Şifre yönetim programları 90'lardan beri kullanılıyor. Popüler tarayıcılar ise 2000'lerin başında şifre yönetimini yerleşik bir özellik olarak ekledi ve o zamanlardan beri şifrelerinizi üçüncü tarafların erişiminden korumak için çeşitli özellikler geliştiriliyor.
Ancak tarayıcılar, şifrelerinizi emanet etmenizi önerebileceğimiz kadar ilerleme kaydetti mi? Özellikle, Chrome'un içine yerleştirilmiş olan Google Şifre Yöneticisi kullanılmalı mı? Uzmanlara göre bu sorunun yanıtı kesinlikle hayır.
Özel şifre yöneticilerinde bile sızıntı meydana gelebiliyor
Şifre yönetimi üzerine kurulu bir şirket için güven her şeydir. Ciddi firmalar şifrelenmiş verilerinizi korumak için sıfır bilgi teknikleri kullanıyor, böylece parola şirketi ve devlet de dahil olmak üzere hiç kimse ana şifrenizi bilmiyor ve verilerinizin şifresini de çözemiyor.
Yine de uygulamadaki hatalar parola güvenliğini riske atabiliyor. Geçtiğimiz Ağustos ayında başlayan bir dizi ifşa sonrasında, hackerların önemli bir LastPass çalışanının bilgisayarını ele geçirerek bilinmeyen sayıda şifrelenmiş veri kasasını çaldığını öğrendik. Daha da kötüsü, oturum açma alanları gibi bazı önemli veri öğeleri şifrelenmemişti. Dolayısıyla LastPass'e güvenmek artık çok zor.
Öte yandan KeePass, sonsuz kişiselleştirme olanakları nedeniyle teknoloji meraklılarının en sevdiği parola yöneticisi. Ancak bu aynı özelleştirme gücünün bir tür Aşil topuğu olduğu ortaya çıktı.
Yokluğunuzda bilgisayarınızın başına oturarak ya da uzaktan erişim kullanarak bilgisayarınıza erişim sağlayan herhangi biri tüm Keepass şifrelerinizi çalabilir. Not Defteri'ni kullanarak şifreleri düz metin şeklinde dışa aktarmak ve ardından elde edilen verileri internet üzerinden birine göndermek sadece birkaç dakika alan son derece basit bir işlem.
Tabii gerekli erişimi elde etmek zor olabilir, yine de güvenlik açığı ihtimali her zaman var. Ya da daha doğrusu vardı çünkü en son KeePass güncellemesi olan 2.53.1, ana parolanın girilmesini gerektirmeden parolaları dışa aktarma seçeneğini kaldırdı.
Google Şifre Yöneticisi nasıl etkinleştirilir veya devre dışı bırakılır?
Google Şifre Yöneticisi kullanılmalı mı yoksa kullanılmamalı mı tartışmasına geçmeden önce bu uygulamayı nasıl etkinleştirip devre dışı bırakabileceğinizi kısaca ele alalım. Google Şifre Yöneticisi güvenlik açısından önerilmese de bazılarımızın pratiklik için güvenliği feda edeceğini biliyoruz.
Öncelikle, şifreleri paylaşmak istediğiniz tüm Chrome uygulamalarında Senkronizasyonu etkinleştirmelisiniz. Önce Chrome penceresinin sağ üst köşesindeki üç noktalı menüye, ardından Ayarlar'a tıklayın. Sol taraftaki menüde yer alan Siz ve Google başlıklı en üst öğe seçili olmalı; değilse tıklayın. Açılan iletişim kutusu üzerinden senkronizasyonu açabilir veya kapatabilirsiniz.
Sonra Siz ve Google'ın hemen altındaki Otomatik Doldur'a ve ardından Şifre Yöneticisi'ne tıklayın. Google Şifre Yöneticisi'ni kullanmak istiyorsanız, Şifreleri Kaydetmeyi Teklif Et ve Otomatik Oturum Aç öğelerini açın; eğer kullanmak istemiyorsanız, bunları kapatın.
Uzmanlar tarayıcı şifre yöneticileri hakkında ne diyor?
Tarayıcı şifre yöneticileri hakkında profesyonel görüş almak adına Keeper'ın kurucu ortağı ve CTO'su Craig Lurey, NordPass CTO'su Tomas Smalakys ve Bitwarden CEO'su Michael Crandell gibi tanınmış ticari şifre yöneticisi şirketlerinden uzmanlarla görüştük.
Smalakys, "Siber güvenlik uzmanlarının tarayıcı şifre yöneticilerinde bulunan güvenlik açıkları konusundaki sürekli uyarılarına rağmen, internet kullanıcıları bunları pratik bularak tuzağına düşmeye devam ediyor" diyor.
Özel şifre yöneticilerinin ana şifrenize hiç erişmeden verilerinizi güvende tutabilmesinin nedeni sıfır bilgi şifrelemesi. Lurey "Google'ın şifre yöneticisi sıfır bilgi şifrelemesi kullanmıyor" diye belirtiyor.
"Esasen, Google kaydettiğiniz her şeyi görebiliyor. Parolaların cihaz üzerinde şifrelenmesini etkinleştirmek için 'isteğe bağlı' bir özellikleri var, ancak etkinleştirildiğinde bile bilgilerin şifresini çözecek anahtar cihazda saklanıyor."
Tarayıcıda depolanan verilerin bir şifre yöneticisinin verileri gibi korunmadığı konusunda hemfikir olan Smalakys "Bilgisayar korsanları sosyal mühendislik yöntemlerini kullanarak internet kullanıcılarını, tarayıcıda depolanan verileri kolayca çıkarabilecek yeni uzantıları indirmeleri için kandırıyor" diyor.
"Parolaların bulutta depolanmasında bir sorun olmasa da kullanıcı verilerini bulutta depolamadan önce şirket bu verilerin şifrelendiğinden emin olmalı. Bu nedenle, internet kullanıcıları uçtan uca şifrelemeyi garanti eden bir hizmet sağlayıcı seçmeli."
Crandell "Herhangi bir parola yöneticisi kullanmak, hiç parola yöneticisi kullanmamaktan iyidir" diyerek Google'a bir nebze de olsa destek veriyor ancak yine de kullanıcıları uyarıyor: "Tarayıcı tabanlı şifre yöneticileri duvarlarla çevrili bir bahçe içinde çalışıyor. Eğer başka bir tarayıcıda ya da bu tarayıcının erişemediği bir ortamda çalışmanız gerekirse, bir anlamı kalmıyor."
Özel parola yöneticileri daha nitelikli
Lurey, Chrome'un yerleşik şifre yöneticisinin özel şifre yönetim programlarındaki standartları karşılamadığına dair bir liste sundu.
Chrome şifre yöneticisinde parolaların güvenli bir şekilde paylaşılması ya da parola koleksiyonunuz için dijital bir varis oluşturma seçeneği yok. Ayrıca tarayıcı yalnızca şifreleri saklıyor; adresler, hesap numaraları ve kredi kartları gibi kişisel bilgileri saklamıyor.
Crandell ''Bu tür sistemler şifrelerin iş arkadaşları ve aileyle güvenli bir şekilde paylaşılması, biyometrik oturum açma ve güvenlik anahtarları desteği, şifrelerinizin zayıf olup olmadığı, yeniden kullanılıp kullanılmadığı veya ihlal edilip edilmediğine dair raporlar, SSO gibi iş yerindeki sistemlerle entegrasyon ve diğer birçok özellikten yoksun" diye anlatıyor.
Smalakys "Birçok tarayıcı ana şifre ya da çok faktörlü kimlik doğrulama (MFA) onayı gerektirmiyor" diye belirtiyor. Google MFA'ya izin veriyor ancak bunu zorunlu tutmuyor. Ayrıca ana parola diye bir kavram sahiden de yok. Bu da demek oluyor ki Chrome etkinken masanızdan ayrılırsanız, bilgisayarınıza erişimi olan herkes hesaplarınıza giriş yapabilir. Aynı durum telefonunuzu başka birinin kullanmasına izin verdiğinizde de geçerli.
Tarayıcılar sizi kendisine mahkum ediyor
Crandell "Kendinizi herhangi bir büyük şirketin bahçesine hapsetme konusunda dikkatli olun" diye uyarıyor. "İster tarayıcılar, ister mobil veya masaüstü işletim sistemleri olsun, tüm platformlar ve ortamlar arasında çalışma özgürlüğüne sahip olmak önemli."
Smalakys ise bağlı hesapların tehlikesine dikkat çekiyor. "Eğer Chrome tarayıcı kullanılıyorsa, tarayıcıda kayıtlı şifrelerin güvenliği bağlı Gmail hesabının ne kadar güvenli olduğuna bağlı" diyor. "Eğer bu Gmail hesabı ele geçirilirse, bir bilgisayar korsanı hiç çaba sarf etmeden tarayıcıda kayıtlı diğer tüm hesapların şifrelerine erişebilir."
Benzer bir şekilde Lurey de "Kullanıcı, bilgilerini korumak için Google'a yüzde 100 güvenmeli" diyor. ''Google hesabınız ele geçirilirse, tüm şifreleriniz de ele geçirilir.''
Bir tarayıcı temel olarak internette gezinmek için tasarlanıyor; şifre yönetimi fikri ise sonradan ekleniyor. Smalakys "Özel şifre yöneticileri tüm çabalarını güvenli bir şifre yöneticisi geliştirmek için harcıyor ve bu güvenliği sağlamak için bağımsız denetimlerden geçiyor" diye açıklıyor.
Crandell da benzer bir görüş ortaya koyarak "Önde gelen parola yöneticileri, hem maksimum güvenlik hem de şifreler için çok sayıda kullanım alanı sağlamaya odaklanıyor, bu nedenle daha zengin özelliklere sahipler" diye ifade ediyor.
Uzun lafın kısası, gerçek bir şifre yöneticisi edinin
Google Şifre Yöneticisi parola verilerini şirket de dahil herkesten koruyan sıfır bilgi şifreleme tekniklerini kullanmıyor. Hatta bir ana şifre bile tanımlamıyor. Ayrıca Google'ın şifre sistemini yalnızca Chrome'da ve (bir dereceye kadar) Android'de kullanabiliyorsunuz. Bunlar, Chrome'a güvenmek yerine gerçek bir parola yöneticisi edinmeniz için gereken nedenlerden sadece birkaçı.
Google Şifre Yöneticisi'nin ücretsiz bir tarayıcının ücretsiz bir özelliği olarak gelmesi son derece kullanışlı. Ancak bu, şifreleriniz konusunda sınırlı güvenliği kabul etmek için yeterli bir neden değil. Şifreleriniz için yüksek koruma sunan pek çok ücretsiz şifre yöneticisi bulunuyor; tarayıcı temelliler yerine bunlardan birini kullanın.
Kaynak: PCMag, Ceyda Yetim yerelleştirdi.