Koyu lacivert bir zeminde, ince ışık çizgileriyle sarılmış uzun ve yarı saydam camgöbeği renkli bir küp duruyor. Yanında yerde açık duran tek bir asma kilit var ve kilidi açık taraftan çerçevenin kenarına doğru sürüklenen, boş fotoğraf karelerinden oluşan silik bir iz uzanıyor.

Hackerlar Bulut Fotoğraf Depolamanıza Girebilir mi?

Bu soru genelde bir manşetin ardından gelir: bir sızıntı, bir ünlü, olmaması gereken bir yerde duran özel fotoğraflardan oluşan bir klasör. İçgüdüsel tepki, şifrelemenin kırıldığını hayal etmektir. Oysa gerçekleşen neredeyse hiçbir zaman bu değildir. Bulut fotoğraf depolama her seferinde aynı avuç içi kadar az sayıda yöntemle açılır ve bunların hepsi kriptografi yerine hesap üzerinden geçer. Bunu bilmek değerlidir, çünkü sizi neyin koruduğunu değiştirir. Yapabileceğiniz hiçbir şey AES'i zayıflatmaz veya güçlendirmez, ama hesabınıza nasıl ulaşıldığına dair her şey sizin elinizdedir.

Evet, ama şifreleme kırılarak değil. Pratikte bulut fotoğraf hesapları kimlik bilgileriyle açılır: oturum açma ekranına benzeyen bir kimlik avı sayfası, yıllar önce ihlal edilen bir siteden yeniden kullanılan bir şifre, destek ekibi gibi davranan bir arama veya cihazınızın şifresini zaten bilen bir kişi. İki faktörlü doğrulama uzaktan erişim yollarının çoğunu kapatır, çünkü tek başına bir şifre artık yeterli olmaktan çıkar. Gelişmiş Veri Koruması sunucu tarafını kapatır, iCloud Fotoğrafları'nı uçtan uca şifrelemeye taşır, böylece anahtarlar cihazlarınızda kalır ve Apple'ın devredebileceği veya kaybedebileceği hiçbir şeyi olmaz. İkisi de birinin telefonunuzu önünüzde açmasına karşı yardımcı olmaz ve ikisi de anahtarları kendi elinde tutan bir hizmet için geçerli değildir, ki bu Google Photos ve çoğu diğer sağlayıcının varsayılan durumudur. Kaybedilmesi gerçekten zarar verecek fotoğrafların yeri, girilecek bir hesabın bile bulunmadığı, cihazdaki şifreli bir kasadır.

Burada hacklenmek gerçekte ne anlama geliyor

Çok farklı iki olay aynı kelimeyle anılıyor. Biri sağlayıcı ihlali, yani bir saldırganın sunuculara ulaşıp aynı anda birçok kişiye ait verileri aldığı durum. Diğeri ise hesap ele geçirme, yani birinin sizin yerinize, sıradan bir oturum açma ekranından, elde ettiği kimlik bilgileriyle giriş yaptığı durum. Bulut depolamadan özel fotoğrafların ortaya çıktığı hemen hemen her vaka ikinci türdendir. İnsanların hâlâ hatırladığı büyük ünlü fotoğraf sızıntısı, Apple'a yapılan bir sızma değildi: hesaplara kimlik avıyla elde edilen şifreler ve tahmin edilen güvenlik sorularıyla, birer birer ulaşıldı. Ardından gelen kovuşturmalar da aynı deseni anlattı, müşteri destek ekibi gibi davranan birinin şifreyi doğrudan istemesi.

Bu ayrım önemlidir çünkü ikisinin savunması birbirinin tersidir. Sağlayıcı ihlaline şifreleme tasarımı yanıt verir, yani şirketin dosyalarla birlikte alınabilecek anahtarları tutup tutmadığı. Hesap ele geçirmeye ise kimlik doğrulama yanıt verir, yani tek başına bir şifrenin herhangi birini içeri sokup sokmadığı. Çoğu kişi birinciden endişe eder ama ikinciye karşı savunmasızdır. Bulut fotoğraf depolama gizlilik politikalarının gerçekte ne söylediğine dair incelememiz, anahtar tutma sorusunu sağlayıcı sağlayıcı ele alıyor. Bu rehber ise diğer yarısını, bir bağlantının öteki ucundaki kişinin siz olmaya çalıştığı kısmı ele alıyor.

Gerçekten işe yarayan dört yol

Kimlik avı açık ara birinci sıradadır. Şüpheli etkinlik veya kilitli hesapla ilgili bir mesaj gelir, bağlantı tam olarak bir oturum açma sayfasına benzeyen bir şeyi açar ve şifre oraya yazılır. Modern sürüm, iki faktörlü kodu gerçek zamanlı olarak aktarır, bu yüzden şifreden hemen sonra altı haneli kodu isteyen bir sayfa, sitenin gerçek olduğunun kanıtı değildir. İkincisi şifre tekrar kullanımıdır. 2015'te bir forumda belirlediğiniz ve daha sonra ihlal edilen bir şifre artık bir listede yer alıyor ve bu liste her büyük hizmete karşı otomatik olarak denenir. Bu saldırının hiçbir aşaması kimsenin sizi tanımasını veya önemsemesini gerektirmez.

Üçüncüsü sıfırlama zinciridir. Hesaptaki e-posta adresine erişim, çoğu zaman şifreyi değiştirmek için yeterlidir, bu yüzden zayıf şifreli bir e-posta hesabı sessizce ona bağlı her şeyin anahtarı hâline gelir. Dördüncüsü, gerçek hayatta hepsinden yaygın olanı, yakınlıktır. Cihazınızın şifresini bilen biri telefonu açabilir ve iOS'ta bu şifre hesap şifresini değiştirmek için de kullanılabilir, ki tam da bu yüzden Çalıntı Cihaz Koruması var ve açmaya değer. Aynı kategoriye, kilidi açık bir telefona kurulan izleme uygulamaları da girer. Bu dört yoldan hiçbiri şifrelemeye saldırmayı içermez ve şifreleme gücü ne kadar artırılırsa artırılsın bunların hiçbirini çözmez.

İki faktörlü doğrulama ve uçtan uca şifreleme ayrı ayrı neyi kapsar

İki faktörlü doğrulama, birinci ve ikinci yolları iyi şekilde yanıtlar. Çalınan veya tahmin edilen bir şifre artık yeterli olmaz, çünkü oturum açmak için ayrıca çevrenizdeki bir cihaza gönderilen bir kod da gerekir. Ancak kodu okuduktan saniyeler sonra toplayan canlı bir aktarma sayfasına yanıt vermez ve kilidi açık telefonunuzu elinde tutan biri karşısında hiçbir işe yaramaz. Gelişmiş Veri Koruması tamamen farklı bir soruyu yanıtlar. Açıldığında iCloud Fotoğrafları ve iCloud Yedekleme uçtan uca şifreli hâle gelir, anahtarlar cihazlarınızda kalır ve Apple'ın yasal bir talep karşısında sunabileceği veya bir sunucu ihlalinde alınabilecek hiçbir şeyi kalmaz. Bu, maruziyette gerçek bir değişikliktir ve kurtarma kişisi kurulumunun zorunlu olmasının nedeni budur: anahtarlar Apple'dan kalktığında, unutulan bir şifre gerçekten kurtarılamaz hâle gelir. Apple bunu artık Birleşik Krallık'taki yeni kullanıcılara sunmuyor.

Bu ayar kapalıyken varsayılan olarak iCloud Fotoğrafları, iletim sırasında ve Apple sunucularında Apple'ın da elinde tuttuğu anahtarlarla şifrelenir. Google Photos aynı şekilde çalışır ve ana kitaplık için hiçbir uçtan uca seçeneği yoktur. Bu düzenlerin hiçbiri dikkatsizce değildir ve ikisi de bir kamera rulosunun büyük çoğunluğu için gayet makuldür, ama dürüst tanım şudur: sağlayıcı dosyaları okuyabilir ve siz onların bunu yapmayacağına güveniyorsunuzdur. Uçtan uca şifreli iCloud fotoğraf depolama üzerine açıklayıcı yazımız bu ayarın neyi değiştirdiğini anlatıyor, iPhone fotoğraf yedeklerinin nasıl şifrelendiği ise gizli fotoğrafların kopyalarının sıkça bulunduğu yedekleme tarafını kapsıyor.

Hesapta asla bulunmaması gereken fotoğraflar

Yukarıdaki her savunma olasılıksaldır. İki faktörlü doğrulama, ele geçirmeyi imkansız değil çok daha zor hâle getirir; uçtan uca şifreleme sunucuyu hedef olmaktan çıkarır ama cihazı hedef olarak bırakır; ikisi de sonunda kararlı bir saldırganın veya sizinle zaten aynı evde yaşayan birinin ulaşabileceği bir hesaba dayanır. Olasılığa göre sıralamak yerine sonuca göre sıralamak daha faydalıdır. Bir kamera rulosunun çoğu bulutta durabilir ve kolaylık gerçektir. Küçük bir kısmı ise durmamalıdır: kimlik numaraları içeren belgeler, mahrem fotoğraflar, koz olarak kullanılabilecek herhangi bir şey. Bunlar için amaç hesabı daha sıkı kilitlemek değil, denklemde hiç hesap olmamasıdır.

Yerel şifreli bir kasanın yaptığı tam olarak budur. Vaultaire her dosyayı cihazda AES-256-GCM ile şifreler, var olmak için hesaba veya oturum açmaya ihtiyaç duymaz ve varsayılan olarak iCloud'un dışında kalır, böylece kimlik avlanacak bir şifre, ele geçirilecek bir oturum ve ihlal edilecek bir sunucu kopyası yoktur. 5 kasaya kadar ücretsizdir. Herhangi birine güvenmeden önce bu kategoriyi anlamak isterseniz, fotoğraf kasası uygulamalarının güvenli olup olmadığına dair incelememiz şifreleme iddialarını ve hangilerinin incelemeye dayandığını ele alıyor. Hiç senkronize olmayan fotoğraflar, kontrol etmediğiniz bir hizmetten alınamaz.

İlgili rehberler

Kaynaklar

Sıkça Sorulan Sorular

iCloud'un kendisi hiç hacklendi mi?

Apple'ın sunucuları, insanların genelde kastettiği anlamda kamuya açık şekilde ihlal edilmedi. Sızan fotoğraflara yol açan olaylar hesap ele geçirmeleriydi: kimlik avıyla elde edilen şifreler, tahmin edilen güvenlik soruları veya başka ihlal edilmiş sitelerden yeniden kullanılan şifreler. Bu önemli bir ayrımdır, çünkü çözümün Apple tarafında değil sizin oturum açma ekranı tarafınızda olduğu anlamına gelir.

İki faktörlü doğrulama fotoğraflarımı güvenli hâle getirir mi?

En yaygın uzaktan erişim yollarını kapatır, ki bu büyük bir iyileştirmedir, ama mutlak değildir. İkna edici bir kimlik avı sayfası kodunuzu gerçek zamanlı olarak aktarabilir ve iki faktörlü doğrulama, telefonunuzun kilidini açan veya cihaz şifrenizi bilen birine karşı hiçbir işe yaramaz. Bunu fırsatçı saldırıları durduran bir taban çizgisi olarak görün, bir garanti olarak değil.

Google Photos iCloud'dan daha mı az güvenli?

Ana kitaplık için Google anahtarları elinde tutar ve hiçbir uçtan uca şifreleme seçeneği sunmaz, oysa iCloud Gelişmiş Veri Koruması ile uçtan uca şifrelemeye geçirilebilir. Varsayılan ayarlarda bırakıldığında iCloud da anahtarları elinde tutar, bu yüzden fark başlangıç noktasından çok tavan noktasındadır. İkisi de dış saldırganlara karşı veriyi iletim sırasında ve depoda şifreler.

Hesabımın açıldığını düşünüyorsam önce ne yapmalıyım?

Güvendiğiniz bir cihazdan şifreyi değiştirin, ardından Ayarlar'da adınızın altındaki cihaz listesini gözden geçirin ve tanımadığınız her şeyi kaldırın, bu o oturumları sonlandırır. Hesap e-postasının ve telefon numarasının hâlâ size ait olduğunu kontrol edin, çünkü saldırganlar erişimi korumak için bunları değiştirir. Ardından e-posta hesabınızı kontrol edin, çünkü genelde geri girişin yolu odur.

Vaultaire'i Ücretsiz İndir