Yalnızca kodun görünümünü değil, izin verdiğiniz işlemi doğrulayın.
Bir mesaj, özel bir gruba katılmak veya hesabınızı etkin tutmak için QR kod taramanız gerektiğini söylüyor. Sonraki ekran ise bir cihaz bağlamanızı istiyor. Bunlar farklı işlemlerdir. Onay vermeden önce durun: gerçek bir hesap bağlama mekanizması da dürüst olmayan bir amaçla kullanılabilir.
Uçtan uca şifreleme, iletişime katılan uç noktalar arasındaki mesajları korur. Mesajları artık alan cihazı gerçekten eklemek isteyip istemediğinize karar veremez. Bu rehber bir web bağlantısını, cihaz bağlama isteğini ve kişi doğrulama kodunu nasıl ayıracağınızı, ayrıca işlemi zaten yaptıysanız neleri kontrol etmeniz gerektiğini açıklıyor.
İki farklı QR kod tuzağı
Sahte bir web sitesi: kod, tanıdığınız bir hizmeti taklit eden ve parola ya da başka hassas bilgiler isteyen bir sayfa açar. FTC, beklenmedik mesajlardaki QR kodlar konusunda uyarıyor; mesajdaki yönlendirmeyi izlemek yerine hedef adresi kontrol etmeyi ve sözde göndericiyle bilinen bir kanaldan iletişime geçmeyi öneriyor. Tanıdık bir logo, sayfayı kimin işlettiğini kanıtlamaz. FTC'nin QR kod dolandırıcılığı rehberi.
İstenmeyen bağlı cihaz: saldırgan sizi kendi bilgisayarını veya başka bir cihazı mesajlaşma hesabınıza bağlamaya ikna eder. Bu, şifrelemeyi kırmak yerine meşru bir özelliği kötüye kullanabilir. Google Threat Intelligence, grup daveti ve güvenlik bildirimi kılığına giren Signal cihaz bağlama saldırılarını belgeledi. Gözlemlenen bu saldırılarda başarılı bağlama, gelecekteki mesajların saldırganın kontrolündeki cihaza ulaşmasını sağladı. Google'ın cihaz bağlama oltalaması araştırması.
Bu ayrım önemlidir. Parola değiştirmek, bağlı cihazları kontrol etmenin yerini tutmaz. Aynı şekilde, kamerayı yalnızca bir koda doğrultmak hesabın ele geçirildiğini kanıtlamaz. Hangi sayfanın açıldığını, hangi bilgileri verdiğinizi ve hangi işlemi onayladığınızı belirleyin.
Birbirine benzeyen üç kod, üç farklı amaç
| Kod veya ekran | Amaçlanan işlem | Devam etmeden önce sorulacak soru |
|---|---|---|
| Web sitesi QR kodu | Bir adresi açmak | Bu, mesajdan bağımsız olarak beklediğim hedef mi? |
| Cihaz bağlama QR kodu | Başka bir cihaza yetki vermek | Bu cihaz benim mi ve bağlama işlemini ben mi başlattım? |
| Kişi doğrulama QR kodu | Kriptografik kimlik bilgilerini karşılaştırmak | Kişi doğrulama ekranında mıyım ve doğru kişiyle mi karşılaştırıyorum? |
Örneğin Signal, bağlı cihaz ayarları ve uygulama içi kamera üzerinden ayrı bir bağlama akışı tanımlar. Güncel talimatlarında mesaj geçmişini aktarıp aktarmama seçeneği de vardır. Bu, bir kişinin güvenlik numarasını kontrol etmekle aynı işlem değildir. Signal'ın bağlı cihaz talimatları.
Signal'ın güvenlik numarası belgeleri, numaraları karşılaştırmayı veya kişinin doğrulama QR kodunu, tercihen yüz yüze, taramayı açıklar. Bu karşılaştırma görüşmenin kriptografik kimliğini doğrulamaya yardımcı olur; yeni bir bilgisayara hesabınıza erişim izni vermeniz gerektiği anlamına gelmez. Bir kişinin gerçek dünyadaki kimliğini tek başına kanıtlamaz. Göndericinin açıklamasını değil, ekrandaki işlemin gerçek amacını esas alın. Signal'ın güvenlik numarası açıklaması.
Pratik örnek: anlamı değişen davet
Şu kurgusal durumu düşünün. Mina'ya iş arkadaşından gelmiş gibi görünen bir mesaj ulaşır: “Proje grubu taşındı. Yeniden katılmak için bunu tara.” Sayfa özenli görünür. Mina'dan mesajlaşma uygulamasının cihaz bağlama tarayıcısını açmasını ister.
Mina uyumsuzluğu fark eder: başka bir bilgisayar bağlamak değil, bir görüşmeye katılmak istemiştir. İşlemi iptal eder, her zamanki kişi kaydını kendisi açar ve ayrı, güvenilir bir kanaldan iş arkadaşına danışır. Şüpheli sayfada verilen telefon numarasını kullanmaz.
Bu örnek yararlı bir karar kuralını gösterir: uygulamanın istediği izin yapmak istediğiniz işlemden daha geniş veya farklıysa durun. Tanıdık bir gönderici hesabı yeterli değildir; hesaplar taklit edilebilir veya ele geçirilebilir. Güven verici görünen bir web adresi de beklenmedik bir cihazın neden erişime ihtiyaç duyduğunu tek başına açıklamaz.
Onaydan önce kısa kontrol listesi
- Yapacağınız işlemi tanımlayın. Sayfa mı açıyor, gruba mı katılıyor, bir kişiyi mi doğruluyor, yoksa kendi bilgisayarınızı mı bağlıyorsunuz?
- Bağımsız olarak başlayın. Hesap yönetimi için istenmeyen bir mesajın talimatlarını izlemek yerine yüklü uygulamayı veya zaten bildiğiniz bir adresi açın.
- Uygulamanın istemini okuyun. Cihaz bağlamayı, hesap kurtarmayı ve giriş bilgilerini yazmayı ayrı kararlar olarak ele alın. İşleminizle uyuşmayan isteği iptal edin.
- Diğer cihazı tanıyın. Yalnızca kullanmayı planladığınız ve kontrolünüzdeki cihazları bağlayın. Samimi görünen cihaz adı, sahiplik kanıtı değildir.
- Sırları sohbet dışında tutun. Yardım ettiğini söyleyen birine parola, kayıt kodu veya kurtarma anahtarı göndermeyin.
- Güncel yazılım kullanın. Güncellemeler ve yerleşik uyarılar önemlidir; ancak beklenmedik bir onay isteğini güvenilir hale getirmez.
Signal'ın kendi oltalama karşıtı rehberi, bağımsız doğrulamayı, kodları gizli tutmayı ve beklenmedik isteklere ihtiyatla yaklaşmayı önerir. Ayrıca yalnızca okunabilen resmî duyurularını, destek görevlisi gibi davranıp karşılıklı konuşan dolandırıcıdan ayırır. Bunlar Signal'a özgü ayrıntılardır; her mesajlaşma uygulamasının destek sistemi hakkında iddia değildir. Signal'ın oltalama ve kimliğe bürünme rehberi.
Zaten taradıysanız veya onayladıysanız
Gerçekte hangi işlemin yapıldığından hareket edin:
- Yalnızca bir sayfa açtıysanız: kapatın ve etkileşimi durdurun. Bilgi yazıp yazmadığınızı, bir şey indirip indirmediğinizi veya uygulamadaki bir işlemi onaylayıp onaylamadığınızı kontrol edin. Sadece taramaya dayanarak ne ele geçirilme ne de güvende olma sonucuna varın.
- Giriş bilgileri yazdıysanız veya kod paylaştıysanız: güvenilir bir cihazdan hizmetin resmî kurtarma talimatlarını izleyin. Açığa çıkan parolaları değiştirin ve hesap erişimini gözden geçirin; başka yerlerde de kullandığınız parolaları ayrıca ele alın.
- Tanımadığınız bir cihaz bağladıysanız: uygulamanın gerçek cihaz veya oturum listesini açıp istenmeyen bağlantıyı kaldırın. Dolandırıcılık mesajını silmenin erişimi iptal ettiğini varsaymayın.
- Yazılım yüklediyseniz veya alışılmadık izinler verdiyseniz: bunu ayrıca araştırın. Bir hesap oturumunu iptal etmek, telefondaki kötü amaçlı yazılımı kendiliğinden kaldırmaz.
Özellikle Signal için koruma rehberi, bağlı cihazları incelemeyi, tanınmayan kayıtları kaldırmayı ve emin değilseniz listedeki tüm cihazları kaldırmayı önerir. Bağlantıyı kaldırma talimatları, birincil telefondan cihazın erişiminin nasıl iptal edileceğini açıklar. Başka hizmetlerin kontrolleri farklı olabilir. Signal hesap koruma rehberi, Signal cihaz bağlantısını kaldırma talimatları.
Erişimi iptal etmek, başka yere zaten kopyalanmış bilgileri geri getiremez. Açığa çıkanların kapsamı hizmete, verilen izinlere, varsa geçmiş aktarımı seçimine ve erişimin ne kadar sürdüğüne bağlıdır; evrensel bir “bütün sohbetler” kuralına değil. Hassas görüşmeler açığa çıkmış olabilir diye düşünüyorsanız etkilenen kişileri güvenilir bir yoldan uyarın ve ilgili olay bildirim sürecini izleyin.
Livara'yı veya başka bir mesajlaşma uygulamasını değerlendirirken neler kontrol edilmeli?
Yeni cihazlara nasıl yetki verildiğini, etkin oturumların nerede gösterildiğini, erişimin nasıl iptal edildiğini ve geçmişin ayrı aktarılıp aktarılmadığını sorun. Şifreleme etiketinin bu soruları yanıtladığını varsaymak yerine güncel ürün belgelerini kontrol edin. Bu makale, Livara'nın QR tabanlı giriş veya belirli bir cihaz bağlama akışı kullandığını ortaya koymaz.
Pratik sonuç basittir: yalnızca kodun görünümünü değil, izin verdiğiniz işlemi doğrulayın.
