facebook, apple ve google’da bulduğu güvenlik açıklarıyla dünya çapında tanınan güvenlik araştırmacısı ibrahim baliç, ülkelerin hızla siber ordular kurmaya başladığı günümüzde türkiye’nin siber güvenlik altyapısını yeterince hızlı geliştiremediğini belirtti. baliç, 17 aralık operasyonuyla siber güvenlik personeli yetiştirilmesi sürecinde aksaklıklar meydana geldiğini belirterek, yeni nesil uzmanların kesinlikle yeni bir çalışma disiplini altında görev yapmaları gerektiğini söyledi.

mobil teknolojiler ve internette kullanıcıları en çok tehdit eden güvenlik hususlarına değinen ibrahim baliç, al jazeera türk’e yaptığı açıklamada facebook gibi teknoloji devlerinin gizlilik ve mahremiyet konusunda da samimi olmadığını ifade etti.

nsa operasyonlarında beliren örneklerin günümüzde hackerlar için sıradan kaldığına dikkat çeken baliç, abd’nin nsa skandalıyla dünyaya siber istihbarat alanındaki gücünü sergilediğini ve bundan hoşlandığını öne sürdü. baliç, asıl tehdidin, giderek artmakta olan siber saldırılar olduğunu türkiye’nin siber güvenlik politikasındaki hatalarını gidermesi gerektiğini söyledi. 

nsa skandalının ardından teknoloji şirketlerinin kullanıcılara verdiği gizlilik güvencesi nasıl anlamlar taşıyor? bilgilerimiz gerçekten korunuyor mu?

"açıkçası bilginin 'kimden korunduğunu' sormamız gerekir. şirketler her ne kadar aksini söyleseler de, kullanıcılar hakkında elde ettikleri bilgileri birçok farklı alanda kullanıyor. verilerin kullanımı, şirketlerin büyümesi ve güçlenmesiyle doğru orantılı olarak artıyor. en iyi bilinen örnek, reklamlar. facebook'ta bugün kullanıcıların ilgi alanlarına yönelik verilerden kitle araştırması yapılabiliyor. kısaca, teknoloji şirketlerinin kendi çıkarları doğrultusunda kullanıcı bilgilerini koruduğunu söyleyemeyiz. devletler bazında baktığımızda, insanların bilgilerinin erişilmesine yönelik belli anlaşmalar yok. ancak belli durumlarda, örneğin bir cinayet soruşturmasında resmi talepte bulunarak gerekli olan bilgileri elde edebiliyorlar. şirketlerin, devletlere yardım amaçlı bilgi paylaşımlarında bulunması bilinen ve anlaşılan bir durum. ancak bunun dışında bilmediğimiz ve öne sürülen birçok söylenti söz konusu. bu söylentilerin birçoğunun gerçek olduğunu da biliyoruz ancak biraz abartı olduğuna da dikkat etmeliyiz. şahsi düşüncem, abd’nin nsa ile uluslararası alanda bir güç gösterisi yapması. ancak bu bir gerçek ve içinde türkiye, rusya, çin ve daha birçok ülke olmak üzere çalışmalar yürütülüyor."

‘sms takibi yapan mobil uygulamalara dikkat edin’

baliç, kişilerin devlet takibine alınmaları halinde isteseler de kaçamayacaklarını söylerken, mobil ve internetteki casusluklara karşı dikkatli olmaları için önemli ipuçları verdi:

"eğer sıradan bir vatandaşsanız fazla bir endişe duymanız gerektiğini düşünmüyorum ama bir suçlu, aranan bir kişiyseniz risk altındasınız. teknolojinin geldiği noktada, günlük hayatınızdaki detaylar ve evinizin içindeki dekora kadar birçok bilgi elde edilebiliyor. ayrıca, istihbarat kurumlarının yasa dışı yollarla elde edeceği bilgileri de fark etmenin yolu yok. bireyler olarak, belki devletlerden kaçamayız ama firmalardan kaçabiliriz. bilgilerimizin elde edilmesini sağladığımız en kolay yollardan biri, mobil uygulamalar.

örneğin, sizi arayan kişinin kimliğini belirlemek için uygulamalar kullanıyorsunuz. uygulama, sizin telefon rehberinizi, sizin arayan kişilerin numaralarını topluyor ve kimlik karşılaştırması amacı altında büyük bir veri tabanı oluşturuyor. uygulamayı kullanan kişi rehberindeki tüm bilgileri teslim etmiş oluyor. bu tür uygulamalara, oynadığımız oyunlara ve hesap makinesi, döviz çevirici gibi araçlara dikkat etmemiz gerekiyor. örneğin sms okumak için izin isteyen hesap makinesi uygulaması mevcut. hesap makinesinin sms'lerle nasıl bir bağlantısı olabilir? kullanıcılar, bilerek veya bilmeyerek indirdikleri ve veri toplama amacı taşıyan bu tür uygulama ve hizmetlere dikkat etmeliler. devlet tarafından bakıldığında, şu an isteseler bu mekana girmeden veya buradaki bir cihazı kullanmadan bile bu röportajı dinleyebilirler. teknolojiyi kullanmayarak ise kendinizi sadece belli etmemiş olursunuz. ancak devlet zaten sizi takip ediyorsa, bundan kaçamazsınız.

facebook, apple ve google'da güvenlik açıkları buldun. dev firmaların yaşadığı güvenlik sorunları onlar için nasıl bir anlam taşıyor?

dünyanın en büyük firması olmak, en güvenli firma olmak anlamına gelmiyor. çünkü firmalar kendilerini var olan sistem mümkün kıldığı kadar güvenli kılabiliyor. büyük şirketler bugüne kadar var olan imkanlar ve o imkanların geliştirdiği sistemle büyüyorlar ve kullanıcılara da o kadarını sunabiliyorlar. öte yandan, birileri bu sistemin içindeki olgularla uğraşıyor, onu kurcalıyor. burada bulunan küçük ya da büyük çaplı bir zafiyet, bütün sistemlerde geçerli ve bu tür güvenlik açıkları her zaman var olacak. çünkü firmalar bilgi güvenliği için her zaman uygulamalar ve teknolojiler geliştiriyor. geliştirilen bu yazılım ve donanımları kurcalayanlar bir zafiyet bulduklarında, o uygulama veya donanımın bir özelliği kalmıyor. teknoloji firmalarının bir güvenlik açığının çıkması başarısız oldukları anlamına gelmez. ebay'in milyonlarca kullanıcısına ait bilgi çalındı. ebay birçok ödül programı da dahil güvenliğini geliştirmeye çalıştı ancak güvenlik açığı çıktı. bu şirketle değil, sistemle bağlantılı bir durum."

‘vpn kesinlikle kullanmayın’

türk kullanıcıların güvenlik hatalarına değinen baliç, özellikle kadın hassasiyeti nedeniyle kullanıcıların sistemlerini saldırılara açtıklarını söyledi. baliç ayrıca, erişim yasaklarıyla öne çıkan vpn (sanal özel ağ) hizmetlerinin kesinlikle güvenilir olmadığını belirtti:

"türkler için sanal ortamdaki en büyük tehdit kadın unsuru. bu unsurdan dolayı kullanıcılar bir sorun olmayan sistemlerinde bile güvenlik açığı yaratıyorlar. burada insan faktörüne dikkat çekmek gerek. sistemleri kullanan kişilerin zafiyetini bulmak, zaten sistemlerin daha kolay hack'lenmesini sağlıyor. türk kullanıcılar da özellikle kadın faktöründen dolayı sürekli zafiyet gösteriyor. internette insanlar karşılarında canlı biri olduğunu görmek için kamera açtırıyor veya sesli görüşme talep ediyor. kullanıcılar kesinlikle internette tanıştıkları insanlara güvenmemeli. ikinci önemli unsur, internette girilen bir sistemde işlemleriniz bittikten sonra, o sistemden çıkmanız. bilgisayarınızda bulunduğunuz sitenin oturum bilgilerinin kalmaması büyük önem taşıyor. üçüncü olarak, farklı özellikler taşıdığını iddia eden uygulamaların indirilmemesi.

örneğin, facebook, hotmail hackleme uygulamaları tamamen sahte uygulamalar. ayrıca ücretsiz uygulama, dizi-film indirme uygulamaları, 'oltalama' dediğimiz yöntem için kullanılıyorlar. dahası, girdiğiniz sitelerde 'flash player yükle' veya belli bir program olmadan çalışmıyor gibi ibarelere dikkat edilmesi gerekiyor. son tavsiyem, aynı şifrenin birden fazla site veya uygulama için kullanılmaması. böyle bir durumda bir site hacklendiğinde, aynı şifreyi kullandığınız diğer hizmetler de risk altına giriyor.

türkiye’deki erişim yasaklarıyla kullanımı artan vpn ne kadar güvenli?

vpn (sanal özel ağlar) kesinlikle kullanılmamalı çünkü çok büyük bir risk getiriyor. vpn ile bağlantı kurduğunuz zaman, bir başka bilgisayar üzerinden yasaklı sitelere girmiş oluyorsunuz. bu işlemde alan adı ve sunucuları koruyan ssl sertifikalarının takas edildiği ortaya çıktı. bu durum, bilgisayarınızın tamamen bağlandığınız bilgisayara açılması ve tüm şifrelerinizin karşı tarafa geçmesi anlamına geliyor. özellikle bankacılık sektörünü tehdit eden bu duruma karşı bazı bankalar yurt dışından gelen ip’leri anında bloke ederek önlem almaya çalışıyor ama bu önlemlerin geliştirilmesi gerekiyor."

‘siber güvenlik uzmanlarını memur gibi çalıştıramazsınız’

17 aralık operasyonuyla türkiye’nin siber güvenlik altyapısında aksamalar meydana geldiğini ifade eden baliç, yeni yetiştirilen siber uzmanların eğitimleri ve çalışma sistemlerinde çok dikkat edilmesi gereken noktalar olduğunu ifade etti:

"türkiye’nin siber güvenlik için belirlediği bir yol var ancak bu yolda ilerlediğini söyleyemeyiz. basit bir örnek verirsem, istanbul siber suçlar şube müdürlüğü’nün oldukça sık takip ettiğim bir web sitesi var. henüz birkaç gün önce girip baktığımda, eylül 2013’ten bu yana bir operasyon olmadığını gördüm. ancak bu tarihin öncesinde ayda en az bir kez yapılan operasyonlar hakkında güncelleme ekleniyordu. 17 aralık operasyonundan sonra birçok polisin yerinin değişmesi nedeniyle, yeni gelen personel bilinçsiz. dahası, sadece emniyet’te değil, diğer alanlarda da personellerin tamamen memuriyet zihniyetiyle çalıştırılmak istenmesi yanlış bir düşünce. memur düzeniyle çalışan bir kişiden dünya standartlarında bir iş beklentisi yanlış olur. türkiye’nin bu yaklaşımı çok büyük bir kayıp çünkü dünyanın hiçbir yerinde siber meseleleri memur çalışma düzeniyle yapılamaz.

bir diğer hata, bu işleri yapması için üniversite öğrencilerine, hatta doktora seviyesindeki insanlara yönelmek. yıllarca eğitim alan bu insanlar günde belli bir süre çalışmak için kendisini yetiştiriyor. ancak bir siber güvenlik araştırmacısına bir gün yetmiyor. türkiye’nin izlediği yol doğru olsa da aşamalarda giderilmesi gereken hatalar var. her türlü kurumda çalışacak personeller yetiştiriliyor ve eğitimleri için iyi bir bütçe ayrıldı. türkiye’nin 10 yıl içinde çok iyi bir yerde olacağına inanıyorum."

kaynak: al jazeera