e- mail güvenliği

[hide] İnternetin getirdiği en önemli farklılıklardan biri elektronik mesaj sistemlerini herkesin kullanımına açmak olmuştur. Kurumların elektronik mesaj sistemlerini internete bağlaması ve internette dağıtılan ücretsiz postakutuları email kullanımını hızla yaygınlaştırmıştır. Email, yazılı iletişime düşük maliyet, yüksek hız ve esneklik kazandırmaktadır. Diğer yandan elektronik ortamların zaafları, büyük kurumsal ağların ve internetin güvenlik sorunları email güvenliğini doğrudan etkilemektedir.

Email Sistemleri Nasıl Çalışır?

Geleneksel posta sistemini düşünelim. Mektubunuzu yazarsınız. Zarfın üzerine adres yazıp, mektubu zarfa koyarsınız. Postaneye veya mektup kutusuna gidip mektubu atarsınız. Posta işleme merkezinde mektubunuz gideceği adrese göre ayrılır. Önce ilgili posta dağıtım merkezine gönderilir. Sonra postacı mektubunuzu yazdığınız adrese teslim eder. Mektubunuz, postaneye teslim ettiğiniz andan, alıcıya ulaşana kadar yasaların güvencesi altındadır. Kimsenin zarfı açmaya, kaybetmeye, yanlış adrese teslim etmeye hakkı yoktur. Özellikle "taahütlü" gönderiyi tercih etiyseniz mektubunuz bir kat daha güvencede demektir. Tabi “özel ulak” veya APS gibi gelişmiş başka seçenekler de vardır. Mektubunuz gideceği yola bağlı olarak en az bir kaç saat içinde alıcıya ulaşabilir.

Gelelim email sistemine. Uygun bir email kullanıcı programı ile mesajınızı yazarsınız. Adres satırına alıcının email adresini yazarsınız ve mesajı gönderirsiniz. Bağlı bulunduğunuz email sistemi mesajınızı alır ve alıcının bağlı bulunduğu email sistemine gönderir. Mesajınız, alıcının email kullanıcı programı hazır olduğunda alıcıya ulaşır. Bütün bu süreç birbirine bağlı elektronik sistemler üzerinde gerçekleşir. Mesajınızın güvenlikği, mesajınızın şifrelenmesi ve kullandığınız email sistemlerinin güvenli olmasına bağlıdır. Mesajınız en az bir kaç saniye içinde alıcıya ulaşır.

Genel yapıları açısından geleneksel posta sistemi ile email sistemleri arasında büyük benzerlik vardır. Temel fark ise, geleneksel sistemde mesajınız nesnel bir ortamdadır (kâğıt vb), email mesajı ise elektriksel ve manyetik ortamdadır. Ortam farklılığı dolayısıyla mesajlarınızın güvenliği önemli ölçüde farklılıklar göstermektedir.

Email Güvenliğine Dönük Tehditler Nelerdir?

Geleneksel postada mektup zarfınızı sıkıca yapıştırır, zarfın ek yerlerini damga, mum gibi nesnel olanaklarla işaretlerseniz zarfın alıcıya ulaşana kadar açılıp açılmadığından emin olabilirsiniz. Mektubu !!!üren sistemin güvenilir olması ise kaybolması veya saldırıya uğraması olasılığını çok azaltır. Zarfa zarar vermeden, içindeki mesajın okunması, kopyalanması, değiştirilmesi ise -bildiğim kadarıyla- olanaksızdır. Oysa elektronik sistemlerde buna denk bir güvenlik sağlamanız bugünün olanaklarıyla mümkün değildir.

Buna karşılık, elektronik ağların ve sistemlerin yapısı, mesajların kolayca izlenmesini, kopyalanmasını, silinmesini veya değiştirilmesini mümkün kılıyor. Özel koruma önlemleri alınmadığında mesajların güvenliğini sağlamak mümkün olmadığı gibi, gerçekleşen tehditleri tespit etmek de çoğu zaman mümkün olmuyor.

- Araya girme ve Gizlice okuma

Mesajınız, Kullandığınız bilgisayardan alıcının bilgisayarına kadar, geçtiği yol üzerindeki her noktada durdurulabilir, kopyalanabilir, yönlendirilebilir, değiştirilebilir veya silinebilir.

Bilgisayarınıza yerleştirilecek küçük bir truva atı (trojan) yazdığınız her mesajın bir kopyasını alabilir, ağ üzerinde (veya bağlantı varsa internette) önceden belirlenmiş noktalara gönderebilir. Bir yandan bunu yaparken diğer yandan mesajınızı tamamen engelleyebilir, geciktirebilir, değiştirerek gönderebilir veya ilgisiz adreslere gönderebilir. Truva atları bir çeşit bilgisayar virüsleridir. Çoğu zaman, bilgisayarınızı çalışmaz hale getirmezler; bilgisayarınızdan aldıkları bilgileri istenmeyen kişilere ulaştırırlar. Truva atları sizin bilgisayarınızda çalışabildikleri gibi, alıcının bilgisayarında veya email sistemlerinin üzerindeki server bilgisayarlarda da çalışabilirler. Bu nedenle truva atlarından korunmak için mesajınızın geçtiği bilgisayarların koruma altında olması gerekir. Gelişmiş antivirüs programları düzenli olarak güncellenmeleri halinde truva atlarına karşı güvenlik sağlayabilmektedir.

Kurumsal email sistemleri, kurumun güvenliğini ve ticari çıkarlarını korumak için özel yöntemler kullanılarak izlenmektedir. Kurum içinden ya da dışından email sistemine yönelen tehditlerin tespiti ve giderilmesi için mesajlar veya mesajlar hakkında kısa bir bilgi kaydedilir veya ekrandan izlenir. Doğal olarak bu işlem gönderilen ve alınan mesajların kısmen veya tamamen okunmasına izin verir. Kurumların çoğunda bu duruma ilişkin yazılı bir güvenlik politikası olmadığı için okunan mesajların güvenliği tehdit altında kalır.

Yüksek gizlilik değeri olan bilgilere ulaşmak için doğrudan saldırılar da yapılabilir. Özel donanımlar ve yazılımlar kullanılarak, mesajların üzerinde dolaştığı ağlar izlenebilir. Bu ağlar üzerinde dolaşan mesajlar durdurulabilir, bozulabilir veya kaydedilebilir. Genel olarak sniffer adı verilen ağ izleme uygulamaları, internet te dahil bilinen her türden iletişim protokolü ile yapılan iletişimi izleme ve trafiği kaydetme işini yapabilir. Trafiğin kaydedilmesinden sonra iletişim protokollerinin standart oluşundan yararlanılarak trafiğin içeriği çözümlenebilir. Böylece email mesajlarına ve ağ üzerinde akan her tür bilgiye ulaşmak mümkün olabilir. Bu tehditten korunmanın bilinen en geçerli yolu ağ üzerinde özel şifreleme ve şifre çözme mekanizmalarının kullanılmasıdır. Ancak bu mekanizmalar da sonsuz güvenlik sağlayamazlar.

Email mesajları server sistemleri aracılığıyla iletilmektedir. Ağ üzerindeki server sistemleri veya kullanıcı bilgisayarları saldırganlarının tehdidi altında kalabilmektedir. Bu kişiler sistemlerin zayıf tarafları hakkındaki detaylı bilgileriyle, sistemlere kurumsal ağlar veya internet üzerinden hakim olabilmektedir. Kötü niyetli kişilerin server sistemlerine hakim olmaları halinde mesajları okuması, engellemesi, değiştirmesi gibi akla gelebilecek her tür saldırıyı gerçekleştirmesi mümkün olabilir.

Araya girme ve gizlice okuma sınıfında ele aldığımız tehditler amaçlı saldırılar olarak gerçekleşmektedir. Sistemlerin, kişilerin ve kullanılan yöntemlerin zaafları bu tehditlerin gerçekleşmesine izin verebilmektedir. Bu tehditlerden korunmak için her türlü donanım, yazılım, kullanıcı ve hizmetler dikkate alınarak ağ güvenliği planlanlaması yapılmalıdır. Güvenlik sağlamak için planlama ve kurulum işlemleri de yeterli olmayacaktır. Sistemlerin yapılandırılmış bir güvenlik politikası çerçevesinde izlenmesi, geliştirilmesi, kullanıcı ve sistem yöneticilerinin eğitilmesi, zaman zaman yapılacak bağımsız denetimler gibi sürekli bir ilgi gereklidir.

- Bozucu ve aksatıcı girişimler

Belirli bir içeriği okumak, değiştirmek veya kopyalamak, amacı gütmeyen; buna karşılık mesajları, mesaj trafiğini bozan, email sistemlerinin çalışmasını engelleyen girişimler yapılmaktadır.

Email’in düşük maliyetli, yüksek hızlı ve esnek bir iletişim yöntemi olması, reklam ve duyuru amaçlı kullanılmasını kolaylaştırmaktadır. Bir çok email adresini bir biçimde ele geçiren bazı kişiler reklam, duyuru ve taciz içeren mesajları ellerindeki bütün adreslere gönderirler. Bu işleme “spamming” veya “spam” denmektedir. Gönderici açısından bu mesajlar zarar vermeyi amaçlamamaktadır. Bu nedenle gönderici çoğunlukla email adresini gizlemez. Ancak, bu mesajlar alıcıyı rahatsız eder ve email sistemleri üzerinde aşırı yükler oluşturur. Öyle ki, spam uygulamalarına karşı korunmayan email sistemleri, asıl görevlerinin onlarca misli spam mesaj taşıyabilmektedir. Alıcının zaman kaybetmesine ve dikkatinin dağılmasına yol açan spam mesajlar email sistemlerinin durmasına ve kullanıcıların değerli mesajlarının kaybolmasına yol açabilmektedir. Yeni email programlarında ve server sistemlerinde spam mesajlara karşı önlem almak mümkündür.

Email sistemleri donanım ve yazılım özellikleri dolayısıyla belirli bir mesaj yükünü kaldırabilirler. Bu yükün aşılması halinde email sistemleri görevlerini yapamaz, hatta bozulabilirler. Bunu bilen kötü niyetli kişilerin bir email sistemini sürekli ve bozuk mesajlar göndererek taciz etmelerine “spoofing” veya mesaj bombardımanı denmektedir. Gönderici email sistemini durdurmayı veya bozmayı amaçlar. Gelişmiş email sistemlerinde belirli sayıda bozuk veya hatalı mesaj gönderen kaynaklar tespit edilip, bunlardan mesaj alımı ilk adımda durdurulabilmekte ve sistemin zarar görmesi önlenmektedir.

İnternet üzerinde çalışan email sistemleri temel yapıları ile kendilerine gelen her mesajı alıcı adresine yönlendirmek üzere tasarlanmıştır. Bu nedenle özel bir ayarlama yapılmadıkça gönderici adresine bakılmadan gelen bütün mesajlar alıcı adreslerine yönlendirilir (relay). Böylece bu email sistemlerinin gerçek kullanıcısı olmadan, bu sistemleri kullanarak başka mail sistemlerine mesaj göndermek mümkün olur. Spam mesaj gönderenler veya mesaj bombardımanı yapmak isteyenler özellikle kimliklerini gizlemek istiyorlarsa bu yöntemi kullanırlar. Gelen her mesajı alıcıya yönlendiren bir email sistemi bulup, spam veya spoof işlemlerini bu email sistemi üzerinden yaparlar. Doğal olarak spam ve spoof işlemleri email sistemi üzerinde aşırı yükler oluşturarak sistemin asıl görevini yapmasına engel olur. Bir çok durumda spam ve spoof için kullanılan sistemler çalışamaz hale gelir. Veya alıcı email sistemlerine erişimleri engellendiği için kullanıcıların geçerli mesajlarını da ulaştıramaz hale gelirler. Bu durumu önlemenin yolu email sistemini alıcı veya gönderici adresi kendisine ait olmayan mesajları reddedecek biçimde ayarlamaktır. Özellikle gönderici mesajlarının hangi kaynaklardan gelebileceğinin açıkça belirlenmesi email sisteminin “relay” için kullanılmasını önleyecektir.[/hide]