Güvenlik numaraları ve açık anahtar parmak izleri, bir konuşmayla ilişkili kriptografik anahtarları kontrol etmenize yardımcı olur. Bunları güvenilir, bağımsız bir kanal üzerinden karşılaştırmak, yalnızca kişinin görünen adına güvenseydiniz fark edemeyeceğiniz bir uyuşmazlığı ortaya çıkarabilir.
Bir eşleşme, doğrulama yönteminin varsayımları altında anahtarlar hakkında yararlı bir kanıttır. Kişinin geçmişinin araştırılması, cihazında kötü amaçlı yazılım bulunmadığının kanıtı veya mesajlarınızı gizli tutacağının garantisi değildir.
Şifreleme neden kimlik doğrulamaya da ihtiyaç duyar?
Anahtar değişimi, size sunulan anahtarı kontrol eden kişiyle ortak bir sır oluşturabilir. Bir saldırgan kendi anahtarını yerleştirir ve bu değişiklik fark edilmezse, şifreli bağlantı yanlış tarafı içerebilir.
Parmak izleri, protokolün doğrulamanızı istediği anahtar malzemesinin kısa bir gösterimini sağlar. Kesin girdiler ve biçim ürüne özgüdür. Bazı uygulamalar rakamlar, bazıları QR kodu veya başka bir gösterim sunar; tüm biçimlerin aynı alanları doğruladığını varsaymayın.
Dikkatli bir karşılaştırma yöntemi
- İstediğiniz kişinin konuşmasını açın. Benzer görünen bir hesabı ya da farklı bir sohbeti doğrulamadığınızı kontrol edin.
- Uygulamanın güncel doğrulama ekranını bulun. Güvenlik numaraları veya anahtar parmak izleri için resmî talimatlarını kullanın.
- Bağımsız olarak güvenilen bir kanal kullanın. Uygulanabildiğinde yüz yüze karşılaştırma basittir. Uzaktan karşılaştırmada, diğer kişinin kimliğini doğrulayabildiğiniz ve yalnızca şüpheli konuşmanın kendisi olmayan bir kanal kullanın.
- Desteklenen yöntemle gösterimin tamamını karşılaştırın. Destekleniyorsa gösterilen doğrulama QR kodunu tarayın veya kısa bir başlangıç bölümü yerine gerekli tüm rakamları karşılaştırın.
- Varsa uygulamada doğrulamayı kaydedin. Bunun uyarı davranışını mı değiştirdiğini yoksa yalnızca yerel bir etiket mi eklediğini anlayın.
- İlgili kimlik değiştiğinde tekrarlayın. Açıklanamayan bir değişikliği hassas gönderimleri duraklatıp ne olduğunu teyit etme nedeni olarak görün.
Bağımsız kontrolün yerine, aynı potansiyel olarak ele geçirilmiş konuşmadan gönderilen ekran görüntüsünü koymayın. Doğrulama QR kodunu cihaz bağlama QR koduyla karıştırmamaya dikkat edin: farklı işlemler yaparlar.
Değişen bir numara ne anlama gelir?
Değişiklik, ilgili anahtar malzemesinin veya doğrulama girdilerinin farklı olduğu anlamına gelir. Yeniden kurulum, cihaz değişimi veya kimliğin sıfırlanması meşru değişikliklere yol açabilir; ancak davranış ürüne ve kurtarma yöntemine bağlıdır.
Signal'ın resmî rehberi, yeni telefonların veya yeniden kurulumların yaygın değişiklik nedenleri olduğunu belirtirken bunların numarayı her zaman değiştirmediğini de açıklar. Sık veya beklenmedik değişiklikler dikkat gerektirir.
İki uçtan da kaçının: değişiklik otomatik olarak araya girildiğinin kanıtı değildir ve tanıdık bir kişi adı değişikliği görmezden gelmek için gerekçe değildir. Kişiye güvenilir kanaldan sorun, yeniden karşılaştırın ve hassas bir iletişime devam etmeden önce uyuşmazlıkları çözün.
Eşleşme neleri kanıtlamaz?
| Şunu ortaya koymaz… | Nedeni |
|---|---|
| Bilinmeyen bir hesabın gerçek dünyadaki kimliği | Doğrulanmış anahtarları güvenilir bir süreçle bir kişiye bağlamalısınız |
| Temiz bir uç nokta | Kötü amaçlı yazılım, meşru şifre çözme işleminden sonra içeriği okuyabilir |
| Alıcının gizliliği koruyan davranışı | Doğrulanmış bir alıcı mesajları kopyalayabilir veya iletebilir |
| Grup üyeliğinin tam güvenliği | İkili anahtar doğrulaması tek başına her üyeyi ve cihazı doğrulamaz |
| Görünmez üstveri | Anahtar kontrolleri yönlendirme, zamanlama veya üyelik kayıtlarını silmez |
| Protokolün her güvenlik özelliği | Parmak izi kontrolü, müzakerenin, uygulamanın veya anahtar depolamanın tam denetimi değildir |
Parmak izi genellikle herkese açık bir doğrulama değeridir, kurtarma sırrı değildir. Yine de uygulamanın paylaşım talimatlarına uyun ve doğrulama için gerekli olduğunu söyleyen birine asla kurtarma ifadesi veya özel anahtar vermeyin.
Livara'nın doğrulama iddiası nasıl okunmalı?
Livara'nın güvenlik sayfası, açık anahtar parmak izlerinin diğer kişiyle başka bir kanal üzerinden karşılaştırılmasını önerir. Hibrit doğrudan oturumları ve grup gönderici anahtarlarını ayrıca açıklar.
Herkese açık sayfa, bu makalenin önceki sürümünde ileri sürülen her ayrıntıyı ortaya koymaz; örneğin belirli bir parmak izi biçiminin tam olarak hangi alanları içerdiğini veya her güvenlik seviyesi düşürmenin gösterilen numarayı değiştireceği garantisini vermez. Bu iddialar, ilgili sürümlendirilmiş belirtimi ve uygulama kanıtlarını gerektirir.
Tehdit modeli, cihazın ele geçirilmesinin ve alıcının içeriği ifşa etmesinin de koruma kapsamı dışında kaldığını açıkça belirtir. Anahtarları sundukları daha dar fayda için doğrulayın ve onları tutan cihazları koruyun.
Hassas bir konuşmada, kimliği doğrulanmış bağımsız bir kanal üzerinden yapılan eksiksiz karşılaştırma, kilit simgesinden veya sorgulanmamış bir “doğrulandı” etiketinden daha anlamlıdır.
