Google'dan güvenli iletişim için yeni bir adım: Anahtar Şeffaflığı Sistemi

Tam da WhatsApp'ın kullanıcıların şifreleme anahtarlarını değiştirmesinin bir güvenlik açığı oluşturup oluşturmadığının tartışıldığı şu günlerde Google sanki önceden durumun kokusunu almış gibi kullanıcıların anahtarlarını ve anahtar geçmişlerini doğrulamayı sağlayacak Anahtar Şeffaflığı (Key Transparency) aracını duyurdu.

Anahtar Şeffaflığı sunucu/istemci modeli ile çalışan bir anahtar dağıtım sistemi. Özünde sunduğu bir kullanıcı kimliğinin tüm geçmişini kayıt altına almak. Örneğin bir hesabın anahtarları değiştiği veya hesap sıfırlandığı zaman bütün bu bilgiler bir kayıt defterine işlenerek gerektiğinde hesap sahibi tarafından doğrulanabiliyor. Bu sayede Google açık anahtar şifreleme sistemlerinin en büyük sıkıntılarından biri olan "anahtar dağıtımı" problemini kökten çözmeyi hedefliyor.

Tabi bu noktada hepimizin aklına gelen soru: Bütün bu anahtar verisi nerede saklanacak? İyi haber: Google'da değil. Kötü haber: Şimdilik sadece ayar dosyasına yazabileceğiniz bir sunucuda. Bu sayede bir üçüncü partinin servis olarak sunduğu bir sunucuda yahut kendi sunucunuzda bu veriyi saklayabileceksiniz. Peki sizi tanımayan birinin anahtarınızı bulması gerektiği zaman ne yapacak? Bu sorunun cevabı ne yazık ki protokolun ikinci sürümüne ötelenmiş durumda.

Bu haliyle Anahtar Şeffaflığı sistemi halihazirda anahtar dağıtımı için kullanılan HKP/SKS gibi protokollerin bulunabilirlik dezavantajını paylaşsa da gerek hesap denetimini mümkün kılması, gerekse arkasındaki Google desteği sayesinde hızla yaygınlaşabilecek olması bir avantaj sağlıyor. Önümüzdeki günlerde Anahtar Şeffaflığının güvenli iletişim sistemlerine etkilerini görebileceğimizi umalım.

İlgili Yazılar

Google Görüşme Üniversitesi: Web Geliştiricisinin Yazılım Mühendisliğine Yolculuğu

butch
16 Aralık 2016, 1 dakika okuma süresi

John Washam, eğitimini ekonomi alanında tamamlamış ama kariyerini web programcısı olarak yapmış biri. Başarılı olan bir kaç iş de kurmuş. Hayatını bu alandan kazanıyor. Kariyerini, çocukluğunda hayal ettiği yazılım geliştiricilik üzerine kurduğunu, iyi bir yazılımcı olduğunu düşünürken bunun doğru olmadığı gerçeğiyle yüzleşmiş. Bundan birkaç yıl önce iş aramaya karar verdiğinde, aslında...

SHA-1 Kırıldı!

tongucyumruk
24 Ocak 2007, 1 dakika okuma süresi

Elektronik bankacılık uygulamalarından dijital imzaya, kablosuz ağ güvenliğinden binlerce web sitesinin kullanıcı veritabanlarına kadar güvenliğe ihtiyaç duyulan birçok noktada kullanılan ve günümüze kadar başta ABD olmak üzere birçok ülke tarafından "resmi" harmanlama (hashing) algoritması olarak kullanılan SHA-1 Çinli bir bir bilim insanı ve ekibi tarafından kırıldı.

Sun ve Microsoft Elele: Bir İlk :))

sundance
14 Mayıs 2001, 1 dakika okuma süresi

Evet evet yanlış duymadınız. Sun ve Microsoft iki rakip firma (bildiğim kadarıyla ilk defa) birlikte çalışıp Internet`in en ilginç wormlarından birini dünyaya getirdiler.

Söz konusu worm Solaris 5.6 ve 7 işletim sistemlerindeki bir açıktan (deyim yerindeyse sekerek) Microsoft IIS bulunan makinalara geçiyor ve bunlardaki bazı açıklardan yararlanıp ana sayfalarını değiştiriyor.

Aldığımız haberlere göre binlerce site bu problemden etkilenmiş. En azından ben Türkiye`de üç tane biliyorum :p

Sahte Microsoft İmzası

anonim
10 Ocak 2004, 1 dakika okuma süresi

Microsoft bir işletim sistemi üzerinde yine Microsoft bir web tarayıcısı kullanırken akla gelen ilk şey bu dijital imzalardan en güvenilir olanının yine Microsoft firmasına ait olacağını düşünmektir, çok normal bir şekilde de olması gereken budur.

Fakat ne yazık ki durumun böyle olmadığı Microsoft tarafından yapılan ilginç bir açıklamayla anlaşılmıştır. Yapılan açıklamada denildiğine göre 29 Ocak ve 30 Ocak 2001 tarihinde VeriSign dijital imza firmasından bir kullanıcı Microsoftun bir elemanı olduğuna inandırarak Class3 bir kod imzasını Microsoft adına elde etmeyi başarmış. Bu da pek tabii ki normalde Microsofta ait olmayan bir takım kodların sanki Microsoft tarafından dağıtılıyormuş gibi Internet Explorerda uyarının gelmesi demek. Bu sayede eğer istenirse ActiveX kontrolleriyle ya da MS Office makroları ile bilgisayarınıza girilmesi ya da zarar verilmesi mümkün olmakta. Bu duruma bir aktif içerikli bir web sayfasını ziyaret ederken düşebileceğiniz gibi, üzerinde eklenti bulunan bir mail ile de başınız derde girebilir. Üstelik yapanın imzasında Microsoft yazdığı halde.

Güvenlikte En Zayıf Halka: İnsan

ts
12 Ekim 2005, 4 dakika okuma süresi

İnsanlar konuşur. Konuşmalarımız, davranışlarımız sonuçlar doğurur ve bu sonuçlar yaşamımızı yönlendirir, gelişmelere zemin hazırlar.

Bilgi güvenliği gibi bir konu her ne kadar teknik gibi gözükse de içerisinde insan ögesi bulunan sosyal yansımaları içeren bir konu. Bilgi güvenliği insanlardan ve onların ürünü olan zararlı kodlardan korunmayı içerdiği bir gerçek. Konu böyle olunca sistemlerini korumak için uğraşan sistem yöneticileri ve diğer yanda yeni zayıflıklar keşfedip yöntemler bulan hackerlar, bir çarkın dişlileri gibi bu endüstrinin gelişimine on ayak oluyorlar. Fakat bazen insanlardan birşeyler öğrenmenin en iyi yolu sistemlerine sizip kritik bilgilerine ulaşmaktan öte bir hal alabiliyor. Onlarla birebir iletişime geçmek ya da zaten göz önünde olan şeyleri incelemek risksiz, saf bilgi akışını kolaylaştiriyor. Bu yönteme ise kısaca Sosyal Mühendislik adı veriliyor.