Şifreli bağlantıların güvenliği — tıkladığınızda ne olur

Şifreli bağlantılar hakkındaki rehberlerin yarısı, bunun "ek bir güvenlik katmanı" olduğu cümlesiyle başlıyor. Ve burada bitiyor. Bence bu konuda söylenebilecek en az önemli şey tam olarak budur.

"Güvenlik katmanı" hiçbir şeyi açıklamaz. Size bu şifrenin başına ne geldiğini, kimin gördüğünü veya ne zaman bir anlam ifade ettiğini söylemez. Oysa "Şifre Ekle"ye tıklamadan önce kendinize sormanız gereken tek sorular bunlardır.

O halde sırayla.

Bağlantıdaki şifre, kapıdaki asma kilitle aynı şey değildir

İnsanlar şifrenin bağlantıyı tamamen kapattığını hayal ediyorlar. Durum böyle değil. Şifreli bağlantıların güvenliği daha çok bir konser bileti gibidir: bileti olan içeri girer. Bileti birine veren de bir başkasını içeri almış olur.

Bu bir kusur gibi görünüyor. Değil. Sadece bu mekanizmanın ne işe yaradığını bilmek gerekiyor.

Gerçekten yararlı olduğu üç durum:

Premium müşteriler için fiyat listesi veya dünyaya yayılmadan önceki beta sürüm belgesi. Şifresiz bir bağlantı, er ya da geç Google'da karşınıza çıkar veya elden ele dolaşır.

Son kullanma tarihli içerik. Teklif sadece Cuma günü geçerlidir. Konferans materyali yalnızca katılımcılar içindir. Şifre, bağlantıyı kontrollü bir giriş haline getirir — birinin onu tesadüfen bulmadığını, senden aldığını bilirsin.

Tamamen herkese açık bir şekilde paylaştığınız ancak takipte kalmak istediğiniz ikinci şey. Bağlantı dolaşabilir. Şifre olmadan zaten kimse giriş yapamaz.

Ve şimdi bu kılavuzun atlamaması gereken şey

Forma şifreyi yazıyorsunuz. Aynı anda o şey yok oluyor. Kelimenin tam anlamıyla. "tajne123" olarak ayarlamış olmanız, siz daha düğmeyi bırakamadan okunabilir bir formda var olmaktan çıkıyor.

Veritabanında ne kalır? Şifre değil. Ondan sonra parmak izi. Teknik tabiriyle: hash. Sadece birisi tıpkı sizin yazdığınız gibi aynısını girdiğinde şifrenizle eşleşen karakter dizisi. Kendi başına hiçbir şey ifşa etmez.

Bunu açıkça söyleyeceğim çünkü bu önemli: ben, servisi yöneten kişi olarak, şifrenizi okuma imkanına sahip değilim. Nazik olduğumdan değil. Okunacak fiziksel bir şey olmadığı için. Eğer biri veri tabanına sızsaydı, sadece bu parmak izlerinin bir yığınını alıp götürürdü, hepsi bu.

Bunu hesaplayan algoritma bilerek yavaştır. "Yavaş" kelimesinin bir şikayet gibi duyulduğunu biliyorum ama bu bir avantajdır. Buradaki amaç, veritabanını çalan birinin tek bir şifreyi tahmin etmek için absürt derecede çok zaman harcamak zorunda kalmasıdır. Saniyelerden değil, yıllardan bahsediyoruz.

Diğer taraftan tıklama

Birisi bağlantınızı alıyor ve tıklıyor. Doğrudan hedefe ulaşmak yerine şu ekranı görüyor: "bu bağlantı şifre ile korunmaktadır", bir giriş alanı, bir buton.

Yazıyor. Sunucu, yazılanı kayıtlı parmak iziyle karşılaştırıyor. Eşleşiyor mu? Bir gün boyunca geçerli olan bir oturum tokenı alıyor. Sonraki 24 saat boyunca hiçbir şey yazmadan bağlantıya geri dönebilir. Hatırlamak zorunda değil, zahmet çekmek zorunda değil.

Katılmıyor musunuz? Hata. Aynı IP adresinden beş yanlış deneme ve giriş beş dakika boyunca engellenir. Sırayla şifre denemeye çalışan bir bot, duvara çarpmış olur.

Burada Basitçe Olmayan Şeyler

Şifreleri açık metin olarak kaydetmiyoruz. Hiçbir yerde. Hata ararken baktığım loglarda bile.

Şifreleri e-posta ile göndermiyoruz. Bu da demek oluyor ki, eğer birisi şifresini unutursa, ona gönderemem çünkü şifreyi bilmiyorum. Onu kendiniz, tıpkı daha önce olduğu gibi aynı kanal üzerinden göndermelisiniz.

Ve şifreleri dışarıya aktarmıyoruz. Hiçbir analitik, hiçbir pazarlama, hiçbir AB bu verilere dokunmuyor. (Bu tam olarak sadece burada değil, tüm cutty.dev için geçerli olan bir kuraldır.)

Fark Yaratan İki Alışkanlık

Birinci: şifreyi kafandan uydurma. Şirket adı artı kuruluş yılı, seni tanıyan herkes için bir hediyedir. Tarayıcıdaki bir oluşturucu saniyeler içinde daha iyi bir şey çıkaracaktır.

İkinci ve daha önemlisi: şifreyi bağlantıyla aynı kanal üzerinden göndermeyin. Bağlantı e-posta ile mi gitti? Şifreyi SMS ile gönderin. Ya da tam tersi. Buradaki mantık, tek bir hesabın ele geçirilmesinin kimseye tüm bilgilere erişim imkanı vermemesidir.

Çok az kişinin bildiği küçük bir detay: Aynı adrese yönlendiren ancak farklı metinlere sahip birkaç bağlantı oluşturabilirsiniz. Beş kişiye erişim veriyorsunuz, her biri için ayrı bir bağlantı. Birinin ayrılması mı gerekiyor? Onun bağlantısını engellersiniz, geri kalanı bunu fark etmez bile.

Yeni bir bağlantı oluşturmadan şifreyi değiştirebilirsiniz. Panel, "Düzenle", yeni şifre. Not: tüm aktif 24 saatlik oturumlar anında sona erer. Herkes şifreyi yeniden girmek zorundadır.

Önceden bilmekte fayda olan sınır

Konser biletine geri dönelim. Şifre, hem arama motoruna karşı hem de kazara gelen bir misafire karşı korur. Şifreyi bilen ve onu dünyayla paylaşmaya karar veren birine karşı korumaz.

Eğer senaryonuz "bunu tam olarak sadece şu tek bir kişi görmeli ve başka hiç kimse değil" şeklinde duyuluyorsa, şifre yeterli olmayacaktır. Burada hesaplara, oturum açmaya ve yetkilendirmeye ihtiyacınız var. Farklı lig, farklı sorun.

Ama el kaldırın, bu senaryoyla gerçekten ne kadar sık karşılaşıyorsunuz? Benim deneyimime göre nadiren. Çoğu durumda mesele sadece "sokaktan birinin buraya gelmesini istemiyorum" demektir. Ve bu ifade fazlasıyla yeterli oluyor.

İçeriden nasıl göründüğünü görmek isterseniz — bir bağlantı oluştururken "Gelişmiş Seçenekler" kısmını genişletin ve "Parola ekle" seçeneğini işaretleyin. Geri kalanı kendiliğinden gerçekleşir.