Tüm Şifrelerimizi Emanet Ettiğimiz “LastPass” Şifre Kasaları Nasıl Güvenlik Sağlıyor?

Bilgisayarların her eve girmeye başladığı periyotlarda kullandığımız 123456789’lu ve QWERTY’li şifrelerimizi bırakıp, onlara göre epey karışık olan yeni şifrelerimize geçmemizin temelinde siber güvenlik tasaları bulunuyordu. Her geçen gün daha çok web sitesi ve uygulama çıktığı için de hatırlamamız gereken şifre sayısı kabardıkça kabarıyor.

Bu yüzden de çoğumuz ya her yerde aynı/benzer şifreyi kullanıyoruz yahut birbirinden farklı bir sürü şifreyi başımızda tutmak zorunda oluyoruz. fakat kimi uygulamalar periyodik olarak şifre değiştirmemizi istediğinde her şey altüst olabiliyor. Hem bu yüzden hem de şifre sayısı giderek arttığından, çoğu kişi şifre yöneticisi kullanıp kullanmama konusunda kararsız kalıyor.

En temel soru: Nedir bu şifre yöneticisi?

Şifre yöneticileri; şifrelerinizin yanında adres, telefon numarası ve banka kartı gibi bilgileri de saklamanıza imkân tanıyan dijital kasalardır. Şifrelerinizi barındıran bu kasa, siz bir yere giriş yapmak istediğinizde şifrenizi ve adres bilgilerinizi otomatik olarak doldurarak kolaylık sağlıyor.

Bir alışveriş yapmak istediğinizde de cüzdanınızdan kartınızı çıkarıp numaraları girme zahmetine gerek kalmadan kart bilgilerinizi aktarabilmeniz sağlanıyor. Tüm bunlar kulağa beğenilen gelse de bilgilerimizi girdiğimiz bu uygulamalardan birine siber saldırganların eriştiğini düşünsenize. Yalnızca tek uygulamaya erişen bu şahıslar, tüm şifrelerimizi kolaylıkla ele geçiremez mi?

Bunun neden ekstrem derecede zor olduğunu, başları karıştırmadan anlatalım.

Çok yaygın olduğu için bu şifre yöneticilerinden LastPass’ı temel alalım. Siz şifrelerinizi burada saklamak istediğinizde öncelikle LastPass hesabı oluşturuyor ve bu hesap için bir ana şifre belirliyorsunuz. Elbette bu, örneğin Webtekno üyeliğinde kullandığınız şifreden farklı oluyor.

Hesabınızı oluşturduğunuz zaman da eklenti ya da uygulama olarak şifre yöneticisi, girdiğiniz sitelerdeki kullanıcı bilgilerinizi kaydetme müsaadesi istiyor. Bu sayede bilgileriniz size özel kasanıza yerleştiriliyor. Daha sonra ise Google’ın otomatik form doldurma özelliğini LastPass devralabiliyor.

Şifrelerinizi içeren LastPass kasanız, LastPass’ın kendisi bulut temelli bir hizmet olduğundan LastPass sunucularında saklanıyor. Pekala buradaki güvenlik nasıl sağlanıyor?

Siz şifre kasanıza erişmek istediğinizde öncelikle bu kasayı açmak için bir anahtar oluşturuyorsunuz. Bunun için önce ana şifrenizi giriyorsunuz. Doğrulama adımının akabinde ana şifrenizle mail adresiniz, son güncellemelerle birlikte 600.000 kombinasyondan geçerek bir kasa anahtarı oluşturuyor.

Bunun akabinde sunucudaki kasamıza erişmek kalıyor. Bunun için de mail adresimizin ve şifremizin 600.000 defa kombinasyonlanması sonucu oluşan şifre, tekrardan ana şifremizle 600.000 kombinasyona girerek sunucudaki kasaya iletiliyor ve bu sayede sunucu, ana şifremizi görmeden kasaya erişmeye çalışanın biz olduğunu anlıyor.

Bunun sonucunda bir adet doğrulama, bir adet de kasa anahtarı elde etmiş oluyoruz. Doğrulama anahtarı sunucudaki kasaya erişmemizi sağlarken kasa anahtarı da onu açabilmemizi mümkün kılıyor. İki anahtarın da güvenliği için ana şifrenizin sağlam olması gerekiyor.

Yani sizin oluşturduğunuz bir anahtar, kasaya giden bir anahtarı açarken ona ek olarak oluşturduğunuz diğer anahtar da o kasayı açmanıza yarıyor.

Ve siz en başta bu anahtarı oluşturmak için gereken şifreyi LastPass şifre yöneticilerine iletmiyorsunuz. Bu yüzden kasanızın kopyası, birazdan değineceğimiz üzere ele geçirilmiş olsa bile açılması neredeyse imkânsız oluyor. “Neredeyse” kısmı bu noktada önemli.

“Peki şimdi bunlara güvenebilir miyiz?” sorusu ferdî bir karara varacak olsa da biz, LastPass’in yakın vakitte yaşadığı bahtsız olaylara değinelim.

LastPass, geçtiğimiz yılın farklı vakitlerinde siber ataklara maruz kaldı. Bunun sonucunda da şifrelerin kayıtlı olduğu internet sitelerinin isimleri, fatura adresleri, telefon numaraları ve IP adresleri benzeri bilgiler saldırganların eline geçti. Bunlara ek olarak kullanıcıların kasa yedekleri de ele geçirildi. Bunların içinde de hem şifrelenmemiş hâldeki internet sitesi adresleri hem de kullanıcı ismi ve şifreleri şifrelenmiş bilgiler yer alıyordu.

fakat biz, LastPass’ın ana şifremizi bilmediğini ve kasaların yalnızca bu şekilde açılabileceğini söylemiştik. Şirket de açıklamasında buna yer verdi. Tekrar de saldırganların bu kasaları brute force ve oltalama yöntemleriyle açmayı deneyebileceğini belirten şirket, bilhassa de ana şifresi zayıf olan şahısların kaydettiği parolaları değiştirmelerini önerdi.

Geçtiğimiz Ocak ayında ise LastPass’ın üst şirketi GoTo, söylediği söz edilen ataklardan şirket çatısı altındaki diğer hizmetlerin de etkilendiğini açıkladı. bu sefer tamamen olmasa da birtakım kullanıcı isimlerinin, şifrelenmiş hâldeki şifrelerin ve 2 adımlı doğrulama ayarlarının da sızdığına yönelik açıklama geldi. Bu, başlı başına hesaplar tamamen sızdı demek olmasa da telefon numaralarının, adreslerin ve e-postaların saldırganların elinde olduğu manasına geliyor.

Bu da bilgileri ele geçirilen şahıslara daha kolay ulaşacaklar demek.

Etkisi hâlâ süren hususla ilgili olarak en son, farklı bireylerin kripto cüzdanlarının boşaltıldığını öğrenmiştik.

25 Ekim’e dayalı verilere göre LastPass bilgileri sızıntısından etkilenen 25 kişinin kripto para cüzdanına sızıldı ve toplamda 4,4 milyon dolar kıymetinde soygun yapıldı. Metamask ve ZachXBT tarafından söylenene göre de toplamda 80 kripto para cüzdanı hücumdan etkilenmiş. Bunun sonucunda da aşağı yukarı 35 milyon dolar para çalınmış.

İyi de bizim için bu kadar güvenlik sağlayan şirketin kendisi nasıl bu türlü bir taarruza maruz kaldı?

12 Ağustos tarihindeki ilk hücumda, yazılım mühendisi olan bir çalışanın aygıtında tutarsız hareketler gözlemlendi. Geliştirici kaynaklarına erişen bilgisayarın ele geçirildiği anlaşılınca kaynaklara olan erişimi kesildi. VPN ile kendi yerini gizleyerek geliştirme ortamına erişen saldırgan, bunu yapmak için o çalışanın domain bilgilerini ve iki adımlı doğrulamasını ele geçirmişti. Bu atakta yalnızca kaynak kodları ele geçirildi.

Bulut ortamından data yedeklerinin çekildiği İkinci saldırı ise birincisinin devamı olarak gelmişti. Edindiği bilgilere erişebilmek isteyen saldırgan, bunun için gerekli olan anahtara sahip 4 geliştiriciden birinin evindeki şahsî bilgisayarına keylogger kurdu. Bu sayede geliştirici, şifreyi girdiği sırada saldırgan da şifreyi öğrendi. Bu sayede hâlâ tesirini gördüğümüz sızıntı durumu patlak verdi.

Şimdi biz bunlara güvenelim mi, güvenmeyelim mi?

Bu -bulut tabanlı- uygulamaların nasıl çalıştığını LastPass örneği üzerinden size anlattık. Bu türlü bir olay yaşanmasaydı bile en değerli şifrelerinizi farklı yerlere emanet etmemenizi önerirdik, hâlâ da bunun daha mantıklı olduğunu söyleyebiliriz. Söz konusu açıklar ortaya çıkar çıkmaz geliştiriciler o boşluğu kapatıyor. bu, şifre yöneticilerinin temelde hâlâ daha inançlı olduğu gerçeğini değiştirmiyor.

Sonuç olarak sizin hesabınıza erişilmiş olsa dahi şifreleri görebilmek için tekrar sizin belirlediğiniz şifrenin kombinasyonlanmış hâlinin bilinmesi gerek. Bu yüzden de bizim üstümüze düşen, bu mevzuya yönelik bilgileri verdikten sonra son kararı size bırakmak oluyor.