Tarayıcı ve eklentiler

Açılış

Tolga yıllardır, sayfalardaki uzun metinleri sade bir okuma görünümüne çeviren küçük bir tarayıcı eklentisi kullanıyordu. Bir pazartesi sabahı tarayıcıyı açtığında eklentinin simgesi grileşmişti. Tarayıcı bir uyarı gösteriyordu: eklentinin yeni sürümü ek izinler istiyordu ve bu izinler onaylanana kadar eklenti devre dışı bırakılmıştı. İstenen izin tek bir satırdı: bütün web sitelerindeki verilerinizi okuyun ve değiştirin.

Tolga'nın parmağı onay düğmesine gitti; eklentiye alışmıştı ve onsuz çalışmak istemiyordu. Sonra durdu. Bir okuma eklentisinin, açtığı her sayfayı, e-postasını, şirketin kod deposunu, banka hesabını okuyup değiştirebilmesine neden ihtiyacı vardı? Eklentinin mağaza sayfasına baktı: geliştirici adı değişmişti ve son yorumlarda, eklentinin bazı sitelerde reklam göstermeye başladığından yakınan kullanıcılar vardı.

Tolga izni onaylamadı, eklentiyi kaldırdı ve Selin'e haber verdi. Selin ekipteki herkesin eklenti listesine bakılmasını istedi; aynı eklenti üç kişide daha vardı, ikisi izni çoktan onaylamıştı. Bu ders, tarayıcının bugün bilgisayarın en kalabalık odası olduğunu ve o odaya eklentilerle kimlerin girdiğini anlatıyor.

Tek fikir

Tarayıcı, e-postanın, bankanın ve iş uygulamalarının açıldığı yerdir; ona kurulan her eklenti, izin verildiği ölçüde bu sayfaların hepsini görebilir. Az, gerekli ve güvenilir eklenti, dar site erişimi ve güncel bir tarayıcı, bu odanın kapısını korur.

Nasıl çalışır

Geliştirici araçlarıyla bir sayfayı okumak dersinde, bir web sayfasının tarayıcının içinde nasıl çalıştığını, hangi betikleri yüklediğini ve hangi adreslerle konuştuğunu görmüştük. Tarayıcının kendisi de bir işletim sistemi gibi davranır: sekmeleri birbirinden yalıtır, sitelerin birbirinin verisine ulaşmasını engeller. Eklentiler ise bu düzenin içine, kullanıcının izniyle, daha geniş yetkilerle yerleşir.

Bir eklentinin ne kadar güçlü olduğunu, istediği izinler belirler. Bunların en geniş olanı, eklentinin hangi sitelerde çalışabileceğini belirleyen izindir.

Eklentilerin gücü, onları saldırganlar için çekici kılar. Bir saldırgan zararlı bir eklentiyi baştan yazabilir, popüler bir eklentinin adını taklit edebilir ya da çok kullanıcısı olan yerleşik bir eklentiyi satın alıp güncellemesine istediği kodu ekleyebilir. Son yol en sinsisidir: kullanıcı eklentiyi yıllardır tanır, güvenir ve güncellemeler kendiliğinden gelir.

Tarayıcının bir de kasası vardır: kayıtlı parolalar. Tarayıcıların çoğu parolaları kaydetmeyi önerir ve bunları şifreli olarak saklar; şifrenin anahtarı çoğu zaman işletim sistemindeki oturumundur. Bu kolaylıktır, ama bir sınırı vardır: bilgisayarda senin hesabınla çalışan zararlı bir program, senin adına bu kasayı açabilir. Saldırı tekniklerini toplayan ATT&CK bilgi tabanı, tarayıcılarda kayıtlı kimlik bilgilerinin ele geçirilmesini T1555.003 numarasıyla ayrı bir teknik olarak listeler ve tarayıcıların bu bilgileri şifreli bir kimlik bilgisi deposunda tutsa da onları düz metne çevirmenin yollarının bulunduğunu yazar. Parola yöneticisi dersinde kurduğun ayrı bir yönetici ya da tarayıcının kendi yöneticisi, ana parolasıyla ve ikinci adımıyla korunduğunda bu riski azaltır; asıl koruma ise bilgisayarın temiz kalmasıdır.

Son parça güncellemedir. Tarayıcılar, internetten gelen her içeriği işleyen programlar oldukları için en sık güncellenen yazılımlardandır ve güncellemelerinin çoğu güvenlik açıklarını kapatır. Tarayıcının kapatılıp açılması, güncellemenin uygulanması için çoğu zaman gereklidir; haftalarca hiç kapatılmayan bir tarayıcı, Duru'nun yeniden başlatılmayan bilgisayarı gibi, indirilmiş ama uygulanmamış bir güncellemeyle çalışıyor olabilir.

Sahada

Savunma

Tarayıcıyı koruma savunması, eklentileri azaltmak, izinlerini daraltmak, parolaları doğru yerde tutmak ve tarayıcıyı güncel tutmaktır.

İlk savunma, az eklentidir. Her eklenti, tarayıcının en kalabalık odasına giren bir yabancıdır. Gerçekten kullanılan ve gerçekten gerekli olanlar kalır; bir kez kullanılmış, unutulmuş ya da bir programla birlikte gelmiş olanlar kaldırılır.

İkinci savunma, izinleri okumaktır. Bir eklentiyi kurarken ya da bir güncelleme yeni izin istediğinde, istenen iznin eklentinin işiyle orantılı olup olmadığı sorulur. Bir okuma görünümü, bir hesap makinesi ya da bir tema eklentisinin bütün sitelerdeki verilere ihtiyacı yoktur. Site erişimi, tarayıcının izin verdiği yerde, "tıklandığında" ya da yalnız gereken sitelerle sınırlanır.

Üçüncü savunma, eklentinin kimin elinde olduğunu bilmektir. Geliştiricinin adı, son güncelleme tarihi ve son kullanıcı yorumları, eklentinin el değiştirip değiştirmediğini gösterebilir. Tolga'yı uyaran, izin uyarısıyla birlikte değişen geliştirici adıydı.

Dördüncü savunma, parolaları tarayıcının açık kasası yerine korunan bir kasada tutmaktır: ana parolası ve ikinci adımı olan bir parola yöneticisi. Bilgisayara zararlı bir program sızarsa, tarayıcıda kayıtlı parolalar ilk hedeflerden biridir.

Beşinci savunma, tarayıcıyı güncel tutmak ve güncellemenin uygulanması için ara sıra kapatıp açmaktır. Tarayıcının güvenli gezinme ya da sahte site uyarıları da açık kalmalıdır.

Bir başka savunma, hassas işleri ayrı tutmaktır. Banka ya da iş hesaplarına girdiğin tarayıcı profilinde hiç eklenti bulunmaması, o profilde açılan sayfaları eklentilerin görüş alanından çıkarır. Tarayıcıların çoğu ayrı profiller açmaya izin verir; bir profil gündelik gezinme ve eklentiler için, diğeri yalnız önemli hesaplar için kullanılabilir.

Kurumlar için savunma, Gülay Hanım'ın yaptığıdır: şirket tarayıcılarında onaylı eklenti listesi, izinleri okunarak hazırlanmış bir onay süreci ve eklentilerin düzenli denetimi.

Uygulama

Tarayıcının eklentilerini, izinlerini, kayıtlı parolalarını ve sürümünü gözden geçireceksin.

Bu tur, eklenti listesi kısaldıkça her ay daha hızlı biter.

Defter: Tarayıcılar için envanter satırı: eklenti listesi, site erişimi sınırlananlar ve kaldırılanlar. Kayıtlı parolaların nereye taşındığı. Aylık güvenlik turuna: eklenti listesine ve tarayıcı sürümüne bak.

Hata köşesi

Etik ve sınırlar

Bu dersteki tur kendi tarayıcın içindir. Bir aile üyesinin tarayıcısını onun yanında ve onun kararıyla temizleyebilirsin; hangi eklentiyi kaldıracağına o karar verir. Bir başkasının tarayıcısına, onun bilgisi olmadan gezinmesini ya da yazdıklarını izleyen bir eklenti kurmak ise, bir önceki derste gördüğümüz gibi, onun özel hayatına izinsiz girmektir. Kurumlar şirket tarayıcılarında eklenti kurallarını belirleyebilir ve eklentileri denetleyebilir, ama çalışanlara hangi eklentilerin ve hangi izleme araçlarının kullanıldığını açıkça bildirmek ve yalnız işin gerektirdiği yetkiyle hareket etmek zorundadır. Bir eklentinin zararlı olduğunu fark edersen, onu mağazanın bildirim yoluyla bildir; eklentiyi kendi başına incelemek için başkalarının cihazına kurma.

Kapanış

1. Tarayıcı e-postanın, bankanın ve iş uygulamalarının açıldığı yerdir ve bir eklenti, izin verildiği ölçüde bu sayfaların hepsini okuyup değiştirebilir; bütün sitelere erişim, en geniş ve en dikkatli verilmesi gereken izindir.
2. Zararlı eklentiler mağazalardan gelebilir, meşru bir eklentinin kılığına girebilir ya da el değiştiren bir eklentinin güncellemesiyle ortaya çıkabilir; yeni izin uyarıları okunmadan onaylanmaz.
3. Savunma az eklenti, dar site erişimi, geliştiricinin kimliğine bakmak, parolaları korunan bir kasada tutmak ve tarayıcıyı güncel tutup ara sıra yeniden başlatmaktır.

Üç soru

1. Tolga eklentinin güncellemesini neden onaylamadı ve hangi iki işaret onu durdurdu?
2. Nilüfer Hanım'ın tarayıcısındaki arama yardımcısı nereden gelmişti ve bu, kurulum ekranları hakkında ne öğretiyor?
3. Tarayıcıda kayıtlı parolalar şifreli saklandığı hâlde neden risk taşır?

Yanıtlar

1. Güncelleme, bir okuma eklentisinin işiyle orantısız bir izin istiyordu: bütün sitelerdeki verileri okumak ve değiştirmek. İkinci işaret, mağaza sayfasında geliştiricinin adının değişmiş olması ve son yorumlardaki reklam şikâyetleriydi. Eklenti el değiştirmiş ve davranışı değişmiş olabilirdi; Tolga izni onaylamadı ve eklentiyi kaldırdı.
2. Bir hafta önce indirilen ücretsiz bir fotoğraf programıyla birlikte, kurulum sırasındaki önceden işaretli bir ek teklif kutusu aracılığıyla kurulmuştu. Kurulum ekranlarındaki ek teklifler dikkatle okunmalı ve önceden işaretli kutular kaldırılmalıdır; istenmeyen eklentiler çoğu zaman bu yoldan gelir.
3. Parolaları şifreleyen anahtar çoğu zaman bilgisayardaki kullanıcı oturumudur. Aynı oturumda çalışan zararlı bir program, kullanıcının adına bu anahtara ulaşıp parolaları açabilir. Ana parolası ve ikinci adımı olan bir parola yöneticisi bu riski azaltır, ama asıl koruma bilgisayarın temiz kalmasıdır.

Sonraki derse köprü

Bu modülün ilk dört dersi cihazın içini düzenledi: güncellemeler, izinler, hesap ve şifreleme, tarayıcı. Ama bir telefon ya da bir dizüstü bilgisayar bir gün bir kafede, bir takside ya da bir trende kaybolacak. O gün işe yarayacak olan şey, o günden önce hazırlanmış olandır. Ders 8.5 kayıp ve çalıntı cihazları ele alıyor: uzaktan bulmayı, kilitlemeyi ve silmeyi, ve önceden hazırlanması gerekenleri.