Anahtarların eşleşmesi önemli bir kontroldür; cihazın güvenli olduğunu veya kişinin tüm mesajlarının doğru olduğunu garanti etmez.
Güvenlik numarası veya anahtar parmak izi, şifreli iletişim anahtarlarını karşınızdaki kişiyle karşılaştırmanıza yardımcı olur. Bu kontrol, anahtarın başka bir anahtarla değiştirilmesi riskini azaltmak için yararlıdır; ancak “mesajı hiç kimse okuyamaz” garantisi değildir: zararlı yazılım bulaşmış bir cihaz, güvenilmeyen bir kişi veya kaydedilmiş bir kopya içeriği hâlâ açığa çıkarabilir.
Parmak izinin gösterilme ve hesaplanma biçimi mesajlaşma uygulamasına göre değişir. Kullandığınız uygulamanın yönergelerini izleyin; bazı uygulamalar konuşma için ortak bir numara gösterirken diğerleri her cihazın veya kimliğin parmak izini gösterir.
Güvenlik numarası neyi kanıtlamaz?
| Kontrol | Beklenen sonuç | Kanıtlanmayan şey |
|---|---|---|
| Tanıdığınız kişiyle anahtarı doğru biçimde karşılaştırmak | Görülen anahtarın beklenen anahtarla eşleşmesi | O kişinin cihazının güvenli olması |
| Numarayı veya QR kodunu doğrulamak | Bir anahtar doğrulama kontrolünün yapılmış olması | Her iddianın veya para talebinin gerçek olması |
| Uyarı bulunmaması | Uygulamanın bildirilmiş bir değişiklik göstermemesi | Her türlü dinleme veya zararlı yazılımın yokluğu |
Karşınızdaki kişinin kim olduğunu bilmiyorsanız, aynı tanımadığınız kişiyle karşılaştırma yapmak onun gerçek kimliğini ortaya çıkarmaz. Diğer katmanlar için sohbet tehdit modeline bakın.
Anahtarı karşınızdaki kişiyle nasıl karşılaştırırsınız?
- Konuşmanın içinden, mesajlaşma uygulamasının yönergelerine göre anahtar doğrulama veya güvenlik numarası sayfasını açın.
- Tanıdığınız bir kişiyle, tercihen yüz yüze veya daha önceden güvendiğiniz bağımsız bir yoldan karşılaştırın.
- Yalnızca ilk birkaç rakamı değil, gerekli tüm bölümleri kontrol edin. Uygulama resmî bir QR kodu sunuyorsa o doğrulama akışını kullanın.
- Eşleşme varsa ve uygulama doğrulamayı kaydetme seçeneği sunuyorsa doğrulamayı kaydedin.
- Eşleşme yoksa hassas içerik göndermeyi durdurun ve nedenini araştırın.
Bu görsel kavramsal bir örnektir; sayılar uydurmadır ve geçerli bir eşleşmeyi veya gerçek bir mesajlaşma uygulamasının arayüzünü göstermez.
Kimliğini doğruladığınızdan şüphe ettiğiniz aynı konuşmada numaranın ekran görüntüsünü göndermek bağımsız bir kontrol değildir. Bir arama veya ikinci bir hesap da ancak o yolun kimliğine ve güvenliğine gerçekten güveniyorsanız yararlıdır; gönderenin verdiği yeni bir numara yeterli değildir.
Numara değişirse ne yapmalısınız?
Cihaz değişikliği, yeniden kurulum veya anahtar değişikliği bir uyarıya neden olabilir. Tam davranış uygulamaya ve kimliğin nasıl geri yüklendiğine bağlıdır; her telefon değişikliği mutlaka anahtarı değiştirmez ve her uyarı da bir saldırı anlamına gelmez.
Bağımsız bir yoldan karşınızdaki kişiye neyin değiştiğini sorun, sürümleri güncelleyin ve ardından mevcut numarayı yeniden karşılaştırın. Hassas konuşmalarda, telefon değiştirildiğine dair sözlü bir açıklamayı anahtar karşılaştırmasının yerine koymayın. Uyumsuzluk sürerse verileri aceleyle silmeden resmî destekten yardım alın.
Yeniden doğrulama, daha önce açığa çıkmış olabilecek mesajları geri alamaz. Güvenliğin bir ihlalden sonra yeniden sağlanması da saldırganın erişiminin kaldırılmasına ve yeni kriptografik girdinin gelmesine bağlıdır; anahtar zincirindeki her ilerleme ihlalin sona erdiği anlamına gelmez.
Anahtar şeffaflığının elle karşılaştırmadan farkı nedir?
Anahtar şeffaflığı, tanımlayıcıların anahtarlara eşlenmesindeki tutarsızlıkları ortaya çıkarmak için tasarlanır. Bunu yalnızca “aynı sunucuya yeniden güvenmek” olarak tanımlamamak gerekir; bundan insan kimliğinin veya cihaz güvenliğinin doğrulandığı sonucu da çıkarılmamalıdır.
Signal’ın Automatic Key Verification için resmî kılavuzuna göre bu özellik, güvenlik numarasına ek bir kontroldür ve kullanılabilirliği telefon numarasının bilinen bir kişiye ait olması gibi koşullara bağlıdır. Özelliğin bulunmaması veya durumunun değişmesi tek başına bir saldırı belirtisi değildir. Kullanılamadığında Signal, numaranın veya QR kodunun güvenilir bir yoldan karşılaştırılmasını önerir.
Bu nedenle “elle karşılaştırma mümkün olan tek savunmadır” iddiası doğru değildir. Otomatik araçlar ve kullanıcının yaptığı kontroller birbirini tamamlayabilir; her ürünün gerçekte neleri kapsadığını okuyun.
Livara hakkında neleri kontrol etmelisiniz?
Livara’nın güvenlik belgeleri, anahtar parmak izinin başka bir kanal üzerinden karşılaştırılmasını açıklar. Kurulu sürümde kontrolün nerede bulunduğunu, hangi verilerin karşılaştırıldığını ve uygulamanın anahtar değişikliğine nasıl tepki verdiğini kontrol edin. Bu kılavuz, tüm Livara sürümleri için bir arayüz yolunu veya QR kodunun varlığını doğrulamaz.
Ayrıca sohbet anahtarlarını karşılaştırmak, uygulamanın kurulum kaynağını kontrol etmenin yerini tutmaz. APK dosyası ve referans hash değeri güvenilir bir yoldan gelmelidir; hash eşleşmesi yalnızca dosyanın referansla aynı olduğunu gösterir.
Sık sorulan sorular
QR kodu her zaman sayıları okumaktan daha mı güvenlidir?
QR kodu elle karşılaştırma hatalarını azaltabilir; ancak aynı uygulamanın resmî doğrulama akışına ait kod olmalıdır. Güvenlik yalnızca QR biçimine değil, karşılaştırılan verilere ve kişiye ve kullanılan yola duyulan güvene bağlıdır.
Numara doğruysa para talebi geçerli midir?
Hayır. Anahtar doğrulaması, ticari veya mali bir iddianın doğruluğunu kanıtlamaz. Hassas talepleri bağımsız olarak kontrol edin.
Değişiklik uyarısı, konuşmanın daha önce dinlendiği anlamına mı gelir?
Mutlaka değil. Uyarı, araştırma yapmak için bir nedendir; bilgilerin açığa çıktığının kesin kanıtı değildir. Hassas bilgi göndermeden değişikliğin nedenini ve mevcut durumu açıklığa kavuşturun.
