İyi bir tehdit modeli, belirli bir riski en uzun özellik listesine değil, sonucu kontrol edilebilen bir önleme bağlar.
Bir mesajlaşma uygulaması için tehdit modeli oluşturmak; hangi bilgilerin sizin için önemli olduğunu, bu bilgilere kimin erişebileceğini ve risklerinize ve koşullarınıza hangi önlemlerin uygun olduğunu belirlemek demektir. Bir ailenin, bir gazetecinin veya kurumsal telefon kullanan bir çalışanın karşılaştığı tehditler aynı olmak zorunda değildir. Bu rehber, mesajlaşma uygulamalarının kesin bir sıralaması değil, kişisel planınızı yazmanız için basit bir çerçevedir.
Öne çıkan noktalar
- Tehdit modeli bir ürün değil, üç dört cümledir. Neyi, kimden ve ne kadar çabayla korumak istediğinizi yazın; bu cümleler olmadan mesajlaşma uygulaması seçmek, yalnızca özellik listesi toplamaktır.
- Sohbetinizin dört halkası vardır: kendi cihazınız, ağ, mesajlaşma sunucusu ve karşı tarafın cihazı. Bu dört katman bir başlangıç noktasıdır; yedekleri, hesapları ve bağlı hizmetleri de ayrı ayrı değerlendirin.
- Uçtan uca şifreleme, içeriği aracılara karşı korur; cihaz güvenliği, anahtarlar, yedekler ve alıcının davranışları önemini korur.
- Tehdidi kendi koşullarınıza göre değerlendirin: fiziksel erişim, bildirim önizlemeleri, kimlik avı, yedekler ve bağlı cihazlar incelenecek örneklerdir; istatistiksel bir risk sıralaması değildir.
- Üstveri, mesaj metninden ayrıdır. Kiminle, ne zaman konuştuğunuz, metin bütünüyle şifreli olsa da varlığını sürdürür; bunun hakkında ayrıca karar vermelisiniz.
Tehdit modeli nedir ve mesajlaşma uygulaması seçerken neden önemlidir?
Tehdit modeli, «neyi, kimden ve ne kadar çabayla korumak istediğinizin» kısa bir açıklamasıdır. Bu üç unsur netleşmedikçe, mesajlaşma uygulamalarını karşılaştırmak yalnızca daha uzun bir özellik listesine dönüşür ve hangi özelliğin işinize yaradığını anlayamazsınız.
Electronic Frontier Foundation (EFF), Security Planning (Threat Modeling) adlı rehberinde aynı noktayı vurgular: Her an, olası bütün tehditlere karşı korunmaya çalışmak hayal kırıklığına yol açar; çünkü güvenlik bir satın alma işlemi değil, bir süreçtir. Teknik ekipler için OWASP Tehdit Modelleme Projesi benzer bir çerçeve sunar; OWASP Geliştirici Rehberi'ndeki tehdit modeli kütüphanesi de örnek alınabilecek pek çok hazır model içerir.
Pratik bir not: Tehdit modeli değişmez bir belge değildir. İş değişikliği, iş seyahati veya aile grubuna yeni bir kişinin katılması modeli bütünüyle değiştirebilir. Böyle bir durum olduğunda aynı dört cümleyi yeniden yazın.
Mesajlarımı kim okuyor? Zinciri dört halkaya ayırın
Kısa yanıt şu: Her mesaj dört halkadan geçer — cihazınız, ağ, mesajlaşma sunucusu ve alıcının cihazı — ayrıca kopyalar veya bağlı hesaplar da erişim yolu oluşturabilir. Bu yüzden doğru soru «Hangi mesajlaşma uygulaması daha güvenli?» değil, «Benim durumumda hangi halka daha zayıf?» sorusudur.
Birinci halka: Kendi cihazınız
Telefonunuzun ekranında görünen her şeyin şifresi artık çözülmüştür. Telefon kilitli değilse, kilit ekranında bildirim önizlemesi açıksa veya biri dört haneli PIN'inizi biliyorsa, mesajın aktarım sırasında şifrelenmesi aynı cihazdaki erişilebilir içeriğin okunmasını engellemez.
İkinci halka: Ağ
Ağı gözlemleyen biri bağlantının hedefini, trafiğin zamanını ve hacmini görebilir; bir DNS hizmeti ise bütün yolu veya mesaj paketlerinin tümünü mutlaka görmez. Uçtan uca şifreleme kullanıldığında görülen şey metin değil, şifreli veridir; ancak mesaj alışverişinin gerçekleştiği ve veri hacmi genellikle gizli kalmaz.
Üçüncü halka: Mesajlaşma sunucusu
Sunucu, cihazların eşitlendiği noktadır. Uçtan uca şifreleme olduğunda sunucu metni okuyamaz; ancak yönlendirme üstverisini görmeye ve saklayabilmeye devam eder. «Şifreli» ile «özel» arasındaki fark tam burada ortaya çıkar.
Dördüncü halka: Karşı tarafın cihazı
Son halka sizin kontrolünüzün dışındadır. Alıcı ekran görüntüsü alabilir, mesajı iletebilir veya telefonuna zararlı yazılım bulaşmış olabilir. Uçtan uca şifreleme bu halkayı «alıcıya güvenme» meselesine indirger; bundan fazlasını yapmaz.
Özetle: Uçtan uca şifreleme, içeriğe erişebilenlerin kapsamını daraltır; ancak cihazlar, anahtar yönetimi ve yetkili alıcılar tehdit modelinin bir parçası olmaya devam eder.
Kendi koşullarınızda hangi tehditleri değerlendirmelisiniz?
Kilitsiz bir telefon, hesaba erişim, bildirim önizlemeleri ve yedekler değerlendirilebilecek örneklerdir. Profesyonel biçimde hedef alınan biri için gelişmiş zararlı yazılımlar veya fiziksel baskı da önemli olabilir; koşulları bilmeden riski küçümsemeyin.
Yedekleme, ayrı bir erişim yoludur. Mesajlaşma uygulaması yedeği bulutta tutuyorsa ve bu yedek uçtan uca şifrelenmiyorsa, telefondaki şifreleme yalnızca bulutun sınırına kadar işe yarar; doğru kapıyı kilitlemiş, ama anahtarı hemen yanına bırakmış olursunuz. Şifreli sohbetleri güvenle yedekleme rehberi bu erişim yolunu incelemenize yardımcı olur.
İkinci tehdit, yakınınızdaki kişilerdir: bir iş arkadaşı, ev arkadaşı veya telefonu «bir dakikalığına» ödünç alan biri. Üçüncü tehdit ise giriş hesabıdır; giriş e-postayla yapılıyorsa ve bu e-posta hesabı zayıf korunuyorsa, bütün zincir en zayıf halkasından açılır. Daha güçlü şifreleme bunların hiçbirini çözmez.
Sohbeti bilgisayar korsanlarından korumak: Gerçekte hangi saldırılar gerçekleşir?
Kısa yanıt: Sohbetlere yönelik yaygın saldırılar şifrelemenin matematiğini kırmak değil; kimlik avı, zararlı yazılım, giriş kodunu çalma ve cihazın kendisine saldırma yöntemleridir. Saldırgan, kilidi kırmak yerine anahtarı arar.
Bu nedenle hesaba giriş davranışları, anahtar uzunluğu kadar önemlidir. Livara, kimlik doğrulamada SRP'yi (parolanın sıfır bilgiyle kanıtlanması) kullanır: Cihazınız, parolanın kendisini ağ üzerinden göndermeden parolayı bildiğini kanıtlar. Bunun pratik sonucu, giriş trafiğinin kaydedilmesinin parolayı açığa çıkarmamasıdır. Sınırlamayı da açıkça belirtmek gerekir: SRP, kullanıcının parolasını kendi eliyle yazdığı sahte bir sayfayı engellemez; burada mesele artık matematik değil, kullanıcının dikkatidir.
İkinci saldırı yüzeyi, uygulamanın kendisidir. Değiştirilmiş bir APK, uygulamadaki şifreleme önlemlerini aşabilir. Livara, indirilen dosyayı güvenilir bir referansla karşılaştırabilmeniz için her sürümün SHA-256 sağlama toplamını yayımlar; Kanıt Laboratuvarı bunu tarayıcıda yapar. Diğer mesajlaşma uygulamalarına hangi soruları yöneltmeniz gerektiğini öğrenmek için güvenli bir mesajlaşma uygulaması seçmeden önce sorulacak sorular listesi iyi bir başlangıçtır.
Uçtan uca şifreleme neleri kapsar, neleri kapsamaz?
Kısa yanıt: Uçtan uca şifreleme, mesaj içeriğini sizin cihazınızdan alıcının cihazına kadar korur; böylece sunucu yalnızca şifreli veriyi görür. Ancak bu özelliğin adından hareketle bütün üstveriler, yedekler, ekran görüntüleri veya herkese açık kanallar hakkında sonuç çıkarılamaz; her biri ayrı kontroller gerektirir.
Belirli bir ürün için algoritmanın adından çıkarım yapmak yerine, özelliklerin kapsam tablosunu okuyun. Livara'nın güvenlik sayfası ve tehdit modeli; sohbet, kanal, arama, üstveri ve kurtarma konularını açıklar. Bunlar üreticinin yayımladığı iddialardır ve bağımsız testlerin yerini tutmaz. Özellikle arama kaydının durumunu ve kimliğin kurtarılması ile sohbet geçmişinin kurtarılması arasındaki farkı ayrı ayrı inceleyin.
Metin şifreli olsa bile üstveri neleri açığa çıkarır?
Kısa yanıt: Üstveri; kimin kiminle, ne zaman ve ne kadar veri alışverişi yaparak konuştuğunu gösterir. Metnin şifrelenmesi bu bilgileri ortadan kaldırmaz.
Livara'da standart yönlendirme üstverisi (gönderen, hedef, teslim zamanı), cihazların kesintisiz eşitlenmesi için saklanır. Bu açık bir sınırlamadır; göz ardı edilebilecek bir ayrıntı değildir. Metin okunmasa bile «kim kiminle» iletişim grafiği hassas olabilir: doktor ve hasta, avukat ve müvekkil veya bir iş görüşmesinin tarafları. Daha ayrıntılı açıklama mesajlaşma üstverisinin neleri açığa çıkardığı yazısında yer alır.
Tehdit modeliniz «iletişim düzenimi gören biri» ihtimalini içeriyorsa, hiçbir uçtan uca şifreli mesajlaşma uygulaması tek başına bu kısmın yanıtı değildir; kiminle ve nereden konuştuğunuzu da düşünmelisiniz.
Beş dakikada kendi tehdit modelinizi yazın
Kısa yanıt: Dört soruyu yanıtlayın — kimden çekiniyorum, o kişi ne istiyor, ne kadar imkâna sahip ve mesaj açığa çıkarsa ne olur? Ardından en düşük maliyetli etkili önlemi seçin; tersini yapmayın.
- Tehdit kimden geliyor? Adını koyun: iş arkadaşı, eski partner, hırsız, şirket, devlet.
- Neyi korumaya değer buluyorsunuz? Konuşma metnini, dosyaları veya iletişim düzeninin kendisini.
- O kişinin imkânları neler? Telefona fiziksel erişim mi? Hesaba erişim mi? Geniş kaynaklar mı?
- Bilgi açığa çıkarsa ne olur? İtibar, iş, fiziksel güvenlik veya yalnızca mahcubiyet.
- Bu yanıtlara göre en düşük maliyetli etkili önlemi seçin.
Tehdit aynı Wi-Fi ağındaki bir gözlemciyse, doğrulanmış bir TLS bağlantısı ve kimliği doğrulanmış uçtan uca şifreleme önemlidir; fiziksel erişim söz konusuysa cihaz kilidi farklı bir öncelik taşır. Bir sohbeti güvenlik numaralarıyla doğrulama rehberi bunun nasıl yapılacağını gösterir. Belirli bir mesajlaşma uygulamasında kimin neyi görebildiğini öğrenmek istiyorsanız, Livara'nın yayımlanmış tehdit modeli bunu sloganlara başvurmadan açıklar.
Kısa bir tehdit modeli örneği
«Telefonumdaki iş dosyaları hassas. Şu anki başlıca risk, bir iş arkadaşımın kilidi açık telefonuma ve galeriye kaydedilmiş kopyalara erişmesi. Bu hafta otomatik kilit süresini kısaltacağım, bildirim önizlemelerini sınırlayacağım ve yedekleme klasörlerini kontrol edeceğim. Ardından bir deneme dosyasıyla sonucu değerlendireceğim.»
Bu yalnızca bir örnektir; sizi kontrol altında tutmaya çalışan biri cihazınıza erişebiliyorsa, ayarları aniden değiştirmek dikkat çekebilir. Plan yapmak için güvenli bir cihaz ve güvendiğiniz bir kişinin yardımını kullanın; fiziksel güvenliğinizi öncelikli tutun.
Sık sorulan sorular
«Tehdit modeli»ni tek cümlede nasıl tanımlarım?
Neyi, kimden ve ne kadar çabayla korumak istediğinizi netleştirmek demektir. Hangi güvenlik özelliğinin maliyetine değdiğini, hangisinin yalnızca ek karmaşıklık getirdiğini bu cümle belirler.
Uçtan uca şifreleme kullanıyorsam yine de bilgisayar korsanlarını düşünmeli miyim?
Evet, ama düşündüğünüz biçimde değil: Saldırgan kilidi kırmak yerine cihazı, kimlik avını ve giriş kodunu hedef alır. Bu nedenle doğru sorular şunlardır: Telefonum kilitli mi, bulut yedeğim şifreli mi, e-posta hesabım korunuyor mu?
Herkese açık kanallar da uçtan uca şifrelenir mi?
Hayır; kanal, bildirimlerin incelenmesi ve kötüye kullanım içeren içeriğin kaldırılması mümkün olsun diye herkese açık ve okunabilir bir yayın alanıdır. Livara'nın belgelerine göre, doğrudan sohbetler ve E2EE durumu etkin olan uyumlu özel gruplar uçtan uca şifrelenir; eski ve uyumsuz bir grup, bu durum açıkça gösterilerek E2EE dışında kalabilir. İlgili sohbetin durumunu kontrol edin. Grup üyeliğinin kontrolü de sunucuda kalır.
Yüklediğim Android sürümünün değiştirilmediğini nasıl anlarım?
İndirdiğiniz APK dosyasının özetini, aynı sürümün güvenilir bir kaynaktan alınmış sağlama toplamıyla karşılaştırın; Kanıt Laboratuvarı, dosyayı tarayıcıda kontrol etmek için tasarlanmıştır. Özetlerin eşleşmesi yalnızca referansla aynı olduğunu gösterir; saldırgan hem dosyayı hem de referans özetini değiştirmişse eşleşme yeterli değildir. Değiştirilmiş bir APK şifrelemeyi aşabilir; dolayısıyla uygulamanın bütünlüğünü doğrulamak, şifrelemenin kendisi kadar önemlidir.
