır, solundaki ilk ad ise bir şahsın ya da şirketin satın alıp sahip olduğu kısımdır.

Bu derste sahte adreslerin hepsi, gerçek bir siteye işaret etmesin diye, örnekler için ayrılmış .example uzantısıyla yazılmıştır. Gerçek dünyada aynı hileler sıradan uzantılarla yapılır.

Sahte siteler bu yapıyı üç yoldan kullanır.

Birinci yol, tanıdık adı sola koymaktır. turkiye.gov.tr.borc-sorgu.example adresinde turkiye.gov.tr yazısı en baştadır ve göz önce onu görür. Ama kayıt edilebilir alan adı en sağdaki borc-sorgu.example dir; turkiye.gov.tr bu sahibin kendi alanında oluşturduğu bir alt alan adı etiketinden ibarettir. Aynı hile yol kısmıyla da yapılır: bir adresin eğik çizgiden sonraki kısmına istenen her şey yazılabilir ve bu kısım sitenin sahibi hakkında hiçbir şey söylemez.

İkinci yol, gerçek adı taklit eden bir ad kaydetmektir.

Üçüncü yol, harfin kendisini taklit etmektir.

Bu üç yolun ortak zayıflığı aynıdır: hepsi insanın adresi hızla, soldan sağa ve tanıdık parçaları arayarak okumasına dayanır. Savunma da aynıdır: adresin kayıt edilebilir kısmını bulup onu bildiğin gerçek adla karşılaştırmak.

Sahada

Savunma

Sahte sitelere karşı savunma, gözün yanılabileceğini kabul edip okumayı yöntemli hâle getirmek ve mümkün olan her yerde okumaya hiç ihtiyaç bırakmamaktır.

İlk savunma, önemli sitelere hiçbir zaman bir bağlantıdan ya da arama sonucundan girmemektir. Banka, e-posta, e-Devlet, iş sistemleri ve en çok alışveriş ettiğin mağazalar için yer işareti oluştur ve yalnız onları kullan. Kaan'ın şirketindeki çalışanı ve Barış'ı, adres okumak değil, hiç o adrese gitmemek koruyabilirdi.

İkinci savunma, bir bağlantıyı kullanmak zorunda kaldığında adresi sağdan sola okumaktır. Önce eğik çizgiden sonraki kısmı yok say. Sonra alan adının en sağındaki uzantıyı bul, onun solundaki ilk adı al: bu, kayıt edilebilir alan adıdır. Onu bildiğin gerçek adla harf harf karşılaştır. Soldaki tanıdık adlara, adresin uzunluğuna ya da kilit simgesine güvenme. Tarayıcın adres çubuğunda kayıt edilebilir kısmı koyu gösteriyorsa, oraya bak.

Üçüncü savunma, araçların seni senden önce uyarmasına izin vermektir. Parola yöneticisi, kayıtlı olmayan bir alan adında doldurmaz; bu, homograf saldırısını gözünden önce yakalar. Tarayıcıların zararlı ve sahte site uyarıları açık olmalıdır. Geçiş anahtarlı bir hesapsa sahte bir alan adına hiç imza vermez.

Dördüncü savunma, arama reklamlarına dikkattir. Arama sonuçlarının en üstündeki reklamlar her zaman gerçek kurumlara ait değildir; önemli bir siteye ilk kez gideceksen, adresini kurumun kartından, sözleşmesinden ya da güvenilir başka bir kaynaktan bul ve yer işareti yap.

Kurumlar için savunma, kendi adlarını korumaktır: sık yapılacak yazım hatalarına karşılık gelen adları kaydetmek, benzer yeni kayıtları izlemek ve sahte bir site bulunduğunda kayıt şirketine ve barındırma sağlayıcısına hızla bildirmek. Bu iş, alan adı güvenliğine ayrılan ileriki modülde ayrıntılı ele alınacak.

Uygulama

Kendi tarayıcında en önemli sitelerin için yer işaretleri kuracak ve geçmişindeki adresleri sağdan sola okuyarak kayıt edilebilir alan adlarını bulacaksın.

Yer işareti klasörünü kurduktan sonra, o sitelere bir daha başka bir yoldan girmemeyi kendine kural edin.

Defter: Oltalama bölümüne üç örnek adres ve kayıt edilebilir alan adları. Doğrulama kanalları sayfasına, beş önemli sitenin gerçek alan adları. Kural: önemli sitelere yalnız yer işaretinden girilir, bağlantıdan ve arama sonucundan girilmez.

Hata köşesi

Etik ve sınırlar

Sahte olduğunu düşündüğün bir siteyi "ne yaptığını görmek için" açmak, ona sahte bilgiler yazmak ya da onu bozmaya çalışmak, hem seni riske atar hem de başkasının sistemine izinsiz müdahaledir; doğru yol, siteyi tarayıcının, e-posta hizmetinin ya da ulusal siber olaylara müdahale merkezinin bildirim kanalına bildirmektir. Bir kurumun adına benzeyen bir alan adını "şaka olsun" diye kaydetmek de, o adın sahibinin marka hakkını ihlal edebilir ve başkalarını yanıltabilir; Selin'in ekibi benzer adları yalnız kendi markaları için ve kendi kurumlarının yetkisiyle kaydetti. Bu dersteki uygulamada yalnız kendi tarayıcının geçmişine baktın; başkasının tarayıcı geçmişi, onun izni olmadan okunmaz.

Kapanış

1. Bir adresin sahibini, en sağdaki herkese açık sonekten hemen önceki adla oluşan kayıt edilebilir alan adı belirler; onun solundaki her şey sahibin istediği gibi yazdığı alt alan adlarıdır, eğik çizgiden sonraki yol ise hiçbir şey kanıtlamaz.
2. Sahte siteler tanıdık adı sola ya da yola koyar, gerçek ada bir harf ekleyerek ya da uzantısını değiştirerek benzer bir ad kaydeder ya da başka alfabelerden görünüşte aynı harflerle homograf adlar kurar.
3. Savunma, önemli sitelere yalnız yer işaretinden girmek, adresi sağdan sola okuyup kayıt edilebilir kısmı karşılaştırmak, arama reklamlarına güvenmemek ve alan adını gözden daha iyi denetleyen parola yöneticisi ve geçiş anahtarına yaslanmaktır.

Üç soru

1. Barış'ın gördüğü ödeme sayfası neden ilan sitesine ait değildi, adreste ilan sitesinin adı geçtiği hâlde?
2. Kaan'ın şirketindeki muhasebe çalışanı sahte sayfaya nasıl düştü ve şirket bundan sonra hangi kuralı koydu?
3. Homograf saldırısına karşı adres okumak neden yetmez ve ne korur?

Yanıtlar

1. İlan sitesinin adı adresin solunda, sahte sitenin sahibinin kendi alanında oluşturduğu bir alt alan adı etiketi ya da yol kısmı olarak duruyordu. Adresin sahibini en sağdaki kayıt edilebilir alan adı belirler ve o kısım bambaşka bir addı. Ece adresi sağdan okuyunca bu ortaya çıktı.
2. Bankanın adını arama motoruna yazıp ilk sıradaki sonuca tıkladı; o sonuç, bankanın giriş sayfasının kopyasına giden bir reklamdı. Şirket, bankaya ve önemli sistemlere yalnız yer işaretinden girilmesini kural hâline getirdi; parola da hemen değiştirildi.
3. Bazı Kiril ve Latin harfleri ekranda birebir aynı görünür, bu yüzden en dikkatli okuyucu bile farkı göremez. Parola yöneticisi alan adını bilgisayarın gördüğü biçimiyle karşılaştırdığı için sahte adda doldurmaz; geçiş anahtarı da kayıtlı olmayan bir alan adına imza vermez. Bu araçlar, gözün yakalayamadığını yakalar.

Sonraki derse köprü

Barış ödeme formunu doldurmaya başlamıştı, çünkü satıcı ona acele ettiriyordu: başka bir alıcı da vardı ve konsol akşama kadar satılabilirdi. Bu dersin araçlarının hepsi biraz zaman ister: adresi sağdan okumak, yer işaretine gitmek, geri aramak. Dolandırıcının en büyük çabası da tam o zamanı senden almaktır. Ders 7.5 aciliyet ve otorite baskısını ele alıyor: dolandırıcının zaman baskısını nasıl kurduğunu ve yavaşlamanın neden en etkili savunma olduğunu.