Dijital ayak izi

Açılış

Telefondaki adam çok kibardı. Nilüfer Hanım'a adıyla ve soyadıyla hitap etti, sokağının adını doğru söyledi, emekli olduğu okulun adını andı. "Hocam," dedi, "eski öğrencilerinizden biri size bir hediye gönderdi, kargoda adres doğrulaması için sizi arıyorum." Sonra torununun adını da söyledi: "Ece Hanım da haberdarmış."

Nilüfer Hanım yıllardır yaptığı şeyi yaptı: teşekkür edip kapattı. Ama akşam Ece'yi aradığında sesi titriyordu. Adam bu kadar şeyi nereden biliyordu?

Ece ertesi gün, Nilüfer Hanım yanındayken ve onun isteğiyle, adını tırnak içinde bir arama motoruna yazdı. İlk sayfada okulun yirmi yıl önceki bir yıl dönümü sayfası çıktı: emekli öğretmenler listesinde adı ve fotoğrafı vardı. Yerel bir gazetenin emeklilik töreni haberi, oturduğu mahallenin adıyla birlikteydi. Bir belediye sayfasının yorumlarında, kaybolan kedisi için yıllar önce yazdığı ilan duruyordu: telefon numarası ve sokağıyla. Ve Ece'nin kendi herkese açık profilinde, bir bayram fotoğrafında Nilüfer Hanım tam adıyla etiketliydi.

Bu bilgilerin hiçbiri tek başına bir sır değildi. Ama hepsi aynı aramadaydı.

Tek fikir

İnternette senin hakkında duran bilgiler tek tek zararsız görünür; tehlike, birinin onları bir araya getirip sana inandırıcı bir hikâyeyle gelmesidir. Ayak izini küçültmek, önce onu görmekle başlar.

Nasıl çalışır

Yedek dersleri kendi disklerindeki ve hesaplarındaki dosyalarla uğraştı. Şimdi bakış dışarı dönüyor: adını taşıyan, ama başkalarının sunucularında duran bilgilere.

Nilüfer Hanım'ın ayak izinin büyük kısmını o bırakmamıştı. Okul sayfası, gazete haberi ve Ece'nin paylaşımı başkalarınındı; yalnız kedi ilanı onundu. Bu ayrım önemlidir, çünkü ayak izini küçültmenin yolu, her parçanın sahibine göre değişir.

Saldırganın bu bilgileri neden topladığını Modül 7'de gördük: sosyal mühendislik inandırıcı bir bahaneye dayanır ve bahane ayrıntıyla güçlenir. Telefondaki adamın söylediği her doğru bilgi, Nilüfer Hanım'ın kuşkusunu biraz daha azaltmak içindi.

Bu kutudaki bir ayrıntı bir sonraki dersin konusuna da dokunuyor: güvenlik sorularının cevapları. Annenin kızlık soyadı, ilk evcil hayvanının adı, mezun olduğun okul; bunlar çoğu zaman bir fotoğraf altında ya da bir yıl dönümü sayfasında zaten yazılıdır.

Arama motorları bu birleştirmeyi kolaylaştırır, ama aynı zamanda ayak izini görmenin ve küçültmenin de yoludur.

Bu sınır, ayak izini küçültmenin üç katmanını belirler. En içte, senin kontrol ettiğin içerik vardır: kendi paylaşımların, yorumların, profillerin ve unuttuğun hesaplar. Bunları silebilir, gizleyebilir ya da kapatabilirsin. Ortada, başkasının sitesinde duran içerik vardır: okulun sayfası, gazetenin haberi. Bunun için sitenin sahibine başvurursun; kişisel verilerin söz konusuysa bu başvurunun hukuki bir dayanağı da vardır ve onu bu modülün ilerleyen bir dersinde ele alacağız. En dışta arama motoru vardır: içerik kaynağında kalsa bile, adınla yapılan aramalarda görünmemesini isteyebilirsin.

Sahada

Savunma

Ayak izine karşı savunmanın ilk adımı, onu düzenli olarak görmektir; saldırganın yaptığı aramayı ondan önce kendin yaparsın. Adını tırnak içinde, adını şehrinle birlikte, e-posta adresini, telefon numaranı ve kullandığın kullanıcı adlarını ayrı ayrı aratmak, bir saldırganın birkaç dakikada ulaşacağı tabloyu sana da gösterir.

Önleme tarafında en etkili iş, yeni ayak izi bırakmamaktır. Telefon numarası ve ev adresi, herkese açık bir yoruma, bir ilana ya da bir profile yazılmaz; gerekiyorsa yalnız muhatabına özel mesajla verilir. Kullanmadığın hesaplar kapatılır, çünkü unutulan bir hesap hem bilgi bırakır hem de, Modül 6'da gördüğümüz gibi, ele geçirilmeye açık kalır. İş ve kişisel kimlikler arasındaki bağ, aynı kullanıcı adını ve aynı fotoğrafı her yerde kullanmayarak gevşetilir.

Bir kurum için önleme, yayımlanan her sayfanın bir saldırganın gözüyle okunmasıdır. Çalışan listeleri, iş ilanları, basın bültenleri ve teklif belgeleri; her biri kim kimdir, kim neye bakar ve hangi sistem kullanılır sorularının cevabını taşıyabilir. Bu cevapların bir kısmı işin gereğidir, bir kısmı değildir.

Tespit tarafında, yeni ayak izini erken fark etmek için bir bildirim kurmak işe yarar. Google'ın yardım sayfası, adres, telefon ve e-posta gibi iletişim bilgilerini içeren sonuçları bulmak ve yeni sonuçlar için bildirim almak üzere "Results about you" adlı bir özelliği işaret eder. Bu özelliğin ülkene ve hesabına açık olup olmadığını kendi hesabında kontrol et; değilse, birkaç ayda bir elle tekrarlanan arama da aynı işi görür.

Müdahale tarafında, bulunan her parçanın sahibine göre bir adım vardır: kendi içeriğini sil ya da gizle, başkasının sitesindeki içerik için o siteye yaz, arama sonucundan kaldırılmasını gerektiren özel bilgi için arama motorunun formunu kullan. Ve ayak izinin bir kısmı hiç gitmeyecektir; o zaman savunma, o bilgiyi bir kimlik doğrulama sorusunun cevabı olarak kullanmamak ve onu bilen birine yalnız bu yüzden güvenmemektir.

Uygulama

Kendi ayak izini çıkaracak, her parçanın sahibini belirleyecek ve en az bir parçayı küçülteceksin.

Listede hiçbir şey çıkmaması da bir sonuçtur; ama kullanıcı adını ve telefon numaranı da aratmadan bu sonuca varma.

Defter: Gizlilik bölümüne ayak izi tablosu: arama, bulunan bilgi, site, sahibi, grup ve yapılan iş. Silinen ya da kapatılan hesapların listesi. Altı ayda bir tekrarlanacak arama için bir hatırlatma.

Hata köşesi

Etik ve sınırlar

Bu dersin teknikleri, bir başkası hakkında arama yapmak için de kullanılabilir; sınır tam burada çizilir. Kendi ayak izine bakmak savunmadır. Bir başkası hakkında bilgi toplayıp onu bir araya getirmek, o kişinin izni olmadan yapıldığında bir mahremiyet ihlalidir; zarar verme amacıyla yayıldığında Google'ın da kaldırma gerekçesi saydığı ifşa davranışına dönüşür. Kişisel verileri hukuka aykırı olarak başkasına veren, yayan ya da ele geçiren kişi için ceza yasasının öngördüğü yaptırım hapistir; bu, Türk Ceza Kanunu'nda madde yüz otuz altıdır. Ece aramayı Nilüfer Hanım'ın yanında ve onun isteğiyle yaptı. Kaan kendi şirketinin ayak izine yönetimin yazılı onayıyla ve tanımlanmış bir görev olarak baktı; aynı aramayı başka bir şirket için, yetkisi olmadan yapmak bir güvenlik çalışması değil, bir saldırının keşif aşamasıdır.

Kapanış

1. Dijital ayak izi, bir kişi hakkında internette bulunabilen bilgilerin bütünüdür; bir kısmını kişi bırakır, bir kısmını başkaları, ve saldırganlar bu bilgileri hedeflemenin ilk aşamasında toplar.
2. Tek tek zararsız bilgiler bir araya geldiğinde inandırıcı bir sosyal mühendislik senaryosuna dönüşür; savunma, bu aramayı saldırgandan önce kendin yapmakla başlar.
3. Ayak izi sahibine göre küçültülür: kendi içeriğin silinir ya da gizlenir, başkasının sitesindeki içerik için siteye başvurulur, arama motorundan kaldırma ise içeriği kaynağında bırakır; silinmeyen bilgi bir kimlik doğrulama cevabı olarak kullanılmaz.

Üç soru

1. Telefondaki adamın söylediği bilgilerin hiçbiri sır değildi; o hâlde Nilüfer Hanım'ı neden tedirgin etti ve bu, bilgi birleştirmeyi nasıl gösteriyor?
2. Nilüfer Hanım'ın ayak izindeki okul sayfası, gazete haberi ve kedi ilanı için atılacak adımlar neden farklıdır?
3. Kaan'ın şirketinin iş ilanları bir saldırgana ne söylüyordu ve bu bilgi işin gereği miydi?

Yanıtlar

1. Adam okulun adını, sokağı, emekliliği ve torunun adını aynı konuşmada söyledi. Her biri ayrı ayrı herkese açık sayfalarda duruyordu, ama birlikte söylendiklerinde konuşmayı gerçek bir kargo görevlisinin bilgisi gibi gösteriyordu. Bilgi birleştirme budur: parçaların toplamı, parçalardan çok daha inandırıcı bir bahane üretir.
2. Kedi ilanını Nilüfer Hanım kendisi yazmıştı; onu silmek ya da silinmesini istemek onun kontrolündedir. Okul sayfası ve gazete haberi başkalarınındır; bunlar için sitenin sahibine başvurulur, gerekiyorsa kişisel veriye dayanan bir hukuki başvuru yapılır. Telefon numarası ve adres gibi özel bilgiler için ayrıca arama motorundan kaldırma istenebilir, ama bu içeriği kaynağında bırakır.
3. İlanlar kullanılan güvenlik duvarının ve uzaktan erişim yazılımının tam ürün adlarını ve sürümlerini veriyordu; bir saldırgan bu bilgiyle hangi açıkları araştıracağını bilirdi. Adayların deneyim alanını tanımlamak işin gereğiydi, ama ürün ve sürüm adları değildi; ilanlar bu yüzden yeniden yazıldı.

Sonraki derse köprü

Bu derste ayak izini dışarıdan, bir arama motorunun gözünden gördük ve güvenlik sorularının cevaplarının bir fotoğrafın altında bile durabildiğini fark ettik. Sosyal medya gizliliği dersi içeriden bakıyor: kendi hesaplarında paylaşımı kimin göreceğini belirleyen ayarlara, fotoğraflara gömülen konum etiketine ve güvenlik sorularının cevaplarını sır olmaktan çıkaran paylaşımlara.