Internet`te Güvenlik Nedir?

Firewall, yerel bilgisayar ağına dışarıdan izinsiz ulaşımı durdururken, yerel ağdan Internet erişimine de tam denetim getirir, şirket içi istenmeyen Internet erişimlerini engeller.

Internet`te Güvenlik Nasıl Sağlanır?

Yerel Ağ ile Internet çıkışınız arasına yerleştirilecek Network Address Translation (NAT) özellikli yönlendiriciler sayesinde, sisteminizde çalışan bilgisayarlar ve iletişim verileriniz, Internet üzerinden ulaşılamayan bir IP segmentine yerleştirilir.
Uygulama katmanında tamamen saydam olarak çalışan NAT sistemleri, sadece bilgisayarlarından Internet erişimine olanak verir.

Bütün sistemlerin Internet çıkışı tek bir nokta üzerinden kontrol edilebilir. Bu şekilde firmada hangi bilgisayarların hangi Internet servislerinden yararlanacağı belirlenebilir.

NAT özellikli sistemler C Class IP kullanımından tasarruf sağlanarak, Internet ve yönlendirici maliyetleri de azaltılır.

Verisoft`un Sunduğu Güvenlik Hizmetleri

Verisoft, sunduğu güvenlik çözümleriyle firma içi yerel bilgisayar ağınız ile Internet arasındaki bilgi akışında tam denetim sağlar.

Verisoft, güvenlik uygulamaları pazarında da başarısını kanıtlamış bir şirkettir. IBM Secure Gateway Firewall`un Türkiye`deki ilk uygulaması yine Verisoft tarafından gerçekleştirilmiştir.

Diğer Güvenlik Hizmetleri

Bankacılık ve finans sektöründe bilgisayar sistemlerinin yaygınlaşması sonucunda bugün tüm işlemlerimiz iletişim ağları üzerinden çalışmaya başlamıştır. Bu sistemlerin yanı sıra telefon, faks ve internet mesajları informal bir şekilde finans sistemi içinde yerini alarak, daha geleneksel, formal bankacılık prosedürlerini kenara itmiştir. Bu informal geçiş birçok yasal sorunların çıkmasına, suistimal ve sahtekarlık ortamlarının oluşmasına temel teşkil etmektedir. Bu nedenle bilgisayar ve tüm iletişim sistemlerinde olması olası tehditlerin ayrıntılı olarak incelenmesi ve gerekli önlemlerin alınması gerekmektedir.

Bunun ötesinde, son deprem de yaşadığımız gibi diğer gelişmiş ülkeler gibi Türkiye de artık çeşitli kritik temel altyapılara geriye dönülmez şekilde bağımlı olmuştur. Elektrik, telefon, gaz, su, cep telefonu, yollar, limanlar, havaalanları ve bilgisayar ağları olmadan ülkemizin ekonomik faaliyetini sürdürmesi mümkün değildir.

Teknolojiye çok daha bağımlı olan ABD ise Başkan Clinton aynı konuya dikkati çekerek 1996 Temmuz  ayında bir kararname yayınlamıştır. ABD Kritik Altyapısının Korunması başlıklı bu kararname tüm devlet ve özel sektör kuruluşlarına sorumluluk yükleyerek iki yıl içinde tüm kritik altyapıyı güvence altına alacak ve sürekliliği sağlayacak önlemleri almak üzere görevlendirmiştir. Bu bağlamda her firma gerekli organizasyonları yaparak kendi güvenlik amirini seçecek ve bu kişi ABD hükümetine karşı sorumlu olarak kendi kuruluşuna ait altyapıyı güvence altına almak için gereken tüm hazırlıkları tamamlayacaktır. Bu süre içinde tamamlamayan kuruluşlara ABD hükümeti müdahale edebilecek ve yönetimine el koyabilecektir. Önümüzdeki yüzyılda açık savaşlar yerine kritik altyapıya yapılacak terörist saldırılar ve sabotajlar sonucu veya doğal afet veya kaza veya hatalar sonucu ciddi bir ekonomik darbe yememek için ABD ciddi önlemler almaya karar vermiştir. Bilgi için aşağıdaki web sitesini inceleyebilirsiniz, http://www.info-sec.com/pccip/web  . Konuyla ilgili iki orijinal metni EK-1 ve EK-2’de bulabilirsiniz.

Clinton Kararnamesinde belirlenen 8 kritik altyapıdan birisi de Bankacılık ve Finans Sistemleri Altyapısıdır. Bu konu ABD olduğu kadar ülkemizde de önemlidir. Her nekadar ülkemiz birçok konuda dünya standardlarının gerisinde de olsa bankacılık altyapısı ve sistemlerimiz oldukça ileri düzeye ulaşmıştır. Bu sistemler yoğun olarak bilgisayar ve iletişim sistemlerine bağımlıdır. Bu bağlamda enerji, ulaşım ve telekomünikasyon altyapıları ile yakından ilişkilidir.

Konuyla yakından ilgili diğer bir konu da INTERNET ve ELEKTRONİK TİCARET’tir. Bu konuyla ilgili birçok fikir, terim, sözcük ve kavram her geçen gün daha fazla önünüze gelmektedir. Doğal olarak bu konulardaki temel kavram, sorun ve çözümler konusunda bilgilenmeniz gerekmektedir.

Banka ve finans kuruluşu yöneticisi olarak siz de bu konularda bilgi sahibi olmak ve gerekli önlemlerin alınması konusunda karar verici olmak durumundasınız. Verisoft, bu nedenle Bankacılık ve Finans sistemlerinizi tehdit eden tehlikeler konusunda sizleri bilgilendirmek için bu dokümanı hazırlamıştır.
Önümüzdeki süreç içinde Bankanız, ya da Finans kuruluşunuzun belirtilen tehditlerle karşılaşması olasıdır ve bu nedenle gerekli kontrolleri yaptırmalı, önlemleri aldırmalısınız.

Verisoft elektronik ödeme sistemleri, kredi kartları, smartcard sistemleri, ATM ve POS cihazları, güvelik modülleri (HSM) ve kriptografi konusunda yazılım ve donanım geliştirmekte olan bir firmadır. Bu nedenle konuyla ilgili birçok unsuru yakından tanıma olanağına sahip olmuştur. Talep halinde bilgisayar ve iletişim güvenliği konusunda danışmanlık hizmetleri verebilir.

Bu dokümanda verilen bilgiler üst düzey yöneticiler ve uzman olmayan kişiler düşünülerek mümkün olduğunca basit olarak yazılmıştır. Konuların birçoğu anlatılandan çok daha karmaşık ve detaylıdır. Ancak konunun ana fikrini iletmek amacıyla detaylardan arındırılmıştır. Arzu edilen bölümler daha kesin teknik olarak sağlanabilir.

Konular küçük bölümler halinde ve belirli bir önem sırası belirtilmeden aktarılmıştır. Tüm konular önemlidir, bu nedenle sıralama nedeniyle bazı konuların daha önemli olduğunu düşünmeyiniz.

1- PASİF DİNLEME

Network’e gizlice bağlanan bir PC veya Laptop network üzerinde gidip, gelen data paketlerini izleyebilir, isterse bu bilgileri gizlice diskine kaydederek daha sonra analiz edebilir. Aynı tehdit firma içinde çalışmakta olan masum görünen bir eleman tarafından da kolaylıkla yapılabilir. Bu amaç için gereken bilgisayar programları kolaylıkla Internet üzerinde bulunan çeşitli sitelerden ücretsiz olarak temin edilebilir. Pasif Dinlemenin amacı firma içinde yapılan yazışma, haberleşme, mesajlar ve login password’lerini kolayca elde etmek içindir. Pasif dinlemenin tesbiti imkansıza yakındır. Pasif dinleyici sadece dinler, aradığı bilgileri elde etmeye çalışır ancak hiç bir mesaj göndermez.

2- AKTİF DİNLEME

Aktif dinleme yapan bir PC ise sadece mesajları dinlemekle kalmaz, kendisi de sisteme mesajlar göndermeye başlar. Bu mesajları öyle oluşturur ki, sistemdeki diğer unsurlar bu makinayı legal bir makina gibi görürler. Bu sayede aktif dinleyici yanıltıcı mesajlar göndermeye başlayabilir. Örneğin sahte e-mail’ler, talimatlar, havale, EFT bilgileri, v.s. Eğer sistem TELNET gibi bir protokol ile login yapılarak çalışıyorsa, önce pasif dinleme ile hedeflediği kullanıcıların password’lerini elde eder. Daha sonra uygun bir zamanda bu kullanıcılar gibi login yaparak, örneğin muhasebe programına girerek, istediği işlemleri yapabilir. Bunun sonucu olarak suçlanabilecek tek kişi password’ünü çaldığı kullanıcı olacaktır.

3- ARAYA GiRME YÖNTEMi

Bu yöntemde saldırgan sistemdeki PC’lerden birisinin network bağlantısını keserek kendi sistemine bağlar, sistemindeki ikinci bir network bağlantısından ana network’e bağlanır. Öncelikle hattı kesilen PC’nin gönderdiği ve aldığı tüm mesajları aynen yönlendirmeye başlar. Bu sayede PC kullanıcısı sistemle bağının koptuğunu hiçbir şekilde anlayamaz. Saldırgan yeterli sayıda dinleme yapıp, veri topladıktan sonra aktif duruma geçer. Örneğin PC’nin gönderdiği bir havale talimatındaki alıcının hesap numarasını ve miktarını değiştirebilir. Bu işlemleri gerçek zamanda ve yüksek hızda yapabildiği için tüm işlemler anında gibi olacağından, sistem logları, kameralar, v.s. saldırıya uğrayan kişiyi masanın başında, sistemi kullanırken belgeliyeceği için kendisini temize çıkarmayacaktır.

4- KESİNTİYE UĞRATMA

Bu yöntemde saldırgan sistemin network bağlantısını keserek çalışmayı engelleyecektir. Amaç sistemin sekteye uğratılarak mesajların gönderilmesini engelleyerek belirli menfaatler elde etme veya kurumu hizmet yapamaz duruma getirerek zarara uğratmaktır. Sabotaj veya kaza sonucu bu durum oluşabilir. Basit bir kablo kesintisiyle olabileceği gibi zor temin edilebilir bir network kartı, hub veya router gibi bir sistem ünitesini tahrip ederek sistemin yeniden devreye girebilmesi zora sokulabilir.

5- FABRİKASYON

Bu yöntemde saldırgan sistemin network bağlantısını keserek bağlantıyı kendi bilgisayarına yönlendirmek suretiyle sanki normal bilgisayarlardan gönderilmiş gibi tamamen fabrikasyon mesajlar göndermeye başlayacak ve karşı tarafa gönderilen mesajları alarak, gerçekten alınmış gibi onaylayacaktır. Karşı taraf mesajın sahibi tarafından alındığı düşünülecektir.

6 - İNKAR

Bilgisayar temelli bankacılık sistemlerin önemli zaafiyetlerinden birisi de inkar olasılığıdır. Bunun anlamı müşteri veya kullanıcılardan birisinin yaptığı işlemi inkar etmesidir. Örneğin, “ABC firmasına XYZ miktar ödeme yapın emrini vermedim” demesidir. Diğer bir inkarda alıcının mesajı aldığını inkar etmesidir, örneğin, “RTY firmasından 1000 lot ZXT hissesini 5000 liradan al emrini almadım” demesidir. Sistemlerin bu şekilde inkara müsait olması bankayı hukuki davalarla sıkıntıya sokabilecek bir durumdur.

Diğer bir inkar senaryosunu şu şekilde oluşturabiliriz. ATM sistemi, BANKACILIK sisteminden 53636363122737 numaralı kartın hesabın 100.000.000 TL çekmek için provizyon talebi yapar. Bankacılık sistemi daha sonra prvizyonu verir ve ATM sistemi ödemeyi yapar. Daha sonra yapılan itirazlar sonucu fazla ödeme yapıldığı iddia edilir. Yapılan soruşturmalar sırasında ATM sistemi provizyonu aldığını iddia etmektedir, BANKACILIK sistemi ise bu provizyonu inkar etmektedir.

7 ANA BİLGİSAYARA SIZMA

Network’e bir şekilde bağlanan bir saldırgan belirli bir süre pasif olarak dinleme yaptıktan sonra sisteminin zaafiyetleri kolaylıkla anlayabilir. Bu bağlamda klasik güvenlik delikleri vardır. Örneğin TELNET, NFS, POP3, SMTP, FTP, v.s. gibi servislerin çalıştırılmaları son derece tehlikelidir. Bu servislerden en tehlikelileri TELNET ve NFS’dir. Saldırgan bu sistemlerin şifrelerini çok kolaylıkla elde edebilir ve kolayca ana bilgisayara bağlanır. Ana bilgisayara bağlandıktan sonra veya önce networkü dinleyerek ROOT password şifresini sistem operatörlerinden birisinin makinası üzerinden kolaylıkla elde edebilir. Bu şifreyi kullanarak öncelikle sistemin gizli ve yarı gizli password dosyalarını alır. Bu dosyaları hızla analiz ederek, kısa bir süre içinde kullanıcı şifrelerin büyük bir bölümünü çözebilir. Bu yetkiye dayanarak sistemin loglarında oynayabilir, kendisine üstün yetkilere sahip yeni hesaplar açabilir, sistemde yeni servisler çalıştırarak, arka plana çekilir. Yeni servisler tamamen şifreli işlem yaparak network üzerinden anlaşılmadan hizmet verilmesine olanak sağlar. Ana bilgisayara hakim olan kullanıcının ORACLE, INFORMIX, v.s. gibi SQL serverlara hakim olması son derece basit bir işlemdir. ( şifreler TELNET bağlantısı yapan kullanıcıların network üzerinden yaptığı iletişim dinlenerek elde edilebilir ). SQL komutları verebilen bir kullanıcı da verileri istediği gibi değiştirebilir, istediği hesaba istediği kadar para ekleyebilir, v.s., v.s.  Bundan da vahimi bu bilgisayardan başka bilgisayarlara internet üzerinden saldırı başlatabilir. Bu bağlamda karşı taraf saldırının sizin bilgisayarınızdan yapıldığı kanısına varacaktır ve bu nedenle yasal kovuşturmaya uğrayabilirsiniz.

8 KULLANICI BİLGİSAYARLARINA SIZMA

Saldırgan aynı şekilde birçok kullanıcının bilgisayarına sızabilir. Örneğin, kullanıcıların email’lerini okuyarak çok güvenilen ve sevilen arkadaşlarının listesini oluşturur. Daha sonra aynı arkadaşların dilinde ve zamanlamasında sahte bir email mesajı gönderir. Ekinde çok ilginç bir ekran koruma programı vardır (screensaver). Bu masum görünüşlü program program ekrana hergün komik fıkralar ve güzel resimler getirmektedir, ve sistemde de hiç bir şeyi silmemekte ve yavaşlatmamaktadır, ama arka planda bilgisayar tamamen saldırganın kontrolüne girmiştir, klavyeden yazılan, ekrana gelen herşey saldırganın makinasına da bildirilmektedir. Bunun da ötesinde saldırgan girdiği cihazın tüm disket, hard disk, CD, teyp, iletişim hatları, v.s. gibi tüm unsurlarını kontrol altına alabilecektir. Hatta bilgisayar üzerinde bir ses kartı ve mikrofon var ise bunun yardımıyla bilgisayarın bulunduğu odayı dinleyebilecektir. Ses kartı olmasa bile, tüm bilgisayarlarda bir hoparlör vardır ve tüm hoparlörler istenirse mikrofon görevi yapabilir.

9- MODEM HATLARININ DİNLENEBİLMESİ

Dial-up ve leased line modem hatları asenkron veya senkron formatta Modem Line Tap denilen cihazlarla çok kolaylıkla farkedilmeden dinlenebilir ve tüm veriler kaydedilebilir. Bu metodla bir POS cihazı veya ATM ile merkez arasında yapılan tüm haberleşme incelenebilir. Örneğin binlerce kartın tüm TRACK2 manyetik şerit bilgileri aynen kopyalanabilir. Modem hatlarının dinlenemeyeceğini, dinlense bile anlaşılamayacağını düşünmek büyük bir yanılgıdır.

10- E-MAİLLERİN OKUNMASI

Internet üzerinden ve banka içinde (intranet) gönderilen tüm e-mailler kolaylIıkla, sistematik ve otomatik olarak iz bırakmadan okunabilir ve kesinlikle belirli organizasyonlar tarafından sürekli okunmakta ve denetlenmektedir. Bu nedenle hiç bir özel veya ticari sır, finansal bilgiler, teklif veya fiyat listeleri asla açık e-mail ile gönderilmemelidir. Bu bilgilerin başkalarının eline geçeceğine kesin gözüyle bakmalısınız. Tek çözüm strong crypto içeren e-mail sistemleridir

11- FAKS MESAJLARININ OKUNMASI VE SAHTE FAKS MESAJLARI

Tüm yurtiçi ve uluslarası faks trafiği çeşitli unsurlar tarafından dinlenebilir ve sistematik olarak dinlenmekte ve analiz edilmektedir. Bu nedenle hiç bir özel veya ticari sır, finansal bilgiler, teklif veya fiyat listeleri asla açık faks ile gönderilmemelidir. Tek çözüm strong crypto içeren faks sistemleridir. Dinlenmenin yanı sıra faks mesajları kolaylıkla yarı yolda alıkonup, üzerlerinde değişiklik yapılıp, karşı tarafa tamamen farklı bir şekilde iletilebilir. Örneğin, bir şirketin belirli bir firma yada kişiye yapılması istenen  faks ile gönderilmiş olan olduğu talimat tamamen sahte olabilir. Hukuki bir durumda firma kolaylıkla talimatın sahte olabileceğini teknik olarak kanıtlayabilir.

12- FİRMA SIRLARININ VE BİLGİLERİNİN DIŞARIYA TRANSFERİ

Hemen her kullanıcısı artık Internet’e bağlı olan firma çalışanları firmanıza ait ticari sır ve bilgileri kolaylıkla ülke içinde veya dışındaki bir kaynağa hiçbir şekilde anlaşılmadan ve farkettirmeden gönderebilir. Yeni projeleriniz, müşteri listeleriniz, istihbarat raporlarınız kolaylıkla rakipleriniz veya basının eline geçebilir.

13- FİRMA BİLİŞİM KAYNAKLARININ ÖZEL AMAÇLAR İÇİN KULLANIMI

Firmanız bilişim hizmetleri için kurmuş olduğunuz ağlar ve bilgisayar sistemleri belirli kişilerin özel ve gizli amaçları için kullanılabilir. Örneğin çok güçlü bilgisayarlarınızın mesai saatleri dışında boş kaldıkları zamanlarda çeşitli şifre kırma programları çalıştırılarak normal PC’lerin gücünü aşan işlemler firmanız bilgisayarları tarafından icra edilebilir. Diğer bir örnek olarak parlak bir yeni mezunun yarattığı firmanın logosunu 3 boyutlu olarak ekranda döndürüp duran bir screen saver programı firmanın 3000 PC’sine yüklenerek, bu PC’lerin boş anlarında (idle) kendilerine network üzerinden dağıtılan bir ev ödevini çözüyor olabilirler. Bu ev ödevi de ABC bankasının, BKM sistemine bağlanırken kullandığı şifre anahtarlarını bulmak olabilir. 3000 Pentium PC boş zamanlarında çalışarak büyük bir olasılıkla birkaç hafta sonra, en kötüsü birkaç ay sonra sonuca ulaşarak istenen bilgiyi network’te gizli bir noktaya iletebilir. Bunun sonucu kırılan bankanın ATM ve POS’larından yapılan tüm TRACK 2 bilgi ve müşteri şifrelerinin elde edilmesi anlamına gelecektir.

14- DAHİLİ TELEFONLARIN DİNLENMESİ

Tüm modern digital telefon santrallerinde istenilen her telefon farkedilmeden dinlenilebilir ve kaydedilebilir. Hassas ve gizli konular asla dahili telefonlarda konuşulmamalıdır.

17- NORMAL PTT HATLARININ DİNLENMESİ

Tüm kamuya açık telefon santrallerinde istenilen her telefon farkedilmeden dinlenilebilir ve kaydedilebilir. Bunun da ötesinde sistematik ve otomatk olarak dinlenmektedir. Sistemler belirli anahtar kelimeleri hisseder hissetmez hemen dinleme ve kayıt konumuna geçmektedir. Bunun yanı sıra random olarak dinlemeler yapılmaktadır. Anahtar konumda olan tüm telefonların sürekli olarak dinlenmekte olduğu varsayılabilir. Hassas ve gizli konular asla kamuya açık telefonlarda konuşulmamalıdır

16- GSM TELEFONLARININ DİNLENMESİ

Tüm GSM telefon şebekeleri santrallerinde veya havadan dinlenebilir ve kaydedilebilir. GSM sistemleri A5 denilen bir şifreleme yöntemi kullanmaktadır. A5 zayıf bir kripto sistemdir ve özellikle batılı ülkelerin güvenlik kuruluşlarınca zayıf tutulmuştur. Hatların şifreli ve dinlenemez olduğu sadece kamuoyunu kandırmak içindir. Tabii ki basit bir scanner ile normal bir kişi iletişimi anlayamaz ama herhangi bir gelişmiş güvenlik örgütü rahatlıkla iletişimi dinleyebilir. Bunun da ötesinde sistematik ve otomatik olarak GSM devreleri dinlenmektedir. GSM sistemi hücresel yapısı nedeniyle sürekli olarak bulunduğunuz noktayı merkeze sürekli bildirmektedir. GSM kapsama alanında yerinizin tesbiti sadece birkaç saniye alacaktır. Gezdiğiniz, dolaştığınız, bulunduğunuz yerler sürekli olarak loglanmaktadır. Hassas ve
19- MANYETİK ŞERİT SAHTEKARLIĞI
Bankalar kendi kartlarının manyetik şeritlerinin kopyalanması veya kendi POS’lerinde bu şekilde kopyalanmış kartların kullanılabilmesi olasılığı nedeniyle iki açıdan tehdit altındadır. Manyetik şerit çok kolaylıkla okunabilir ve kopyalanabilir. “Skimming” denilen bu yöntemde kart hamiline farkettirmeden kart bir cihazdan geçirilerek TRACK 1 ve TRACK 2 bilgileri kopyalanarak, kaydedilir. Daha sonra bu bilgiler başka bir kartın arkasına veya boş bir karta aktarılır. Bu şekilde oluşturulan kartlarla yapılan ve bankadan provizyon temin edilen kart işlemleri için “hiç bir itiraz (chargeback) hakkı yoktur !”. İmzalar tutmuyor, kimlik kontrolü yapılmamış, v.s. gibi gerekçeler kabul edilmez.

Manyetik şeridi koruyan tek güvenlik önlemi CVV kodudur, bu sayede kart numarasının tamamen uydurma olarak üretilmesi engellenir. CVV şifre anahtarlarını bilmeyen birinin bu kodu şansına tahmin etmesi olasılığı 1000 : 1 ‘dir. Aynı şekilde geçerlilik tarihi ve de orijinal PVV kodunu da üretmesi düşünüldüğünde bu oran çok düşüktür. Ancak skimming yönteminde tamamen gerçek ve geçerli bir kart, CVV ve PVV kodları da dahil olmak üzere aynen kopyalandığı için hiç bir kurtuluş çaresi yoktur. Tek çözüm smartcard’lara geçiş yapmaktır
18- YAZILIMLARA ÇAKILMIŞ ŞİFRE ANAHTARLARI
Şifreleme yazılım ile asla güvenli çalışamaz. Şifrelemenin güvencesi algoritma değil, şifre anahtarlarının gizliliğidir. Akıllı ve tedbirli bazı programcılar software şifreleme kullansalar bile bu şifreleri bilgisayar üzerinde özel şifre cümleleri (pass phrase) ile şifreleyerek gizlerler. Buna karşın birçok bankada şifre anahtarlarının tamamen açık ve birleştirilmiş olarak programların içine çakılmış olduğu gözlemlenmiştir. Bu durum son derece tehlikeli ve mahsurludur. Derhal yeni anahtarlar istenmeli, HSM kullanımına geçilmeli, eski anahtarlarla oluşturulmuş PIN numaraları imha edilmeli ve sistem PIN’li işlemlere kapatılmalı, yeni PIN’ler üretilerek kart hamillerine postalanmalıdır ve bundan sonra PIN’li işlemlere sistem yeniden açılmalıdır.

19- SOFTWARE OLARAK ÇALIŞAN ŞİFRELEME YAZILIMLARI

Bazı programcıların aynı algoritmaları uygulayarak yazdıkları şifreleme modülleri olabilir ve HSM yerine işlemleri bununla yapılmasını savunabilirler. Bu kesinlikle ve tümüyle yanlış bir uygulamadır. Bankanızda asla böyle bir uygulamaya izin vermemeniz gerekir.
Bunu engellemek için VISA ana şifre anahtarlarını üç bölüm halinde, üç üst düzey yönetici tarafından HSM’e girmek için ayrı gizli zarflarla göndermektedir. Esas anahtar sadece HSM içinde oluşmalı, gönderilen zarflar daha sonra ya imha edilmeli, yada mühürlenerek üç ayrı lokasyonda kasalarda saklanmalıdır.
Yazılım olarak bu işlemlere izin verdiğiniz saniyede tüm şifre anahtarına programcının sahip olmasına izin vermiş oluyorsunuz. Bu bankanızın anahtarını vermeye eşdeğerdir. Bunu  verdiğiniz kişi çok güvenilir bile olsa bu bilginin bilgisayarınızın bellek veya diskinden çalınmayacağını garanti edemezsiniz. Hatta bunun çok kolaylıkla elde edilebileceğini söyleyebiliriz.

20- BİZİM EKİBİN GELİŞTİRDİĞİ ÖZEL VE SÜPER GİZLİ ŞİFRELEME YÖNTEMİ

Zaman, zaman firmalar kendi ekiplerinin geliştirdiği, süper akıllı ve gizli bir şifreleme yöntemi kullandıklarını iddia edebilirler. Böyle bir şeyin olabilmesi olasılığı çok zayıftır, kesin olarak böyle bir iddiayı kabul etmemelisiniz. Sadece dünyada genel kabul görmüş ve sınırları bilinen açık yöntemlerin doğru uygulamaları kabul edilebilir. Bunları da herkes ayırdedemez, muhakkak eksper bir güvenlik danışmanına başvurmanız gerekir.

21- KRİPTOGRAFİ

Tehdit altında olan veri güvenliğine yardımcıı olacak en güçlü araç kriptoğrafi (şifreleme teknikleri) olacaktır. Kriptoğrafi bilgilerin gizlenmesi için uygulanan teknikleri kullanan bilim dalıdır. Derin olarak matematik ile ilişkilidir. İlk kripto tekniklerini Sezar’ın kullandığı iddia edilir. Sezar, gizli bir mesaj göndermek için harfleri belirli bir sayıda ileri veya geri alarak mesajlarını gizlemeyi başarmıştır. Örneğin A yerine D, B yerine E gibi. Böylece EDED diye gördüğümüz mesaj aslında BABA anlamına gelir. Doğal olarak bu çok basit bir şifreleme tekniğidir. Yerine Koyma (substitution) yöntemi olarak bilinir.
Bu yöntemin biraz daha karışığı harfleri belirli bir kaydırma yerine karmaşık olarak eşleştirerek yapılır. Örneğin, A yerine X, B yerine G gibi, yani BABA kelimesi GXGX’e dönüşecektir. Önceki yöntemde bir harfi çözdüğümüzde tüm şifreyi çözerken, bu yöntem için biraz daha fazla uğraşmamız gerekecektir ama yine de çok kolay kırılır. Bu yönteme Tek Alfabe Yerine Koyma yöntemi denir ( Mono alphabetic Substitution ) Tekniklerimizi biraz daha geliştirdiğimizde Çoklu Alfabe Yerine Koyma yöntemine erişiriz. Bunu şöyle düşünebiliriz, yerine koyma listeleri birden çok olabilir, örneğin 10 tane diyelim. Harfin sırasına göre farklı listeyi seçeriz.

Örneğin şöyle bir tablo yaparsak:

ABCDEFGHIJKLMNOPQRSTUVWXYZ
1: NOPQRSDEXYZFGHIJKLMTABCUVW
2: DEXHIJKYZFTABCUVWGNOPQRSLM
3: DEXYZNOPQRSFGTABCHIJKLMUVW
4: LVMUZNAIJKWOPQBCHRSFGTDEXY

BABA mesajımız ODEL haline dönüşecektir, B ve A harfleri tekrar bile etse her seferinde farklı harflere karşılık gelecektir.
Görüldüğü gibi yöntemler bu şekilde gittikçe geliştirilebilir, şifrenin kırılması zorlaşır. Uyguladığımız yönteme şifreleme algoritması denir, yukarıda oluşturduğumuz tablolar ise şifre anahtarıdır.Bununda ötesinde kullanıcının kendi özel anahtarını vermesi sağlanabilir, örneğin 7349 diyelim.Bu durumda bu sayılar yukarıdaki tablolarda belirtilen sayıda bir kayma sağlayabilir. Örneğin
klasik BABA mesajımız B harfinden birinci tablo da 7 harf kayarak X, A harfi ikide 2 harf kayarak H,üçüncü de 4 harf kayarak N, dördüncü de 9 harf kayarak K, yani XHNK olacaktır.Karşı tarafın mesajı çözebilmesi için hem tablolara, hem de şifre sayısına gereksinimi olacaktır.Bu örnekler öğretici olması için verilmiştir, her nekadar ilginç, güzel ve sağlam gibi gözükse de bu gibi şifrelerin kolaylıkla kırılabileceğini bilmeniz gerekir
Bu yöntemin biraz daha gelişmişi olan ENİGMA şifresi ikinci dünya savaşı sırasında Almanlar tarafından efektif olarak kullanılmıştır. Yerine koyma işlemleri, dişliler ve elektrik kontaktları ile yapılmış. Almanlar gemilerine, denizaltılarına ve birliklerine mesajları ENİGMA ile göndermişler. Savaşın sonuna doğru ENİGMA İngilizler tarafından çözülmüş ve bundan habersiz Almanlar büyük bir darbe yemiştir.
UNIX sistemlerinden birçoğunda hala ENIİGMA temel alınarak yapılmış CRYPT fonksiyonu ile kullanıcı şifreleri üretilmektedir. Bu şifreler kolaylıkla kırılabilir.
Zaman içinde bu tür yerine koyma ve karıştırma şifreleri gelişmiş ve bugün bile kullanılan standard şifre sistemlerinin temelini oluşturmuştur. DES böyle bir şifre sistemidir.

22- DES

1960’ların sonunda IBM’de çalışan bir araştırmacı olan Horst Feistel başkanlığındaki bir grup LUCIFER adı verilen bir şifreleme sistemi geliştirmiştir. 1973 yılında ABD standardlar enstitüsü NIST sivil kullanım için bir standard saptamak için firmaları davet etti. Yapılan incelemeler sonucu amaca en yakın çözüm LUCFIFER bulundu. 128 bitlik bir şifre anahtarına sahip LUCIFER üzerinde çalışan ABD güvenlik tekilatı (NSA) uzmanları bazı düzenlemeler yaptılar ve anahtar uzunluğunu 56 bit’e indirdiler. Bu yeni algoritma 1977 yılında DES: Data Encryption Standard olarak yayınlandı ve kısa bir süre içinde başta finans endüstrisi olmak üzere birçok alanda de facto standard halinde kullanıma alındı.
DES klasik şifreleme sistemleri içinde efsanevi bir yere sahiptir ve bugün bile VISA, MASTERCARD, BKM, v.s. tüm kart sistemlerinin şifreleme omurgasını oluşturmaktadır. DES karıştırma, yerine koyma işlemlerini son derece dikkatli ve sistematik olarak yapacak şekilde tasarlanmıştır. Bunun yanı sıra en küçük değişikliğin, çok büyük farklar yarattığı çığ etkisi (avalanche effect) bulunmaktadır. Yani tek bir bitlik bir değişiklik bile sonucu tamamen değiştirmekte ve değişiklikler önceden tahmin edilememektedir.
NSA incelemeleri sırasında bu yerleştirme tablolarını kendisine göre değiştirmiştir (s-box) ve neden, nasıl yaptığını açıklamamaktadır. Ancak anlaşılan IBM araştırmacıların bilmeden NSA tarafından uzun zamandır bilinen bazı sırları keşfetmiş olmalarıdır. NSA bu değişiklikleri, DES’in gücünü artırmak için yapılmış optimum sayılar şeklinde açıklamaktadır. Bir firmanın kendine özel bir DES yaratmak için bu sayıları kendine göre rasgele düzenlemesi tavsiye edilmemekte ve büyük bir olasılıkla şifrenin zayfflayabileceği belirtilmektedir.
Bu düzenlemeler nedeniyle kripto dünyasında yoğun eleştiri ve kuşkular doğmuş, NSA’ın DES içine gizli kapılar yerleştirdiği iddia edilmiştir. Diğer bir eleştiri de anahtar uzunluğunun 128 bit yerine
56 bit uzunluğa indirilmesidir. Bunun nedeni olarakda NSA bilgi işlem gücünün 56 bit şifreleri kırabilecek olması gösterilmiştir.
Buna karşın NSA, 56 bit uzunluğun kolay hardware DES tasarımına olanak sağlamak için yapıldığını belirtmiştir. Bunun da ötesinde bir süre sonra NSA bir yanlış anlama sonucu DES standardının kamuya açıklandığını, oysa onların bunu sadece hardware olarak uygulanacak bir sistem olarak düşündüklerini, bunu güçlendirmeye ve optimize etmeye çalıştıklarını, ancak açık olarak yayınlanan DES standardının yayınlanmasının ardında normal ticari kullanıma vermek istediklerinden güçlü bir şifreleme yönteminin piyasa çıkmasından rahatsızlık duyduklarını belirtmişlerdir.
Şifre sistemlerinin güvenliğini şifre anahtarlığının uzunluğu belirlemektedir. Genel olarak belirli bir yönteme de 10 yıl ömür biçilmektedir. DES 1999 yılı itibariyle 22 yaşındadır ve ömrü birkaç uzatılmıştır. Artık yeteri derecede güvenli değildir. Birçok batı ülkesinin güvenlik servislerinin bilgi işlem kapasitesi DES şifrelerini birkaç dakika içinde kırabilecek düzeye gelmiştir. Bunun da ötesinde amatör şifre kırıcılar aranacak anahtar dilimini onbinlerce PC’ye bölerek Internet üzerinden dağıtmakta ve aynı anda onbinlerce PC çalışarak birkaç gün sonra sonuca erişebilmektedir. Bakılacak şifre adedi 2⁵⁶ adettir. Bu bir PC için çok büyük bir görevdir ama onbinlerce PC veya çok güçlü bilgisayarlar aranan bilgiyi fizibl bir sürede bulabilirler.

DES algoritması GİZLİ ANAHTAR yöntemini kullanan SİMETRİK bir kriptodur. Yani her iki tarafta aynı anahtarları bilmek zorundadır. BKM + 40 BANKA veya VISA + Binlerce Banka için zorda olsa uygulanabilir bir sistemdir. Ama anahtarları gizlemenin ve dağıtmanın zorluğu uygulamayı kısıtlamaktadır.

Aynı anahtar hem şifrelemeye, hem de çözmeye yarar yani şifreleyen algoritmaya şifreli bilgi verilip aynı anahtar kullanılarak algoritma tersten işletildiğinde şifre çözülür.

3DES

veya Triple DES, standard DES’in 112 veya 168 bitlik iki veya üç anahtar ile ardarda çalıştırılması ile oluşturulan bir şifreleme tekniğidir. Anahtar alanı 2¹¹² veya 2¹⁶⁸ sayısına ulaşınca bugün için veya tahmin edilebilir bir gelecekte çözülmesi mümkün olmayan bir kod olmaktadır.
Buna “strong crypto” denilir, en güçlü teknik güç olan ABD’nin bile çözmesi mümkün değildir.

Bu nedenle kullanımı ve yayılması sınırlanmak istenmektedir. ABD ve birçok batı ülkesi 40 bit’ten daha güçlü kripto sistemlerin ihracını kısıtlamaktadır. 40 bit, birkaç saniyede ABD güvenlik kurumu NSA tarafından çözülebilmektedir ve böylece “real-time” dinlemeyi olanaklı kılmaktadır. 56-bit bile bugün için belirli bir süre gerektirmektedir. Şüphesiz anında çözebilecek güçte bazı sistemler vardır ama sayısı sınırlıdır ve maliyeti yüksektir. Bu nedenle bu gücün ciddi işlere tahsis edilebilmesi için 40 bit üzeri şifreler kısıtlanmaktadır.Türkiye’de bankalara verildiği söylenen 128 bit gücündeki sistemler, sözde SET ile çalışan siteler, v.s. hepsi bir aldatmacadır. Bu sistemlerdeki tüm şifrelerin anası firmalar tarafından NSA’ye teslim edilmektedir. NSA istediği bankanın bilgisayarına girerek kendi şifresiyle istediği şifre anahtarını çekebilmektedir. Başka türlü bir firmanın ABD’den ihracat izni alması mümkün değildir.

Türkiye’de 128-bit şifreleme ile çalıştığını iddia eden veya SET olduğunu öne süren tüm siteler 40-bit SSL ile çalışmaktadır, yapılan iddialar tümüyle gerçek dışı veya sanaldır. Bunu ilgili siteye bağlandığınızda çıkan kapalı anahtar üzerine tıklayarak görebilirsiniz. 128-bit görünen siteler ise sanki 128 bitmiş gibi gözüken ama aslında anahtar sahalarının belirli bölümü ABD tarafından bilinen veya tümü arkadan dolaşılarak öğrenilebilen sitelerdir.
23- RSA

Yukarıda anlattığımız DES algoritması aynı gizli anahtarı paylaşan iki unsurun şifreli iletişimi sağlayan bir yöntemdir. Ancak iletişim kurulan kişiler artınca anahtar yaratılması ve dağıtımı problem olmaya başlar. Örneğin bankanızın 100.000 mudisi ile DES kullanarak şifreli işlem yapmaya karar verdiğini düşünelim, bu durumda her biri 100 key saklayabilen 1000 tane HSM gerekli olacaktır, bunun ötesinde kullanıcılara anahtarlar nasıl dağıtılacaktır, onlar nasıl saklayacaklar, v.s. ve proje içinden çıkması olanaksız bir hal alacaktır.
1974 yılında Diffie-Helman tarafından bulunan Kamuya Açık Anahtarlı kripto yöntemini kullanan (public key cryptography) Rivest-Shamir-Adleman, RSA adını verdikleri bir algoritmayla devrim yarattılar. Görünüşte son derece basit matematiksel ilişkilerle çalışan bu yöntem de iki ayrı anahtar bulunmaktadır. Anahtarlardan birisi kamuya açık, birisi de gizlidir. Herkes açık anahtarını yayınlar ve kendisine şifreli bir mesaj göndermek isteyen birisi bu anahtarı kullanarak mesajı şifreler ve gönderir. Ancak mesajı sadece gizli anahtar kimde ise o çözebilir. Gizli anahtar da sadece sahibin de bulunur. Böylece, herkes çözüm için gerekli anahtarı bilmeden, güçlü bir şifreyle mesajları gizleyebilir.

Konunun güzelliğini şöyle anlatabiliriz. Daha önce hiç karşılaşmamış, birbirini tanımayan kişiler bile birbirlerine gizli mesajlar gönderebilir. Örneğin Internet’ten alışveriş yapan birisi, kendisini hiçbir şekilde tanımayan bir web sitesine giderek, sitenin kamuya açık anahtarını alır, kart numarasını bu anahtarla şifrelereyek gönderir. Şifreli bilgiyi gönderen dahil hiç kimse çözemez, sadece web sitesinde bulunan gizli anahtarla gelen kart numarasını web sitesi çözebilir. Böylece kart hamili kart numarasının başkası tarafından okunmayacağından emin olacaktır. Ama, acaba Web sitesi gerçekten dürüst bir satıcı mı, yoksa sahte bir site mi ?  Bundan emin olamayacaktır, ancak bunun da çözümü SERTİFİKA yöntemiyle sağlanmaktadır. Bu yöntem daha sonra anlatılacaktır.

RSA yöntemini anlamak için küçük bir örnek faydalı olacaktır :        
Şifreleme formülü,               
C = M^e MOD n
Çözme formülü      M = C^d MOD n
buradaki MOD işlevi bir bölme işlemi sonunda kalan anlamına gelir. Örneğin 5/2 işlemi Bölme = 2, Kalan 1’dir. Yani, 5 = 4 + 1 = 2 x 2 + 1  şeklinde ifade edildiğinde tam bölünemediği için son bölünebilen miktar 2, artan ya da kalan 1’dir. Örneğin          C     = 12³ MOD 17 = 1728 MOD 17=  ( 101 x 17 +  11 ) MOD 17=  ( 1717 + 11 ) MOD 17  = 11

RSA, algoritması şöyle çalışır. Önce iki adet asal sayı p ve q bulunur. Gerçek uygulamada bu sayıların çok büyük olması, örneğin 100 ila 200 hane olması gerekir. Basit örneğimizde ise p=7, q=19 olursa
p = 11
q = 17
n = p q = 11 x 17= 187
m = (p-1)(q-1)
0 x 16
160 bu aşama da uygun bir şifreleme anahtarı e seçmemiz gerekir. Bu herhangi bir asal sayı ( 3,7,11,..43...vs ) olabilir. Tek dikkat etmeniz gereken m sayısına görece asal olmalıdır.Yani e sayısı m sayısının bir çarpanı olmamalıdır. Örneğin 5 olamaz, çünkü 5 . 32 = 160’dır..Ama 3 olabilir, 160, 3’e tam bölünemez.Böylece, e = 3, sayısını bulduktan sonra çözüm anahtarı d şu formülle bulunur.d = 1/e mod m = 1/3 mod 160= 107 Bu aşamada artık p ve q sayılarını yok edebiliriz.Kamuya şifreleme anahtarımızı e,n olarak açıklarız. Açık Anahtarımız = { 3, 187 ) Gizli anahtarımız ise d = 107 gizlenir ve kimseye söylenmez.

Şimdi süper web sitemizde kredi kartlarını kabul etmeye hazırız, ve ilk müşterimiz kart numarasını ( 4123 4569 7890 1236 ) şu şekilde şifreler:
C = 41³ mod 187|23³ mod 187|45³ mod 187|69³ mod 187|78³ mod 187|90³ mod 187|12³ mod 187|36³ mod 187=105 | 12 | 56 | 377 | 133 | 74 | 45 | 93 ve bize 105:012:056:377:133:074:045:093 olarak kart numarasını gönderir.Gördüğünüz gibi 4123456978901236 numaralı kartımız 105012056377133074045093 olmuştur.

Süper web sitemiz, süper gizli 107 şifre anahtarını çıkarır ve gelen kart numarasını çözer. M = 105¹⁰⁷ mod 187|12¹⁰⁷ mod 187|56¹⁰⁷ mod 187|377¹⁰⁷ mod 187|133¹⁰⁷ mod 187|74¹⁰⁷ mod 187|45¹⁰⁷ mod 187|93¹⁰⁷ mod 187 = 41 | 23 | 45 | 69 | 78 | 90 | 12 | 36 Tabii buna inanmanız için önce 105¹⁰⁷ sayısını hesaplayabilmeniz ve bu sayıyı 187’ye bölerek kalanını bulabilmeniz gerekir. Bunu yaptığınızda yukarıdaki dönüşümün gerçekleştiğini göreceksiniz.

Bu örnek çok basit bir örnektir, gerçek hayatta ise p ve q sayılarının 100 haneden fazla, n sayısınında onbin haneden fazla olması gerektiğini bilmeniz gerekir. Dolayısı ile RSA algoritması DES ile karşılaştırıldığında 1000 misli yavaş çalışır. Buna karşı sağladığı avantajlar açıktır.

RSA algoritmasının gücü iki çok büyük asal sayının çarpanlarının ( faktörleri ) bulunmasının zorluğudur. Bu örneğimizdeki 187 sayısının çarpanlarını çok basit bir algoritma ile bile, örneğin 1’den 187’ye kadar olası tüm sayıları tek, tek çarparak bulmamız mümkündür. Bu işlem bir saniye bile sürmeyecektir. Yani 187’nin çarpanları 11 ve 17 bulunduğu anda aynı formüllerle RSA şifresi kırılabilecektir. Ancak çok büyük sayılarda çarpanları bulmak imkansızlaşmaktadır.

Bugün itibariyle gelinen nokta 512 bitlik RSA anahtarları kırılabilmektedir. Bunun için 3000 adet hızlı bilgisayarın, 3 ay çalışması gerekmektedir. Bu nedenle çok gizli işler için 1024, askeri sırlar için ise
2048 bit gerekmektedir.

Bu noktada dikkat edilmesi gereken nokta RSA gibi kamuya açık algoritmaların anahtar uzunluğu ile DES gibi simetrik kriptoların anahtar uzunluklarının farkıdır. RSA için kullanılan 1024 bit karşılığı olarak 112 bit DES yeterli olmaktadır. RSA anahtarları uzadıkça işlem süresi çok artmaktadır. Özellikle çözüm işlemi çok yavaşlamaktadır. Şifrelemek için 3. kuvvete yükseltirken, çözmek için yüzlerce, binlerce haneli bir kuvvete yükseltmek gerekmektedir. Bu hem bellek, hem de zaman gerektirmektedir. SET sisteminin kullanılmayacak derecede yavaş olması bu işlem tekrar, tekrar bir sürü aşamada yapmaya çalışmasıdır. Oysa SSL bunu bir kez başlangıçta yapar.

24- HASH ALGORİTMALARI ( SHA, MD5 )
Şifreleme yöntemleri konunun en önemli bir noktasıdır ama onun yanı sıra başka şeylerede gereksinim duymaktayız. Bunlardan biriside HASH algoritmalarıdır. HASH’i süper bir check digit olarak görebilirsiniz. Basit bir aritmetik formülle hesaplanan check digit tek bir haneyle önceki 15 haneyi doğrularken, SHA ve MD5 gibi algoritmalar yaklaşık 40 haneli sayılar üreterek bütün bir dokümanı doğrulayabilmektedir. Örneğin tapu senedinizin bir tarayıcı ile tarandığını ve bir .BMP dosyası haline dönüştüğünü düşünün. 2019 yılında gittiğiniz Beşiktaş 17.noteri bu .BMP dosyasını MD5 hash algoritmasından geçirecek ve 40 haneli bir sayı bulacaktır. Daha sonra bu sayıyı kendi gizli anahtarını kullanarak, ardına sizin adınızı ve MERNİS numaranızı ekleyecek, RSA ile şifreleyecek size 180 haneli bir sayı verecek, sizde bu sayıyı smartcard’ınıza yükleyip gideceksiniz. Herhangi bir anda artık kağıt tapuyu değil, bu .BMP dosyasını Internet üzerinden gönderecek ve 180 haneli sayıyı ekleyeceksiniz. Alıcı Beşiktaş 19.noterinin web sitesine girecek ve onun kamuya açık anahtarını alacaksınız. 2019 yılına kadar artık sayıları binlerce haneli sayılara yükseltme ve zilyonlara bölerek kalanını yapmak artık bilindiği için, daha doğrusu bunu cebinizdeki smartcard artık bildiği için ekrana sizin adınız, soyadınız, MERNİS numaranız ve taranmış belgenin MD5 hash kodu gelecek. Arka plandaki Java programı ekrana gelen .BMP dosyasının MD5 hash kodunu birkez daha hesaplayarak karşılaştıracak. Evet, bu doküman doğrudur ve o tapunun sahibi de sizsiniz.
25- SSL
Dünyadaki güvenli alışveriş altyapısının %99’ını oluşturan SSL, yukarıda anılan RSA, DES, MD5, SHA, RC4, RC5 gibi algoritmalarla Internet üzerinden yapılan işlemlerin güvenliğini sağlamaktadır.
RSA yavaş olduğu için, SSL işlem başında RSA kullanarak karşı tarafa DES veya benzeri bir sistem olan RC4 şifre anahtarlarını gönderir. Bu anahtar sadece tek bir oturum için geçerlidir. Her seferinde yenilenir. Güvenli bir web sitesiyle SSL bağlantı kurulduğunda ekrana bir uyarı gelir ve alt köşedeki anahtar kapanır.  Bu anahtar üzerine tıkladığınızda konuyla ilgili birçok önemli bilgiyi görebilirsiniz.
Örneğin, Türkiye’de çalışan sözde SET veya 128 bit sitelerin aslında 40-bit RC4, 512 bit RSA olduğunu göreceksiniz. Artık bu doküman sayesinde bunların anlamını bildiğiniz için gerçekleri daha iyi görecek, önerilen veya çalışan sistemlerin gerçekte ne olduklarını bileceksiniz.

SSL, örneğin Türkiye’ye verilen 512/40 SSL, 512 bit RSA ile 40 bit RC4 oturum şifresini gönderir ve bundan sonraki iletişimi 40-bit RC4 ile şifreleyerek yapar. 512/64 veya 512/128 çalışma olanağı olsa işlemlerin oldukça güvenli olabileceğini söyleyebiliriz. 512/40 için söylenebilecek tek şey, tamamen açık göndermekten iyidir. Ancak bu seviyenin kırılamaz olduğunu, %100 güvenli olduğunu veya SET olduğunu iddia etmek gerçeklerden oldukça uzak olacaktır.

SSL ile bağlandığınız bir sitenin gerçek ve inanılır bir yer olduğuna nasıl inanacaksınız. Bunu sağlayan sisteme CA : Certificate Authority adı verilen Güvenilir Kurumlar yapmaktadır. SSL web sitesi kuran bir firma VeriSign, Thawte, v.s. gibi kurumlardan birine giderek kimlik ve amacını kanıtladıktan sonra Güvenilir Kurum firmanın kamuya açık şifresini kaydeder ve ona bir sertifika verir. Firmanın web sitesine bağlanan web browser ( Netscape, Internet Explorer ) v.s. bu sertifikayı yakalar ve sorar: Bu sertifikayı veren kurumu ben tanıyormuyum ?.  Eğer tanımıyorsa, firmanın ve sertifikasının güvenilmez olduğunu bildirir ve devam edip, etmek istemediğinizi sorar. Çünkü, firma bu sertifikayı kendi kendine uydurmuş olabilir veya Güvenilir olmayan bir kuruluştan almış olabilir. Eğer güvenilir ise browser bu kuruma firmayı sorar ve sertifikanın geçerli olup olmadığını öğrenir. Sertifikanın süresi geçmiş olabilir veya bir test sertifikasıdır.

Türkiye’de kurulu birçok siteyi incelediğinizde sertifikaların geçersiz ve güvenilmez olduğunu, iddia edilen güvenlik düzeylerin sağlanmadığını göreceksiniz.

VISA web sitesi incelendiğinde SSL ile hizmet veren sitelerin yeterli derece güvenli olduğu belirtilmektedir. Gerçek ortamda çalışan sitelerin neredeyse tümü SSL çalışmaktadır.

26- SET

Mastercard ve Visa, Internet üzerinden alışveriş için teorik olarak mükemmel bir sistem geliştirmiştir. SET adı verilen bu standard, aynı SSL gibi RSA, DES, MD5 ve SHA kullanarak kart hamilinden bankaya kadar her aşamayı şifrelemektedir ve otantikasyonunu yapmaktadır. Doğal olarak işyeri web sitesinin yanı sıra, kart hamili, banka, VISA, ve tüm ara sistemlerin ayrı,ayrı RSA gizli ve açık anahtarları olması gerekmektedir.

SET, SSL ile karşılaştırıldığında çok daha karmaşık bir sistemdir. Sadece SET sistemini tanımlayan dokümantasyon bile 971 sayfadır. Oysa, SSL V3 spesifikasyonu sadece 63 sayfadır.

SET oldukça ulvi ideallerle oluşturulmuştur. Teori olarak çok güzeldir, ancak pratikte uygulanması bugünkü teknik koşul ve ortamlarda mümkün gözükmemektedir. Büyük bir olasılıkla, SET standardı doğmadan ölecektir, onun yerine SSL, Smartcard ve bazı SET-gibi işlevler sunan daha basit, kullanışlı ve çalışabilir bir sistem gelecektir.SET standardında bir uçtan diğerine her aşamada otantikasyon yapılır. Bunun için en önce işlem yapan kişinin güvenilir bir kaynağa kaydedilmiş bir sertifikası gerekir. Yüz milyonlarca kart hamiline sertifikalar nasıl üretilecek, saklanacak ve dağıtılacaktır ?  Bunun bugün için fizibl bir çözümü ve altyapısı mevcut değildir. Onun için tüm SET uygulamaları pilot ve lokal projeler olarak kalmaktadır.

Bir işlem sırasında, web sitesi kart hamilinin sertifikasını kontrol eder, kart hamili web sitesini, web sitesindeki sistem bankanın sistemini, işlemler şifrelenir, gizlenir, işlemleri işyeri görmesin diye bir sürü işlem yapılır, işlemi alıcı inkar etmesin diye digital imzalar atılır, işyeri caymasın diye işyeri digital imzalar atar, alınan provizyondan issuer caymasın diye acquirer banka digital imzalar alır, issuer banka işyeri sahtekarlık yapmasın diye ondan digital imzalar alır..alır..verir..alır..verir... Bütün bunların hepsi için tüm unsurlar dünyanın farklı noktalarında bulunur, yolda geçen iletişim hız kayıpları, sistem yoğunlukları, artı defalarca yapılan yavaş RSA şifreleme ve çözme işlemleri, sertifika kontrolleri sonucunda SET işlemleri kabul edilemeyecek kadar uzun sürer. Kişisel sertifikaların dağıtma sorunu, böyle karmaşık bir sistemi kurma ve işletme sorunları SET standardını kullanılamaz hale sokar. Sonuç olarak hemen, hemen bugün hiç kimse gerçek hayatta SET kullanmamaktadır.Yapılan tüm kullanımlar baskı sonucu yapılan politik pilot çalışmalardır.Türkiye’de hiç bir SET üye işyeri yoktur. Çalışan tüm siteler 40-bit SSL’dir. Site sayfalarına konulan SET logoları kurallara aykırıdır.www.setco.org , VISA ve MASTERCARD tarafından belirlenen SETCO MARKS kullanım kuralları gereğince bkz. sayfa 4, madde www.setco.org/download/set_mark.pdf   kesinlikle kart hamilinden gateway`e kadar tüm aşamalarında SET protokolünü kullanan işyerleri web sitelerine SET logosunu koyabilirler, kuralını açık ve net bir şekilde belirtmektedir.

Bugün birçok firmanın ve bazı bankaların yaptığı gibi 40-bit SSL ve hatta hiç bir şifrelemesi olmayan sitelere SET logosu konulması hatalı ve kurallara aykırıdır. Bunu yapan bankalar hem kuralları ihlal etmekte, hem de haksız rekabet yapmaktadırlar. Hiç bir banka bugün zincirin en zayıf olan halkası olan kart hamili ile web sitesi arasında SET standardını uygulamamaktadır.

SET standardının kart hamili aşamasından başlayarak uygulanabilmesi için öncelikle kart hamili WALLET adı verilen bir yazılımı yüklemesi gerekir. Megabyte büyüklüğündeki böyle bir wallet’ın yüklenmesi hem çok uzun sürmektedir, hem de kurulması çok kolay değildir. Bunun da ötesinde her kullanıcının özel sertifikası olması gerekmektedir.

Altyapı ve yöntemlerde bazı hızlı değişimler olursa veya politik zorlamalar sonucu ileriki yıllarda SET daha yaygın olarak kullanıma girebilir.

27- GÜVENLİ ŞİFRE ANAHTAR UZUNLUKLARI

Bugün itibariyle 512 bitlik RSA anahtarları kırılabilmektedir. Bunun için 3000 adet hızlı bilgisayarın, 3 ay çalışması gerekmektedir. Bu nedenle çok gizli işler için 1024, askeri sırlar için ise en az 2048 bit gerekmektedir. DES, RC4, RC5 ve IDEA gibi simetrik şifreler için 128 bit kesinlikle güvenlidir denilebilir. Diğer taraftan, 40-bit şifreleme kesinlikle güvensizdir. ATM ve POS’lerde, BKM, VISA ve EUROPAY şifre bloklarında kullanılan 56-bit DES, ABD, Fransa, İsrail, İsveç v.s. gibi yüksek teknolojiye sahip ülkelerce kısa sürede kırılabilir.

Birkaç gün içinde 56-bit DES şifresinin kırılmasını sağlayacak makinanın şemaları mevcuttur ve $100.000 bedelle imal edilebilir. Piyasadaki bilgisayarların alımı yoluyla yaklaşık 1-2 milyon dolarlık yatırımla kısa sürede 40-56-64-bit DES/RC4 şifrelerini kırabilirsiniz. Aynı şekilde Internet üzerinden ortak çalışmayla bu boyuttaki anahtarlar kırılabilir.

ATM, POS, BKM, VISA ve MASTERCARD ile yapılan haberleşmeler 56-bit olmaktadır ve kırılma tehditi altındadır. Özellikle birçok banka ATM ve POS PINPAD’lerinde statik DES anahtarları bulundurmaktadır. Bunların kırılması olası olduğu gibi hiçbir MAC: Mesaj Authentication Code kullanılmadığı için Fradulent Replay tekniği ile geçerli bir kodun farklı bir işlemde kullanılabilmesi sahtekarlığına açıktır. Bu noktada dikkat edilmesi gereken nokta RSA gibi kamuya açık algoritmaların anahtar uzunluğu ile DES gibi simetrik kriptoların anahtar uzunluklarının farkıdır. RSA için kullanılan 1024 bit karşılığı olarak 112 bit DES yeterli olmaktadır. RSA anahtarları uzadıkça işlem süresi çok artmaktadır.

28- POS MESAJLARININ GÜVENLİĞİ

Asenkron VISA II, SPDH ve senkron SDLC Hypercom HPDH/ISO-8583 POS mesajlarının hiç bir veri güvenliği yoktur. Tüm kartların TRACK 2 manyetik şerit bilgileri yaklaşık 1000$’lık bir cihazla telefon hatlarından farkedilmeden elde edilebilir. POS mesajlarında hiç bir güvenlik unsuru yoktur.

29- ATM MESAJLARININ GÜVENLİĞİ

Diebold 911/912, NCR NDC/NDC+ ve diğer ATM mesajlarının hiç bir veri güvenliği yoktur, sadece PIN blokları korunmaktadır. Tüm kartların TRACK 2 manyetik şerit bilgileri çeşitli yöntemlerle farkedilmeden elde edilebilir. ATM mesajlarında yeterli bir güvenlik unsuru yoktur. Genellikle statik amahtarlar kullanıldığı için Fradulent Replay tehditi mevcuttur.

30- POS PİNPAD GÜVENLİĞİ

Bankalarımızın POS Pinpad’leri için hiç bir güvenli stok kontrol, anahtar yükleme, değiştirme ve yönetim politikaları mevcut değildir. Son derece dikkatsiz bir şekilde şifre yükleme prosedürleri uygulanmaktadır. Çoğu zaman firmalardan gönderilen test anahtarları master key olarak kullanılmaktadır. EMAC veya DUPKT gibi güvenli yöntemler zor geldiği için kullanıma sokulmamaktadır.

31- POS CİHAZININ PİNPAD OLARAK KULLANILMASI

Bankalarımızın bazıları POS’leri Pinpad gibi kullanmaktadır. Bu uygulamaların hiç birisinin güvenli olmadığı kanısındayız. Bunun ötesinde, POS genel amaçlı programlanabilir bir cihaz olması nedeniyle ekranda güvenli işlem simulasyonu yapılarak aslında kullanıcıların PIN’leri kolaylıkla çalınabilir. Örneğin her işlemde POS’e PIN girmeye alışık Fransız turistlere Türkiye’de böyle bir prosedür olmasa bile sahte bir programla şifre girdirilebilir, bu esnada TRACK 2 bilgisi çalınabilir, işlem normal olarak imzalı olarak tamamlatıldıktan sonra elde edilen PIN ve TRACK 2 bilgisi boş kartlara kopyalanarak ATM’lerde kullanılabilir.

32- SAHTE PROGRAMLAR

Banka bünyesinde çalışan bazı kötü niyetli programcılar programlarla oynayarak çeşitli suistimaller yapabilir. Bu bakımdan bankada işleyecek tüm programların belleğe alınmadan önce digital sertifika kontrolü olması gerekir. Yani sadece güvenlik komitesince incelenmiş, test edilmiş ve digital olarak mühürlenmiş modüllerin kullanılması sağlanmalıdır.

33- PROGRAMLAR ARASI OTANTİKASYON VE SERTİFİKALAR

Birbiriyle iletişim halinde TCP/IP soketleri, MSMQ, MQ Series, Message Queues, ISO-8583, v.s. gibi Interprocess Communication, İstemci Sunucu (Client Server) mimarisiyle çalışan tüm programlar birbirlerine gönderdikleri mesajı dijital olarak imzalamalı ve imzalar anında kontrol edilmelidir.

34- VİRÜSLER

PC disketleri, CD’leri, Internet ve diğer network bağlantıları yoluyla sisteminize bulaşan ve arka planda sinsice çalışarak hasarlı veya hasarsız işlem yapan programlara virüs denilir. Virüsler tüm sisteminizi çökertebilir, diskleri silebilir veya rasgele değiştirebilir, rasgele mesajlar gönderebilir veya sisteminize güveni tamamen yok edecek bir duruma sokabilir. Virüslere karşı çok ciddi önlemler alınması ve disiplin tesis edilmesi şarttır. Virüsler mutsuz ve psikopat elemanlar tarafından da yerleştirilebilir

35- TRUVA ATLARI

PC disketleri, CD’leri, Internet ve diğer network bağlantıları yoluyla sisteminize bulaşan , görünüşte masum ve başka birşey yapan ama arka planda sinsice çalışarak hasarlı veya hasarsız başka işlem yapan programlara TRUVA ATI denilir. Bunlar tüm sisteminizi çökertebilir, diskleri silebilir veya rasgele değiştirebilir, rasgele mesajlar gönderebilir, sistemizden bilgi çalarak rakiplere gönderebilirler veya sisteminize güveni tamamen yok edecek bir duruma sokabilir. Truva atlarına karşı çok ciddi önlemler alınması ve sürekli monitoring şarttır. Truva atları mutsuz ve psikopat elemanlar tarafından da yerleştirilebilir. Bu tür kişiler bunu eğer bir şekilde işten çıkarılır iseler bankadan intikam almak için düşündükleri sabotaj projelerine alt yapı için planlıyabilirler.

36- SOLUCANLAR

PC disketleri, CD’leri, Internet ve diğer network bağlantıları yoluyla sisteminize bulaşan ve arka planda sinsice çalışarak sürekli çoğalan ve kendini kopyalarak sistem kaynaklarını tüketerek sistemi çökerten programlara SOLUCAN denilir. Solucanlara karşı çok ciddi önlemler alınması ve monitoring yapılması şarttır.

37- SAATLİ BOMBALAR

Psikopat yapılı ve problemli programcılar programların belirli aşamalarına yerleştirilen belirli kodlarla belirli bir tarihe gelindiğinde sistem durmasını, hatalı veya güvenilmez çalışmasını, en kötü durumda disklerin topyekün silinmesini veya sistemin tahrip olmasını sağlayabilirler. Bu gibi kodları her zaman yakalamak mümkün olmayabilir, akıllı ve yaratıcı bir psikopat bu kodları dinamik olarak yaratabilir. Örneğin programlara bakıldığında bu direkt olarak görülemeyebilir. Ama bir SQL terimi ile getirilen bir kod imajı çaktırmadan belleğe yerleştirilip icraya başlayabilir.
38- HİZMETİ KESME SALDIRISI ( DENIAL OF SERVICE )

TCP/IP network sisteminin bir açığından faydalanan bir saldırgan sisteminize çok sayıda bağlantı kurmak ve bu arada zaman alıcı çok sayıda servis talebinde bulunmak suretiyle sisteminizin kaynaklarını hızla tüketebilir ve sisteminizi çökertebilir.

39- SMARTCARD’LAR

Smartcard’lar manyetik şeritli kartlar göre çok daha güvenlidir. Pasif bir manyetik şerit yerine aktif bir chip vardır. Böylece kart direkt olarak okunamaz, okuyabilmek için çeşitli şifreleri gönderip almak gerekir, bu bağlamda kart hamilinin PIN numarası da satış sırasında sorulabilir. Kısaca özetlersek smartcard aslında kart formatında minyatür bir güvenlik modülü veya kriptografik işlemler yapabilen bilgisayar olarak tanımlanabilir. Bu nedenle kart sahtekarlığının çoğaldığı ülkeler Fransa, İngiltere, Almanya, İsrail smartcard’lara geçmişler veya geçmektedirler. Bu bağlamda VISA ve EUROPAY, acquirer (kart kabul eden, POS yerleştiren) bankaların 2001 yılına, issuer (kart veren) bankaların 2003 yılına kadar EMV chipcard’a geçişini zorunlu kılmıştır. Bu durumda bankanızı tehdit eden diğer bir bilg işlem tehlikesi olan “yanlış yatırım” konusunda dikkatli olmanız, muhakkak chipkart okuyabilen, içeresinde SAM soketleri olan, EMV onaylı, RSA işlemleri yapabilme için de en az 16 bit, tercihen 32 bit POS terminalleri almalısınız, ATM cihazlarında smartcard okuyucu modülü olmasına dikkat etmelisiniz.

40- INTERNET BAĞLANTILARI

Direkt olarak Internet’e bağlı bir sistem büyük bir tehdit altındadır. Kesinlikle Internet’e bağlı bir ana sisteminiz veya yan bir sistem olup aynı anda hem Internet’e, hem de Banka sistemine bağlı sistemlerde olmamalıdır. Bu sisteme sızan bir saldırgan buradan ana sisteme geçebilir. Internet üzerinde hizmet verecek sistemler kesin sınırlarla izole, Firewall sistemleri ile korunmalıdır. Firewall sistemleri de her zaman iyi olmayabilir ve %100 güvenilmemelidir. Zaman zaman bu sistemlerinde açığı yakalanmaktadır.

41- DIAL UP MODEM BAĞLANTILARI

Sistemlere çeşitli dial up modemler koyarak, TELNET veya benzeri terminal emulasyonu yöntemleriyle veya çeşitli Windows yazılımlarını SQL sunucunuza bağlamasına izin vererek çeşitli Telefirma, v.b. hizmetlerin sunulması kesinlikle çok tehlikelidir. Bu bağlantılar sırasında kullanıcı adı ve şifre sorulduğu, bu nedenle sorun olmayacağı gibi savunmalar geçersizdir. Sisteminizde açık hiçbir dial up modem bağlantısı olmamalıdır.

42- UNIX KULLANICI ŞİFRELERİ ÖZÜLEBİLİR Mİ ?

Evet. Çeşitli tekniklerle kısa bir süre içinde birçok kullanıcının şifresi bulunabilir. Bu amaçla yazılmış birçok program internet’ten elde edilebilir.

43- NT KULLANICI ŞİFRELERİ ÇÖZÜLEBİLİR Mİ ?

Evet. Çeşitli tekniklerle kısa bir süre içinde birçok kullanıcının şifresi bulunabilir. Bu amaçla yazılmış birçok program internet’ten elde edilebilir.

44- WORD, EXCEL,PKZIP,WINZIP,NOTES ŞİFRELERİ ÇÖZÜLEBİLİR Mİ ?

Evet. Birçok program internet’ten veya çeşitli satıcı fırmalardan temin edilebilir.Bilişim sisteminizi tehdit eden en önemli unsurlar size bu dokümanda aktarılmıştır.
Bu doküman bankanızın güvenliği için hazırlanmış, gerçek tehditleri açık olarak anlatmaktadır. Burada aktarılan kavramları siz anlamak ve elemanlarınıza uygulatmak zorundasınız. Lütfen dokümanı bizzat okuyunuz ve anlayınız.

Bu doküman kimseyi sıkıntıya sokmak veya iş çıkarmak için hazırlanmamıştır. Tüm çalışan ve yöneticilerin gerekli önlemleri alması ve kendini koruması için ön uyarı niteliğindedir.

Büyük bir olasılıkla bankanızda bu önlemler zaten alınmıştır. Bu durumda endişe edecek bir durum olmadığı için işlerinize gönül rahatlığı ile devam edeceksiniz. Eğer bazı eksikleriniz var ise sorun ortaya çıkmadan üzerine gidebilecek ve ileride bunu yapmış olduğunuz için sevineceksiniz.

Bu çalışmalarınız sırasında herhangi bir yardıma gereksinim duyarsanız Verisoft’u arayabilirsiniz. Çeşitli donanım ve yazılım sistemleri ile güvenlik ve şifreleme sistemleriyle size yardımcı olabiliriz.
Arzu ederseniz gerekli sözleşmeleri yapmak koşuluyla dahili veya harici güvenlik dayanım testleri yapabiliriz. Bu testler sırasında yapılacak saldırı denemeleri sırasında sisteminizin çökmesi olasılığı bulunmaktadır. Bu nedenle herhangi bir test öncesi bu testlere izin verdiğinizi ve test koşul ve şartlarını içeren bir sözleşme yapılması gerekmektedir.