Varsayılan olarak güvenli

Açılış

Bora, eski yönetici hesabını üçe böldükten sonra o hesabın nasıl doğduğunu merak etti. Sekiz yıl önceki kurulum belgesini arşivden çıkardı. Cevap ilk sayfadaydı: görüntüleme sistemi, tedarikçinin hazır kurulum ayarlarıyla gelmişti. Kurulum sihirbazı tek bir yönetici hesabı açıyor, ona her şeyi veriyor, ve kurulumu yapan teknisyen "sonra ayarlarız" diye geçiyordu. Sonra hiç gelmemişti.

O hafta hastaneye yeni randevu sisteminin deneme sürümü de teslim edildi. Bora, sekiz yıl önceki hatayı tekrarlamamak için bu kez kurulumdan önce varsayılan ayarları tek tek okudu.

Gördükleri tanıdıktı. Yönetim paneline giriş, kurulum belgesinde yazan ve her müşteride aynı olan bir parolayla açılıyordu. İkinci doğrulama adımı vardı ama kapalıydı; açmak için ayarların dördüncü sekmesine gitmek gerekiyordu. Kullanıcıların kimin hangi hasta kaydını açtığını gösteren erişim kayıtları ise yalnız ücretli "kurumsal pakette" geliyordu. Tedarikçi, bütün bunları düzelten kırk sayfalık bir "sıkılaştırma kılavuzu" da göndermişti.

Bora kılavuzu masaya koydu. "Kırk sayfayı her hastane okuyacak mı?" diye düşündü. "Okumayanların sistemi ne olacak?"

Tek fikir

Varsayılan olarak güvenli, bir sistemin kutudan çıktığı hâlin, kimse bir şey değiştirmeden güvenli olmasıdır. Çoğu kullanıcı varsayılanı değiştirmez; bu yüzden güvenliği kullanıcının yapacağı ayarlara bırakan bir tasarım, güvensizliği varsayılan yapar. Erişim kararları da izin üzerine kurulur: açıkça izin verilmeyen şey kapalıdır.

Nasıl çalışır

Modül 8'de kendi cihazlarımızı sıkılaştırırken güvenli varsayılanı tanımladık: bir ürünün kullanıcı hiçbir ayarı değiştirmeden güvenli çalışması. Bu ders aynı fikre bir mimari ilke olarak, yani sistemleri tasarlayan ve satın alan taraftan bakıyor.

Bu ilkeyi bugün en açık biçimde savunan metin, on üç ülkenin güvenlik kurumlarıyla bir bölgesel olay müdahale ağının birlikte yayımladığı bir rehberdir.

Rehberin önerdiği tersine çevirme, ilkenin özüdür. Sıkılaştırma kılavuzunda ürün açık gelir ve güvenli hâle getirmek kullanıcının işidir. Gevşetme kılavuzunda ürün güvenli gelir ve bir şeyi açmak isteyen kullanıcı, neyi göze aldığını okur.

Rehberin ilk somut uygulaması ayrıca adlandırılmaya değer, çünkü yıllardır aynı biçimde tekrar eden bir zayıflıktır.

Varsayılan olarak güvenli olmanın bir de erişim kararları için anlamı vardır. Bu anlamın ifadesi, bir önceki derste en az ayrıcalığı aldığımız kurucu makalededir.

Saltzer ve Schroeder'in gerekçesindeki asimetri önemlidir. Varsayılan ret düzeninde bir hata yapılırsa, birisi erişmesi gereken bir yere erişemez ve hemen şikâyet eder; hata görünür olur. Varsayılan izin düzeninde bir hata yapılırsa, birisi erişmemesi gereken bir yere erişir ve kimse şikâyet etmez; hata görünmez kalır.

Sahada

Savunma

Varsayılan olarak güvenli olmanın savunmaya katkısı, güvenliği en çok kişiye en az çabayla ulaştırmasıdır. Kırk sayfalık bir kılavuzu okuyan küçük bir azınlık değil, hiçbir şeye dokunmayan çoğunluk korunur.

Satın alırken varsayılanları sor. Bora'nın üç sorusu her alımda sorulabilir: her müşteride aynı olan bir varsayılan parola var mı, yönetici hesapları için ikinci adım açık mı geliyor, denetim kayıtları ek ücret olmadan var mı? Cevapları kötü olan bir ürün, sizi kendi sıkılaştırma işinize mahkûm eder.

Kurarken varsayılanı kabul etmeden önce oku. Kurulum sihirbazının "sonra ayarlarsın" dediği her yer, Bora'nın sekiz yıl önceki hesabı gibi kalıcı olabilir. İlk kurulum, varsayılanları değiştirmenin en ucuz anıdır.

Tasarlarken güvenli seçeneği varsayılan yap. Selin'in satıcı panelinde olduğu gibi, güvenliği bir onay kutusuna bırakmak çoğu kullanıcının onu hiç açmaması demektir. Kapatmak mümkün olabilir, ama bilinçli bir adım olmalıdır.

Erişimi varsayılan retle kur. Güvenlik duvarında, dosya izinlerinde ve uygulama yetkilerinde önce her şeyi kapat, sonra gerekeni aç. Kaan'ın yirmi kuralı üçe indi ve kalan üçü okunabilir hâle geldi.

Tespit tarafında varsayılan ret bir uyarı sistemi gibi çalışır: reddedilen her istek kaydedilir ve beklenmedik reddedilmeler, bir yapılandırma eksiğini ya da bir kötüye kullanım denemesini gösterir.

Uygulama

Evindeki ya da işindeki cihazların varsayılan ayarlarını tarayacak ve güvensiz varsayılanları değiştireceksin.

Bitirdiğinde, değiştirdiğin her ayarın yanına kutudan nasıl çıktığını yaz. Bu liste, bir sonraki cihazı satın alırken soracağın soruların listesidir.

Defter: Cihaz listesi, her cihaz için dört sorunun cevabı ve yapılan değişiklikler, kutudan çıkış hâli ile şimdiki hâlin karşılaştırması, bilgisayar güvenlik duvarının varsayılan davranışı. Bir sonraki satın almada sorulacak üç soru.

Hata köşesi

Etik ve sınırlar

Varsayılan ayarları tarayıp değiştirmek, yalnız sahibi olduğun ya da yönetmekle görevlendirildiğin cihazlarda yapılır; bir apartmanın ortak modemini, bir kafenin kablosuz ağını ya da bir komşunun kamerasını "varsayılan parolası değişmiş mi" diye denemek, merak ya da yardım amacı taşısa bile izinsiz erişim girişimidir ve suç oluşturabilir. Başkasının cihazında varsayılan bir parola fark edersen, yapılacak şey onu denemek değil, sahibine haber vermektir. Bir ürün tasarlayan için de bir sorumluluk vardır: güvenli seçeneği gizleyip güvensiz seçeneği varsayılan yapmak, ya da güvenliği yalnız ücretli pakette sunmak, kullanıcının bilmediği bir riski onun üzerine yıkmaktır; CISA rehberinin güvenliği bir hak olarak görmesinin nedeni budur. Bir güvenlik özelliğini kapatan kullanıcının da neyi göze aldığını açıkça görme hakkı vardır.

Kapanış

1. Varsayılan olarak güvenli, bir sistemin kutudan çıktığı hâlin kimse bir şey değiştirmeden güvenli olmasıdır; çoğu kullanıcı varsayılanı değiştirmediği için, korunan çoğunluk varsayılanın koruduğu kişilerdir.
2. Varsayılan parolalar kalkar, yönetici hesaplarında ikinci adım açık gelir, denetim kayıtları ek ücretsiz verilir; sıkılaştırma kılavuzunun yerini, güvenlikten vazgeçmenin riskini anlatan gevşetme kılavuzu alır.
3. Erişim kararları varsayılan retle kurulur: açıkça izin verilmeyen şey kapalıdır, ve bu düzende yapılan hata sessiz bir açık değil, hızla fark edilen bir engel olur.

Üç soru

1. Bora'nın eski yönetici hesabı nasıl doğmuştu ve bu, varsayılanlar hakkında neyi gösterir?
2. Selin'in ekibi satıcı panelinde ikinci doğrulama adımını neden varsayılan olarak açtı?
3. Kaan'ın depo ağındaki kural değişikliğinden sonra yazıcının çalışmaması neden iyi bir işaretti?

Yanıtlar

1. Görüntüleme sistemi tedarikçinin hazır kurulum ayarlarıyla gelmişti; kurulum sihirbazı her şeye yetkili tek bir yönetici hesabı açmış ve teknisyen "sonra ayarlarız" diye geçmişti. Sekiz yıl boyunca kimse o hâli değiştirmedi. Bu, varsayılanın çoğu zaman kalıcı hâl olduğunu gösterir.
2. Pilot dönemde isteğe bağlı bırakılan ikinci adımı satıcıların çok küçük bir kısmı açmıştı. CISA ve ortaklarının rehberi yönetici kullanıcılar için çok faktörlü doğrulamanın isteğe bağlı kapatılan bir özellik olmasını önerir; varsayılan açık olunca çoğunluk korunur ve kapatan satıcı neyi göze aldığını bir uyarı ekranında okur.
3. Varsayılan ret düzeninde bir hata, birinin erişmesi gereken yere erişememesi olarak ortaya çıkar ve hemen fark edilir. Yazıcının çalışmaması, eksik bir izni o gün görünür kıldı ve depo şefinin aramasıyla aynı gün düzeltildi. Varsayılan izin düzeninde benzer bir hata, açık kalan ve aylarca sessiz kalabilecek bir erişim olurdu.

Sonraki derse köprü

Kaan'ın depo ağında artık her şey kapalıydı ve gerekenler tek tek açılıyordu. Ama bir kuralı açmaya karar veren de, onu uygulayan da, sonra denetleyen de aynı kişiydi. Görevlerin ayrılığı dersi bu soruya bakıyor: tek bir kişinin bir işi hem yapıp hem onaylayamaması.