Devekuşu Sendromu: E-posta Örneği

Her ne kadar Akbank reklamları “güven kazanmak zordur” dese de konu teknoloji olunca gözümüze güvenli gözüken her şeye hemen de güveniveririz. Yani bir bakıma bilgisayarımızın bize “güvendesin” dediği her an kendimizi güvende sanırız. Peki gerçekten güvende miyiz? Yoksa devekuşu misali kafamızı kuma mı gömüyoruz? Bu yazıda devekuşu sendromunu nerdeyse her gün kullandığımız e-posta uygulaması üzerinde örneklemeye çalışacağım.

E-posta güvenliği deyince ne anlıyoruz? Her ne kadar e-postanın içeriğinin yetkisiz kişilerce okunamaması önemli ise de çoğu durumda gönderenin gerçekten gönderen olduğunu iddia ettiği kişi olup olmadığı gizlilikten daha önemlidir. Çalışmakta olduğum iki bankadan da geçtiğimiz aylarda “aman sakın ha xxxBank’tan geliyormuş gibi gözüken ve şifrenizi girip gönder tuşuna basmanızı isteyen e-posta mesajlarına itibar etmeyin” şeklinde özetlenebilecek mesajlar aldım. Eminim bu tip sorunlar benim çalışmadığım diğer bankalarda da yaşanmaktadır. Benzer bir sorun tanıdığınız bir kişiden gelmiş gibi gözüken virüs içerikli mesajlardır. Ancak o kişinin bundan haberi bile yoktur.

Devekuşu sendromu 1: E-posta programım mesaj Ali Veli’den geliyor dediyse doğrudur.

Maalesef güvenlik gereksinimlerimiz yaygın olarak kullanılan e-posta istemci yazılımlarının varsayılan kurulum ve kullanımlarıyla karşılanamamaktadır. Herhangi biri sizin adınıza e-postalar gönderebilir. Her ne kadar bu durum e-postanın başlık kısmının incelenmesi ile anlaşılabilir ise de bunun garantisi yoktur. Ayrıca çoğu zaman sahtekarı yakalamak mümkün değildir. İşin en kötü yanı, gönderen kişi sonradan gönderdiği mesajı inkar edebilir. Özellikle finanssal işlemlerde bu çok önemlidir. Örneğin bir banka müşterisinin e-posta ile bir havale emri verdiğini ve sonradan bu emri vermediğini iddia ettiğini düşünün. Bankanın elinde bulunan tek kanıt olan e-posta aslında, doğru bile olsa, geçersiz bir kanıttır, çünkü herkes o e-postayı rahatlıkla gönderebilir.

Bahsettiğimiz sorunlar çözümsüz değildir. Genel kabul görmüş iki çözüm olarak PGP (Pretty Good Privacy) ve S/MIME (Secure / Multipurpose Internet Mail Extensions) sayılabilir. Şimdi bu çözümleri daha yakından inceleyeceğiz.

PGP

Kullandığı kripto algoritmalarının kuvvetliliği ile dikkati çeken PGP, kendini dijital mahremiyetin korunmasına adamış bir aktivist olan Phil Zimmermann tarafından geliştirilen ve gayrı ticari kullanımı ücretsiz bir e-posta güvenlik yazılımıdır. Diğer bir özelliği ise içerdiği güven mekanizmalarının karmaşıklığıdır. Güvenli otorite kavramına karşı çıkan bir yaklaşımın ürünü olduğu için, isteyen herkes açık anahtarları onaylayan bir otorite olabilir. Ancak kullanıcılar güvendiği kişileri kendileri seçerler. Güvenilir olmak da değişik kategorilerde incelenmiştir. Sonuçta ortaya sadece güvenlik konusunda uzman kullanıcıların anlayıp layıkıyla uygulayabildiği karmaşık bir güven mekanizması çıkmıştır. Kullanıcıların açık anahtarları PGP açık anahtar sunucularında tutulur ve istem bazında bu sunucular tarafından dağıtılır.

Devekuşu sendromu 2: Eğer PGP ile imzalanmış bir mesajı gönderenin açık anahtarını açık anahtar sunucusundan indirerek doğrulayabiliyorsanız mesaj o kişiden gelmiş demektir.

Maalesef bu da doğru değildir. Bu sunucular aslında birer veritabanı sunucularıdır ve hiçbir şekilde güvenlik imasında bulunamazlar. Yani bir açık anahtarın bu sunucularda bulunması, söz konusu açık anahtarın bahsi geçen kişiye ait olduğunun kanıtı değildir. Ancak çoğu kullanıcı bu gerçeğin farkında olmadan sunucudan indirdiği açık anahtarları doğruymuş gibi kullanmaktadır.

S/MIME

S/MIME aslında bir ürün değildir. IETF (Internet Engineering Task Force) tarafından geliştirilen MIME standardının devamı niteliğinde olan ve ona güvenli e-posta eklentileri getiren bir standarttır. Bu standart, Netscape Messenger, MS Outlook gibi popüler e-posta istemci yazılımları tarafından desteklenmektedir.

S/MIME, açık anahtarların sahiplerinin doğruluğunu garantileme mekanizması olarak güvenli sertifika otoritelerini (Certification Authority – CA) kullanmaktadır. Aslında birer şirket olan bu otoriteler, kişilere ve kurumlara ücret karşılığı dijital kimlik olarak da adlandırılan sertifikalar pazarlamaktadırlar. Bu sertifikalar içinde, kullanıcı bilgileri ile beraber sertifika sahibinin açık anahtarı da bulunmaktadır. Sertifikayı dijital olarak imzalayan CA, sertifika içinde var olan bilgilerin doğruluğuna garanti vermektedir. Bu sertifikayı doğrulayanlar, sertifika sahibinin açık anahtarını güvenli bir şekilde öğrenmiş olmaktadır.

Devekuşu sendromu 3: Eğer e-posta programım S/MIME imzalı olarak gelen bir mesaj için “bu mesajı Ali Veli imzalamıştır” diyorsa o mesaj kesinlikle Ali Veli’den gelmiştir.

Tahmin edeceğiniz üzere bu da doğru değildir. Sertifika üretilirken değişik seviyelerde kimlik kontrolü yapılabilir. Class-1 tabir edilen sertifikalarda sadece e-posta adres erişim doğrulaması yapılmakta, kullanıcının gerçek kimliği ile ilgili herhangi bir kontrol yapılmamaktadır. Bu işlem çevrim-içi yapılabilmektedir. Class-2 ve Class-3 sertifikalarda artan oranlarda kimlik doğrulamaları yapılmaktadır.

Class-1 sertifikalar kimlik kontrollü dağıtılmadığı için, bir Class-1 sertifikayı başka birinin adına almak ve kullanmak olasıdır. S/MIME’da sertifikalarla ilgili diğer bir sorun da, hangi class olursa olsun, sertifika içindeki isim dışında başka bir isimle imzalı e-posta gönderdiğinizde, istemcilerin imzayı başarıyla doğrulamasıdır. Çünkü istemciler sadece e-posta adres kontrolü yaparlar. İsim kontrolü standartlarca yapılması istenen bir kontrol olmadığı için yapılmaz.

Devekuşunun Uyanışı

Sorunları masaya yatırdıktan sonra çözüm yollarını da söylemekte fayda var. İmzasız gelen her mesajın sahte olma potansiyeli taşıdığı unutulmamalıdır. Mesaj başlıklarını (header) kontrol etmek bir yere kadar içinizi rahatlatabilir ama gelen mesaja istinaden önemli bir bilgi göndermeden veya önemli bir adım atmadan önce e-posta veya telefon yolu ile mesajın teyit edilmesi elzemdir.

S/MIME imzalı e-postalarda kullandığınız yazılım size gönderenin adını ve soyadını gösterse bile sizin gönderenin e-posta adresine bakmanız ve göndereni isminden değil de adresinden tespit etmeniz gereklidir. S/MIME standartlarına göre sertifika ile e-posta arasındaki tek bağıntı e-posta adresidir.

PGP kullanıyorsanız ise PGP’yi hazmederek ve arkasındaki güven mekanizmasını özümseyerek kullanmanızı öneririm. Yoksa maksat güvenlik olsun diye arkasındaki mekanizmayı anlamadan PGP kullanmak kafanızın kumda kalmasına neden olacaktır.

Albert Levi

Yazıyla ilgili görüş ve yorumlarınızı yorum@teknoTurk.org ve levi@sabanciuniv.edu adreslerine yollayabilirsiniz.