Birkaç yıl önce bir sabah telefonuma "Yeni cihazdan oturum açıldı" bildirimi düştü. Konum bilmediğim bir şehirdi, saat de gece üçtü. O anki panik hissini hâlâ hatırlıyorum: e-posta kutum sadece mesajlarımın durduğu bir yer değildi; bankam, sosyal medyam, alan adı kaydım, bulut depolama hesabım... hepsinin şifre sıfırlama linki oraya geliyordu. Neyse ki iki adımlı doğrulama açıktı ve saldırgan içeri giremedi. Ama o geceden sonra email hesap güvenliği konusunu bir daha asla "sonra bakarım" listesine koymadım.
Aşağıda kendi hesaplarımda uyguladığım, tanıdıklarıma da kurup gerçekten işe yaradığını gördüğüm düzeni anlatacağım. Teknik bilgi seviyeniz orta düzeydeyse yarım saatte bitirebileceğiniz bir iş.
E-posta hesabına giren kişi, ona bağlı her şeye girer. Bu yüzden savunmanın ilk hattı, kapının kendisi: şifre ve ikinci doğrulama adımı.
İki adımlı doğrulamanın hepsi eşit değil. Kendi sıralamam şöyle:
Ben doğrulayıcı uygulamayı ana yöntem, donanım anahtarını da kritik hesaplarda ek katman olarak kullanıyorum. Kurulum sırasında ekrana gelen yedek kodları mutlaka alın. Ben bunları yazdırıp evdeki bir dosyada saklıyorum; ekran görüntüsü alıp telefonun galerisinde bırakmak ise en kötü fikirlerden biri, çünkü telefonu kaybettiğinizde kod da gidiyor.
E-posta şifreniz başka hiçbir yerde kullanılmamalı. Bunu ancak bir parola yöneticisiyle sürdürebilirsiniz; sitedeki güvenli şifre oluşturma ve yönetimi konulu rehberde bu araçların mantığını daha ayrıntılı anlatmıştım. Benim ölçütüm basit: e-posta şifresini ezberden yazabiliyorsam muhtemelen yeterince güçlü değildir. Tek istisna, parola yöneticisinin ana şifresi — onu dört beş rastgele kelimeden oluşan uzun bir cümle olarak kuruyorum.
Şifre ne kadar güçlü olursa olsun, klavyeyi dinleyen bir zararlı varsa hiçbir anlamı kalmaz. Bilgisayarda düzenli tarama yapmak, işletim sistemi ve tarayıcı güncellemelerini geciktirmemek bu işin ayrılmaz parçası. Virüs ve kötü amaçlı yazılımlardan korunma ile yazılım güncellemelerinin önemi başlıklı yazılardaki adımları ayda bir hızlıca gözden geçiriyorum.
İnsanların büyük kısmı şifreyi güçlendirip işi bitmiş sayıyor. Oysa saldırganların çoğu ön kapıyı zorlamaz; unutulmuş bir kurtarma adresinden ya da yıllar önce yetki verilmiş bir uygulamadan içeri sızar.
Hesap ayarlarında en az yılda bir baktığım yerler:
Her hesap sağlayıcısının "güvenlik" bölümünde etkin oturumların listesi bulunur. Buradaki cihaz adlarını, konumları ve son giriş zamanlarını okuyun. Tanımadığınız ya da artık kullanmadığınız her şeyi çıkarın; sattığınız telefon, iki yıl önceki iş bilgisayarı, otelde girdiğiniz tarayıcı... Ben altı ayda bir "hepsinden çıkış yap" deyip sıfırdan giriş yapıyorum, bu en temiz yöntem.
Aynı sayfada "hesabınıza erişimi olan uygulamalar" listesi de var. Yıllar içinde onlarca hizmete "Google ile giriş yap" demişsinizdir. Posta kutusunu okuma veya kişilere erişme yetkisi almış, adını bile hatırlamadığınız uygulamaları kaldırın. Google ayarlarını kişiselleştirme yazısındaki adımlar bu ekranlara ulaşmayı kolaylaştırıyor.
Bu, çok az kişinin baktığı ama saldırganların bayıldığı bir nokta. Hesaba giren biri, sessizce bir otomatik yönlendirme kuralı ya da "şifre" kelimesi geçen mesajları arşivleyip başka adrese ileten bir filtre ekleyebilir. Sonra şifrenizi değiştirseniz bile mesajlarınızı okumaya devam eder. Ayarlarda "İletme ve POP/IMAP" ile "Filtreler" sekmelerini açın; sizin kurmadığınız hiçbir kural orada durmamalı. Bir arkadaşımda tam olarak böyle bir kural bulmuştuk, aylardır oradaydı.
| Ne | Sıklık |
|---|---|
| Etkin oturumları gözden geçirme | 6 ayda bir |
| Bağlı uygulama izinleri | 6 ayda b |