Gizlilik
Herhangi bir web sitesini açtığınızda, muhtemelen ilk göreceğiniz şey çerezlerin kullanımıyla ilgili bir açılır pencere bildirimidir. Genellikle tüm çerezleri kabul etme, yalnızca gerekli olanları kabul etme veya hepsini reddetme seçenekleri sunulur. Seçiminiz ne olursa olsun, muhtemelen bir fark görmeyeceksinizdir ve bildirim yine de ekrandan kaybolacaktır.
Bugün; çerezlerin amacı, mevcut çerez türleri, saldırganların çerezleri nasıl ele geçirebileceği, riskler ve nasıl güvende kalınabileceği konu başlıklarıyla, çerez kavanozunun içine biraz daha derinlemesine dalacağız.
Çerezler nedir?
Bir web sitesini ziyaret ettiğinizde, bu site, tarayıcınıza bir çerez gönderir. Bu; sizinle, sisteminizle ve sitede gerçekleştirdiğiniz eylemlerle ilgili verileri içeren küçük bir metin dosyasıdır. Tarayıcınız bu verileri cihazınızda depolar ve o siteye her geri döndüğünüzde sunucuya geri gönderir. Bu, siteyle etkileşiminizi basitleştirir: Her sayfada oturum açmanız gerekmez, siteler ekran ayarlarınızı hatırlar, çevrimiçi mağazalar sepetinizdeki ürünleri saklar, akış hizmetleri hangi bölümde izlemeyi bıraktığınızı bilir vb. Kısacası bu sistemin bir sürü avantajı vardır.
Çerezler; giriş bilgilerinizi, parolanızı, güvenlik tokenlerinizi, telefon numaranızı, ikamet adresinizi, banka ayrıntılarınızı ve oturum kimliğinizi saklayabilir. Oturum tanımlayıcısına daha yakından bakalım.
Oturum kimliği, kullanıcılar bir web sitesine giriş yaptıklarında kendilerine atanan benzersiz bir koddur. Üçüncü bir taraf bu kodu ele geçirmeyi başarırsa, web sunucusu onu meşru bir kullanıcı olarak görecektir. İşte basit bir benzetme: Benzersiz bir koda sahip elektronik bir geçiş kartıyla ofisinize girebileceğinizi hayal edin. Kartınız çalınırsa, hırsız size benziyor olsun ya da olmasın, sizin erişiminiz olan tüm kapıları sorunsuz bir şekilde açabilir. Bu arada, güvenlik sistemi içeri giren kişinin siz olduğunu düşünecektir. Bir polisiye film sahnesi gibi, değil mi? Aynı şey çevrimiçi ortamda da geçerlidir: Bir bilgisayar korsanı, oturum kimliğinizi içeren bir çerezi çalarsa, kullanıcı adı ve parola girmeye gerek kalmadan, sizin adınıza, sizin zaten oturum açmış olduğunuz bir web sitesine giriş yapabilir; bazen iki faktörlü kimlik doğrulamasını bile atlatabilir. 2023 yılında, hackerlar ünlü teknoloji blog yazarı Linus Sebastian’ın “Linus Tech Tips” ve on milyonlarca abonesi olan diğer iki Linus Media Group YouTube kanalını da çaldı ve bunu tam da bu şekilde yaptılar. Bu konuyu daha önce ayrıntılarla ele almıştık.
Ne tür çerezler vardır?
Şimdi farklı çerez çeşitlerini inceleyelim. Tüm çerezler bir dizi özelliğe göre sınıflandırılabilir.
Depolama süresine göre
- Geçici çerezler veya oturum çerezleri: Bunlar yalnızca web sitesindeyken kullanılır. Siz siteden ayrılır ayrılmaz silinirler. Bunlar, sayfalar arasında gezinirken oturumunuzu açık tutmak veya seçtiğiniz dili ve bölgeyi hatırlamak gibi işlemler için gereklidirler.
- Kalıcı çerezler: Bu bilgiler, siz siteden ayrıldıktan sonra da cihazınızda kalır. Her ziyaretinizde çerez ilkelerini kabul etmek veya reddetmek zorunda kalmazsınız. Genellikle yaklaşık bir yıl süreleri vardır.
Oturum çerezlerinin kalıcı hale gelmesi mümkündür. Örneğin, bir web sitesinde “Beni hatırla”, “Ayarları kaydet” veya benzeri bir kutuyu işaretlerseniz, veriler kalıcı bir çerezde kaydedilir.
Kaynağa göre
- Birinci taraf çerezleri: Web sitesi tarafından oluşturulan birinci taraf çerezleri web sitesinin düzgün çalışmasını ve ziyaretçilerin uygun bir deneyim yaşamasını sağlarlar. Ayrıca analiz ve pazarlama amaçları için de kullanılabilirler.
- Üçüncü taraf çerezleri: Bu çerezler harici hizmetler tarafından toplanırlar ve reklamları görüntülemek, reklam istatistiklerini toplamak vb. amaçlar için kullanılırlar. Bu kategoriye, Google Analytics gibi analiz hizmetleri ve sosyal medya platformlarının çerezleri de dahildir. Bu çerezler, oturum açma bilgilerinizi saklayarak, tek bir tıklama ile bir sayfayı beğenmenizi veya sosyal medyada içerik paylaşmanızı sağlarlar.
Önemine göre
- Gerekli veya zorunlu çerezler: Bunlar, e-ticaret platformunda ürün satışı gibi temel web sitesi özelliklerini desteklerler. Bu durumda, her kullanıcı bir kişisel hesaba sahiptir ve temel çerezler, kullanıcıların giriş bilgilerini, parolalarını ve oturum kimliklerini saklarlar.
- İsteğe bağlı çerezler: Bunlar, kullanıcı davranışını izlemek ve reklamları daha kesin bir şekilde özelleştirmek için kullanılırlar. Çoğu isteğe bağlı çerez harici taraflara aittir ve sitenin tüm özelliklerini kullanma yeteneğinizi etkilemez.
Depolama teknolojisine göre
- Standart: Bu çerezler, tarayıcının standart depolama alanında metin dosyaları olarak saklanırlar. Tarayıcı verilerinizi sildiğinizde, bu veriler silinir ve bundan sonra, bu verileri gönderen web siteleri sizi artık tanımayacaktır.
- Özel: İki özel alt türü vardır; süper çerezler ve ölümsüz çerezler. Bunlar verileri standart olmayan bir şekilde depolarlar. Süper çerezler, web sitesi başlıklarına gömülüdürler ve standart olmayan konumlarda saklanırlar, bu da tarayıcının temizleme işlevi tarafından silinmelerini önler. Ölümsüz çerezler, silindikten sonra bile JavaScript kullanılarak geri yüklenebilirler. Bu, kalıcı ve kontrol edilmesi zor kullanıcı takibi için kullanılabilecekleri anlamına gelir.
Aynı çerez birden fazla kategoriye girebilir. Örneğin, çoğu isteğe bağlı çerez üçüncü taraf çerezleridir, ancak gerekli çerezler arasında belirli bir tarama oturumunun güvenliğini sağlayan geçici çerezler de bulunur. Tüm bu çerez türlerinin nasıl ve ne zaman kullanıldığına ilişkin daha fazla ayrıntı için Securelist’teki raporun tamamını okuyabilirsiniz.
Oturum kimlikleri oturum ele geçirme yoluyla nasıl çalınır?
Oturum kimliği içeren çerezler, bilgisayar korsanları için en cazip hedeflerdir. Oturum kimliğinin çalınması, oturum ele geçirme olarak da bilinir. En ilginç ve yaygın yöntemlerden bazılarını inceleyelim.
Oturum dinleme
Kullanıcı ile web sitesi arasındaki internet trafiğini izleyerek veya “dinleyerek” oturum ele geçirme mümkündür. Bu tür saldırılar, HTTPS yerine daha az güvenli HTTP iletişimi kurallarını kullanan web sitelerinde gerçekleşir. HTTP ile çerez dosyaları, HTTP isteklerinin başlıklarında düz metin olarak iletilir, yani şifrelenmezler. Kötü niyetli bir kişi, sizinle bulunduğunuz web sitesi arasındaki trafiği kolayca ele geçirebilir ve çerezleri çıkarabilir.
Bu saldırılar genellikle halka açık Wi-Fi ağlarında, özellikle WPA2 veya WPA3 iletişim kurallarıyla korunmuyorlarsa gerçekleşir. Bu nedenle, halka açık erişim noktalarında son derece dikkatli olmanızı öneririz. Mobil veri kullanmak çok daha güvenlidir. Yurt dışına seyahat ediyorsanız, eSIM kullanmak iyi bir fikirdir.
Siteler arası komut dosyası (XSS)
Siteler arası komut dosyası, web güvenliği açıkları arasında sürekli olarak en üst sıralarda yer alır ve bunun iyi bir nedeni vardır. Bu tür saldırılar, kötü niyetli kişilerin bir sitenin verilerine (arzu edilen oturum kimliklerini içeren çerez dosyaları dahil) erişmesine olanak tanır.
İşte işleyişi: Saldırgan, web sitesinin kaynak kodunda bir güvenlik açığı bulur ve kötü amaçlı bir komut dosyası yerleştirir; bu yapıldıktan sonra, geriye kalan tek şey sizin virüslü sayfayı ziyaret etmenizdir ve çerezlerinize veda edebilirsiniz. Komut dosyası çerezlerinize tam erişim hakkı kazanır ve bunları saldırgana gönderir.
Siteler arası istek sahteciliği (CSRF/XSRF)
Diğer saldırı türlerinden farklı olarak, siteler arası istek sahteciliği, bir web sitesi ile tarayıcınız arasındaki güven ilişkisini kullanır. Saldırgan, kimliği doğrulanmış bir kullanıcının tarayıcısını, kullanıcının bilgisi dışında, parola değiştirme veya yüklenen videolar vb. verileri silme gibi istenmeyen bir eylem gerçekleştirmeye yönlendirir.
Bu tür saldırılarda, saldırgan, güvenlik açığı bulunan web sitesine istek içeren kötü amaçlı bir bağlantı, HTML kodu veya komut dosyası içeren bir web sayfası veya e-posta oluşturur. Sayfayı veya e-postayı açmak ya da bağlantıya tıklamak, tarayıcının hedef siteye otomatik olarak kötü amaçlı isteği göndermesi için yeterlidir. Bu siteye ait tüm çerezleriniz isteğe eklenecektir. Parola değişikliği veya kanal silme gibi taleplerin sizden geldiğine inanarak, site saldırganların talebini sizin adınıza yerine getirecektir.
Bu nedenle, tanımadığınız kişilerden gelen bağlantıları açmamanızı ve kötü amaçlı bağlantılar veya komut dosyaları konusunda sizi uyarabilecek güvenilir bir güvenlik çözümü yüklemenizi öneririz.
Öngörülebilir oturum kimlikleri
Bazen saldırganların karmaşık planlar kullanmasına gerek kalmaz, oturum kimliğini tahmin etmeleri yeterlidir. Bazı web sitelerinde oturum kimlikleri öngörülebilir algoritmalarla oluşturulur ve IP adresiniz gibi bilgiler ile kolayca yeniden üretilebilen karakter dizileri içerebilir.
Bu tür bir saldırıyı gerçekleştirmek için, bilgisayar korsanlarının yeterli sayıda örnek kimlik numarası toplamaları, bunları analiz etmeleri ve ardından oturum kimlik numaralarını kendi başlarına tahmin etmek için oluşturma algoritmasını bulmaları gerekir.
Oturum kimliğini çalmanın başka yolları da vardır, örneğin oturum sabitleme, çerez atma ve ortadaki adam (MitM) saldırıları. Bu yöntemler, Securelist'teki özel yazımızda ele alınmıştır.
Çerez hırsızlarından kendinizi nasıl koruyabilirsiniz?
Çerez güvenliğinin büyük bir kısmı web sitesi geliştiricilerinin sorumluluğundadır. Securelist'teki tam raporumuzda onlar için ipuçları sunuyoruz.
Ancak, çevrimiçi ortamda güvende kalmak için hepimizin yapabileceği şeyler de var:
- Yalnızca HTTPS iletişim kurallarını kullanan web sitelerine kişisel verilerinizi girin. Adres çubuğunda "HTTP" yazıyorsa, çerezleri kabul etmeyin ve giriş bilgileri, parolalar veya kredi kartı ayrıntıları gibi hassas bilgileri göndermeyin.
- Tarayıcı uyarılarına dikkat edin. Bir siteyi ziyaret ettiğinizde geçersiz veya şüpheli bir güvenlik sertifikası hakkında bir uyarı görürseniz, sayfayı hemen kapatın.
- Tarayıcılarınızı düzenli olarak güncelleyin veya otomatik güncellemeleri etkinleştirin. Bu, bilinen güvenlik açıklarından korunmanıza yardımcı olur.
- Tarayıcı çerezlerini ve önbelleği düzenli olarak temizleyin. Bu, eski, potansiyel olarak sızdırılmış çerez dosyaları ve oturum kimliklerinin kötü niyetli kişilerce kullanılmasını önler. Çoğu tarayıcıda, tarayıcıyı kapattığınızda bu verileri otomatik olarak silme ayarı bulunmaktadır.
- Şüpheli bağlantılara tıklamayın. Bu, özellikle mesajlaşma uygulamasında veya e-posta yoluyla tanımadığınız kişilerden gelen bağlantılar için geçerlidir. Meşru bir bağlantı ile kimlik avı bağlantısı arasındaki farkı ayırt etmekte zorlanıyorsanız, kötü amaçlı bir siteyi ziyaret etmeden önce sizi uyarabilecek bir güvenlik çözümü yükleyin.
- Mümkün olan her yerde iki faktörlü kimlik doğrulamasını (2FA) etkinleştirin. Kaspersky Password Manager, 2FA tokenlarını saklamak ve tek kullanımlık kodlar oluşturmak için kullanışlı bir yoldur. Bunları tüm cihazlarınızla senkronize eder, böylece oturum sona erdikten sonra, oturum kimliğinizi çalmış olsalar bile saldırganların hesabınıza erişmesi çok daha zor hale gelir.
- Tüm web sitelerindeki tüm çerezleri kabul etmeyi reddedin. Her siteden gelen her çerezi kabul etmek en iyi strateji değildir. Artık birçok web sitesi, tüm çerezleri kabul etme ve yalnızca gerekli çerezleri kabul etme seçenekleri sunmaktadır. Mümkün olduğunda, "sadece gerekli/temel çerezler" seçeneğini seçin, çünkü bunlar sitenin düzgün çalışması için gerekli olan çerezlerdir.
- Herkese açık Wi-Fi ağlarına yalnızca son çare olarak bağlanın. Bunlar genellikle yetersiz güvenlik önlemleriyle korunur ve saldırganlar bu durumdan yararlanır. Mecburen bağlanmanız gerekiyorsa, sosyal medya veya mesajlaşma hesaplarına giriş yapmaktan, çevrimiçi bankacılık hizmetlerini kullanmaktan veya kimlik doğrulama gerektiren diğer hizmetlere erişmekten kaçının.
Çerezler hakkında daha fazla bilgi edinmek istiyorsanız aşağıdaki makalelerimize de göz atabilirsiniz:
Tarayıcınızda çerezleri nasıl engellersiniz?
Mozilla'dan Privacy-Preserving Attribution Teknolojisi
Bir web sitesinin (tarayıcı) parmak izinizi alıp almadığını nasıl anlarsınız?
İpuçları