Bu makale birkaç yıl önce, Telegram messenger'ın engellenmesinin toplulukta aktif olarak tartışıldığı bir zamanda yazılmış ve bu konudaki düşüncelerimi içermektedir. Ve bugün bu konu neredeyse unutulmuş olsa da, umarım hala birisinin ilgisini çekecektir.
Bu metin dijital güvenlik konusundaki düşüncelerimin bir sonucu olarak ortaya çıktı ve uzun süre yayınlanmaya değer olup olmadığından şüphe ettim. Neyse ki, tüm sorunları doğru bir şekilde anlayan çok sayıda uzman var ve onlara yeni bir şey söyleyemem. Ancak bunların yanı sıra, yalnızca kendileri hata yapmakla kalmayıp aynı zamanda makaleleriyle çok sayıda efsaneye yol açan çok sayıda yayıncı ve diğer blog yazarı da var.
Son zamanlarda dijital savaş sahnesinde bazı ciddi tutkuların alevlendiği bir sır değil. Elbette Rus modernitesinde en çok tartışılan konulardan birini, yani Telegram messenger'ın engellenmesini kastediyoruz.
Engellemenin karşıtları bunu insan ile devlet arasındaki bir çatışma, ifade özgürlüğü ve birey üzerinde tam kontrol olarak sunuyor. Destekçiler ise tam tersine, kamu güvenliği ve suç ve terörist yapılarla mücadele hususlarıyla yönlendiriliyor.
Öncelikle Telegram mesajlaşma programının tam olarak nasıl çalıştığını hayal edelim. Ana sayfalarına gidebilir ve kendilerini nasıl konumlandırdıklarını okuyabiliriz. Bu özel çözümü kullanmanın temel avantajlarından biri, son kullanıcı güvenliğine ödünsüz bir vurgu yapılması olacaktır. Peki bununla tam olarak ne kastediliyor?
Diğer birçok kamu hizmetinde olduğu gibi verileriniz şifrelenmiş biçimde iletilir, ancak yalnızca merkezi sunuculara aktarılır; burada tamamen açık biçimde bulunurlar ve herhangi bir yönetici, eğer gerçekten isterse, tüm yazışmalarınızı kolayca görebilir. Herhangi bir şüpheniz var mı? Daha sonra cihazlar arasındaki senkronizasyon fonksiyonunun nasıl uygulandığını düşünün. Veriler gizliyse üçüncü cihaza nasıl ulaşıyor? Sonuçta, şifre çözme için herhangi bir özel istemci anahtarı sağlamıyorsunuz.
Örneğin, ProtonMail posta hizmetinde yapıldığı gibi, hizmetle çalışacağınız yerde, yerel makinenizde depolanan ve tarayıcı tarafından posta kutunuzdaki mesajların şifresini çözmek için kullanılan bir anahtarı sağlamanız gerekir.
Ama bu o kadar basit değil. Normal sohbetlerin yanı sıra gizli sohbetler de var. Burada yazışmalar aslında sadece iki cihaz arasında yapılıyor ve herhangi bir senkronizasyondan söz edilmiyor. Bu özellik yalnızca mobil istemcilerde mevcuttur; sohbet ekran görüntüleri uygulama düzeyinde kilitlenir ve sohbet belirli bir süre sonra yok edilir. Teknik açıdan bakıldığında, veriler hâlâ merkezi sunucular üzerinden akıyor ancak orada saklanmıyor. Üstelik, yalnızca istemcilerin şifre çözme anahtarları olduğu ve şifrelenmiş trafiğin özel bir değeri olmadığı için kaydetmenin kendisi anlamsızdır.
Bu şema, istemciler ve sunucu bunu dürüstçe uyguladığı sürece ve cihazda, ekranınızın anlık görüntülerini bilginiz dışında üçüncü taraflara gönderen çeşitli türde programlar olmadığı sürece çalışacaktır. Öyleyse belki de kolluk kuvvetlerinin Telegram'dan bu kadar hoşlanmamasının nedeni gizli sohbetlerde aranmalıdır? Benim görüşüme göre, insanların çoğunluğunun yanlış anlamasının kökü budur. Ve genel olarak şifrelemenin ne olduğunu ve verilerinizi kimden korumanın amaçlandığını anlayana kadar bu yanlış anlaşılmanın nedenini tam olarak anlayamayacağız.
Bir saldırganın arkadaşlarına gizli bir mesaj göndermek istediğini düşünelim. O kadar önemli ki hem uğraşmaya hem de riske girmeye değer. Bir bilgi güvenliği uzmanı açısından Telegram bu kadar iyi bir seçim mi? Hayır değil. Bunun için popüler anlık mesajlaşma programlarından herhangi birini kullanmanın seçebileceğiniz en kötü seçenek olduğunu düşünüyorum.
Asıl sorun, yazışmalarınızın ilk önce aranacağı bir mesajlaşma sisteminin kullanılmasıdır. Yeterince iyi korunsa bile onun varlığı sizi tehlikeye atabilir. İstemciler arasındaki bağlantının hala merkezi sunucular üzerinden gerçekleştiğini ve en azından iki kullanıcı arasında mesaj gönderildiğinin kanıtlanabileceğini hatırlatalım. Bu nedenle e-postayı, sosyal ağları ve diğer kamu hizmetlerini kullanmanın bir anlamı yok.
O halde tüm güvenlik gereksinimlerini karşılayan yazışmaları nasıl organize edebilirsiniz? İncelememiz kapsamında, sorunun yalnızca hukuk çerçevesinde çözülebileceğini göstermek amacıyla tüm yasa dışı veya tartışmalı yöntemleri bilinçli olarak bir kenara bırakacağız. Herhangi bir casus yazılıma, bilgisayar korsanına veya bulunması zor bir yazılıma ihtiyacınız olmayacak.
Araçların neredeyse tamamı, herhangi bir GNU/Linux işletim sistemiyle birlikte gelen standart yardımcı programlar setine dahildir ve bunların yasaklanması, bilgisayarların da yasaklanması anlamına gelir.
World Wide Web, genellikle üzerlerinde GNU/Linux işletim sistemini çalıştıran ve bu sunucular arasında paketlerin yönlendirilmesine ilişkin kuralları çalıştıran devasa bir sunucu ağına benzer. Bu sunucuların çoğu doğrudan bağlantıya açık değildir ancak bunların yanı sıra, büyük miktarda trafikten geçen, hepimize hizmet veren, oldukça erişilebilir adreslere sahip milyonlarca sunucu daha vardır. Ve tüm bu kaosun ortasında hiç kimse yazışmalarınızı aramayacak, özellikle de genel arka planda herhangi bir şekilde göze çarpmıyorsa.
Gizli bir iletişim kanalı düzenlemek isteyenler, piyasada bulunan yüzlerce oyuncudan birinden bir VPS (buluttaki sanal makine) satın alacaklar. İhracın fiyatı, görülmesi zor olmadığı gibi, ayda birkaç dolar. Elbette bu isimsiz olarak yapılamaz ve her durumda bu sanal makine ödeme aracınıza, dolayısıyla kimliğinize bağlanacaktır. Ancak çoğu barındırıcı, gönderilen trafik miktarı veya 23 numaralı bağlantı noktasına bağlantılar gibi temel sınırlarını aşmadığınız sürece donanımlarında ne çalıştırdığınızı umursamaz.
Bu olasılık mevcut olsa da, sizden kazandığı birkaç doları sizi izlemek için harcaması onun için kesinlikle karlı değil.
Ve bunu istese veya yapmaya mecbur kalsa bile, öncelikle özel olarak ne tür bir yazılım kullandığınızı anlaması ve bu bilgiye dayanarak bir takip altyapısı oluşturması gerekir. Bunu manuel olarak yapmak zor olmayacak, ancak bu süreci otomatikleştirmek son derece zor bir iş olacaktır. Aynı sebepten ötürü, öncelikle bunu yapmak isteyen ilgili yapıların dikkatini çekmediğiniz sürece, sunucunuz üzerinden geçen tüm trafiği kaydetmeniz ekonomik olarak karlı olmayacaktır.
Bir sonraki adım, mevcut birçok yöntemden birini kullanarak güvenli bir kanal oluşturmaktır.
- En kolay yol, sunucuya güvenli bir SSH bağlantısı oluşturmaktır. Birkaç istemci OpenSSH aracılığıyla bağlanır ve örneğin wall komutunu kullanarak iletişim kurar. Ucuz ve neşeli.
- Bir VPN sunucusu oluşturmak ve birkaç istemciyi merkezi bir sunucu aracılığıyla bağlamak. Alternatif olarak, yerel ağlara yönelik herhangi bir sohbet programını arayın ve devam edin.
- Basit FreeBSD NetCat aniden ilkel anonim sohbet için yerleşik işlevselliğe sahip oldu. Sertifikaları ve çok daha fazlasını kullanarak şifrelemeyi destekler.
Aynı şekilde basit kısa mesajların yanı sıra herhangi bir dosyayı da aktarabileceğinizi belirtmeye gerek yok. Bu yöntemlerin herhangi biri 5-10 dakika içerisinde uygulanabilmektedir ve teknik olarak zor değildir. Mesajlar, İnternet'teki trafiğin çoğunluğunu oluşturan basit şifreli trafiğe benzeyecek.
Bu yaklaşıma steganografi adı veriliyor; mesajları kimsenin aramayı bile düşünmeyeceği yerlere saklamak. Bu tek başına yazışmaların güvenliğini garanti etmez, ancak tespit edilme olasılığını sıfıra indirir. Ayrıca sunucunuz başka bir ülkede bulunuyorsa veri alma işlemi başka sebeplerden dolayı imkansız olabilir. Birisi buna erişse bile, kamu hizmetlerinden farklı olarak herhangi bir yerde yerel olarak saklanmadığı için o ana kadar olan yazışmalarınız büyük ihtimalle tehlikeye atılmayacaktır (bu elbette seçtiğiniz yönteme bağlıdır). iletişim).
Ancak yanlış yere baktığım, dünya istihbarat teşkilatlarının her şeyi uzun süredir düşündüğü ve tüm şifreleme protokollerinin uzun süredir dahili kullanım için deliklere sahip olduğu konusunda bana itiraz edebilirler. Sorunun geçmişi göz önüne alındığında tamamen makul bir ifade. Bu durumda ne yapmalı?
Modern kriptografinin temelini oluşturan tüm şifreleme sistemlerinin belirli bir özelliği vardır: kriptografik güç. Herhangi bir şifrenin kırılabileceği varsayılmaktadır; bu sadece zaman ve kaynak meselesidir. İdeal olarak, veriler ne kadar önemli olursa olsun, bu sürecin saldırgan için kârlı olmadığından emin olmak gerekir. Veya o kadar uzun sürdü ki, verilerin hacklenmesi artık önemli olmayacak.
Bu ifade tamamen doğru değil. Günümüzde kullanılan en yaygın şifreleme protokollerinden bahsederken bu doğrudur. Ancak tüm şifre çeşitleri arasında kırılmaya karşı kesinlikle dayanıklı ve aynı zamanda anlaşılması çok kolay olan bir tane vardır. Tüm koşullar yerine getirilirse hacklemek teorik olarak imkansızdır.
Vernam Şifresinin arkasındaki fikir çok basittir; mesajların şifreleneceği rastgele anahtar dizileri önceden oluşturulur. Ayrıca her anahtar, bir mesajı şifrelemek ve şifresini çözmek için yalnızca bir kez kullanılır. En basit durumda, rastgele baytlardan oluşan uzun bir dize oluştururuz ve mesajın her baytını, anahtardaki karşılık gelen bayt ile XOR işlemi aracılığıyla dönüştürürüz ve onu şifrelenmemiş bir kanal üzerinden göndeririz. Şifrenin simetrik olduğunu ve şifreleme ile şifre çözme anahtarının aynı olduğunu görmek kolaydır.
Bu yöntemin dezavantajları vardır ve nadiren kullanılır, ancak elde edilen avantaj, eğer iki taraf bir anahtar üzerinde önceden anlaşırsa ve o anahtar tehlikeye atılmazsa, verilerin okunmayacağından emin olabilirsiniz.
O nasıl çalışır? Anahtar önceden oluşturulur ve tüm katılımcılar arasında alternatif bir kanal aracılığıyla iletilir. Olası incelemeyi tamamen ortadan kaldırmak için mümkünse tarafsız bölgedeki kişisel bir toplantı sırasında aktarılabilir veya bir USB flash sürücü ile posta yoluyla gönderilebilir. Hala sınırları aşan tüm medyayı, tüm sabit diskleri ve telefonları denetleyecek teknik yeteneğin olmadığı bir dünyada yaşıyoruz.
Yazışmaya katılan tüm katılımcılar anahtarı aldıktan sonra, gerçek iletişim oturumunun gerçekleşmesi için oldukça uzun bir süre geçebilir ve bu da bu sisteme karşı çıkmayı daha da zorlaştırır.
Anahtardaki bir bayt, gizli mesajın bir karakterini şifrelemek ve diğer katılımcılar tarafından şifresini çözmek için yalnızca bir kez kullanılır. Kullanılan anahtarlar, veri aktarımı sonrasında yazışmadaki tüm katılımcılar tarafından otomatik olarak imha edilebilir. Gizli anahtarları bir kez değiştirdikten sonra, toplam hacmi uzunluğuna eşit olan mesajları iletebilirsiniz. Bu durum genellikle bu şifrenin bir dezavantajı olarak gösterilmektedir; anahtarın sınırlı bir uzunluğa sahip olması ve mesajın boyutuna bağlı olmaması çok daha hoştur. Ancak bu insanlar ilerlemeyi unutuyorlar ve bu Soğuk Savaş döneminde bir sorun iken bugün o kadar da sorun değil. Modern medyanın yeteneklerinin neredeyse sınırsız olduğunu varsayarsak ve en mütevazı durumda gigabaytlardan bahsediyorsak, güvenli bir iletişim kanalı süresiz olarak çalışabilir.
Tarihsel olarak Vernam Şifresi veya tek seferlik ped şifrelemesi, Soğuk Savaş sırasında gizli mesajları iletmek için yaygın olarak kullanıldı. Her ne kadar dikkatsizlik nedeniyle farklı mesajların aynı anahtarlarla şifrelendiği, yani şifreleme prosedürünün bozulduğu ve bu da şifrelerinin çözülmesine izin verdiği durumlar olsa da.
Bu yöntemi pratikte kullanmak zor mu? Oldukça önemsizdir ve bu süreci modern bilgisayarların yardımıyla otomatikleştirmek acemi bir amatörün yetenekleri dahilindedir.
Belki de engellemenin amacı belirli bir Telegram mesajlaşma programına zarar vermektir? Eğer öyleyse, tekrar iletin. Kutudan çıkan Telegram istemcisi, proxy sunucularını ve kullanıcıya engellenmemiş IP adreslerine sahip harici sunucular üzerinden çalışma fırsatı veren SOCKS5 protokolünü destekler. Kısa bir oturum için halka açık bir SOCKS5 sunucusu bulmak zor değildir, ancak böyle bir sunucuyu VPS'nizde kendiniz kurmak daha da kolaydır.
Messenger ekosistemine hala bir darbe gelecek olsa da, çoğu kullanıcı için bu kısıtlamalar hala aşılmaz bir engel oluşturacağından ve halk arasındaki popülaritesi zarar göreceğinden.
Öyleyse özetleyelim. Telegram'daki tüm abartılar abartıdan başka bir şey değil. Kamu güvenliği nedeniyle bunu engellemek teknik olarak bilgisiz ve anlamsızdır. Güvenli yazışmayla hayati derecede ilgilenen herhangi bir yapı, birkaç tamamlayıcı teknik kullanarak kendi kanallarını düzenleyebilir ve en ilginci, ağa en azından bir miktar erişim olduğu sürece bu son derece basit bir şekilde yapılır.
Günümüzde bilgi güvenliği cephesi mesajlaşma programlarını değil, farkında olmasalar bile sıradan ağ kullanıcılarını kapsamaktadır. Modern İnternet, dikkate alınması gereken ve yakın zamana kadar sarsılmaz görünen yasaların artık geçerli olmadığı bir gerçektir. Telegram'ın engellenmesi bilgi piyasasına yönelik savaşların bir başka örneğidir. İlk değil ve kesinlikle son da değil.
Sadece birkaç on yıl önce, İnternet'in büyük gelişmesinden önce, her türlü acente ağının karşılaştığı temel sorun, hem kendi aralarında güvenli bir iletişim kanalı kurmak hem de çalışmalarını merkezle koordine etmekti. İkinci Dünya Savaşı sırasında tüm katılımcı ülkelerdeki özel radyo istasyonları üzerinde sıkı kontrol (bugün de kayıt gereklidir), Soğuk Savaş'tan kalma numaralı radyo istasyonları (bazıları bugün hala yürürlüktedir), ayakkabının tabanındaki mini filmler - tüm bunlar uygarlığın gelişiminin yeni aşamasında çok saçma görünüyor. Bilincin ataletinin yanı sıra, durum makinesini kendi kontrolü altında olmayan herhangi bir olguyu katı bir şekilde engellemeye zorluyor. Bu nedenle IP adreslerinin engellenmesi kabul edilebilir bir çözüm olarak düşünülmemelidir ve bu sadece bu tür kararları veren kişilerin yeterlilik eksikliğini gösterir.
Zamanımızın temel sorunu, kişisel yazışma verilerinin üçüncü taraflarca saklanması veya analiz edilmesi değil (bu, bugün yaşadığımız oldukça nesnel bir gerçekliktir), insanların kendilerinin bu verileri sağlamaya hazır olmasıdır. Favori tarayıcınızdan İnternet'e her eriştiğinizde, bir düzine komut dosyası size bakıyor, nasıl ve nereye tıkladığınızı ve hangi sayfaya gittiğinizi kaydediyor. Akıllı telefona başka bir uygulama yüklerken çoğu kişi, programı kullanmaya başlamadan önce programa ayrıcalıklar verilmesine yönelik istek penceresini can sıkıcı bir engel olarak görüyor. Zararsız bir programın adres defterinize girdiğini ve tüm mesajlarınızı okumak istediğini fark etmeden. Kullanım kolaylığı için güvenlik ve gizlilik kolaylıkla takas edilebilir. Ve bir kişinin kendisi çoğu zaman kişisel bilgilerinden ve dolayısıyla özgürlüğünden tamamen gönüllü olarak ayrılır, böylece dünyadaki özel ve devlet kuruluşlarının veritabanlarını hayatıyla ilgili en değerli bilgilerle doldurur. Ve şüphesiz bu bilgileri kendi amaçları doğrultusunda kullanacaklardır. Ayrıca kâr yarışında, ahlaki ve etik standartları hiçe sayarak onu herkese satacaklar.
Bu makalede sunulan bilgilerin, bilgi güvenliği sorununa yeni bir bakış açısı getirmenize ve belki de çevrimiçi çalışırken bazı alışkanlıklarınızı değiştirmenize olanak sağlayacağını umuyorum. Ve uzmanlar sert bir şekilde gülümseyecek ve yollarına devam edecek.
Evinize barış.
Kaynak: habr.com