Tarayıcı Güvenlik Ayarları ve Eklentileri

Web tarayıcısı en yaygın kullanılan uygulamalardan biridir ve en çok saldırıya uğrayan uygulamalardan biri hâline gelmiştir. Tarayıcılar güvenilmeyen kaynaklardan (web sitelerinden) gelen kodu çalıştırır, hassas verileri işler ve kullanıcı kimlik bilgilerine ve oturumlarına doğrudan erişebilir.

Tarayıcı üreticileri sık sık güvenlik yamaları yayımlar. Güncel olmayan bir tarayıcı, kullanıcı etkileşimi olmadan yapılan indirmeler ve korumalı alan kaçışları da dâhil olmak üzere bilinen istismarlara karşı savunmasız olabilir. Otomatik güncellemeleri etkinleştirin — tarayıcı güncellemelerini asla ertelemeyin.

Modern tarayıcılar Yalnızca HTTPS modunu (veya HTTPS yükseltmelerini) destekler. Etkinleştirildiğinde tarayıcı, HTTP sitelerine bağlanmayı reddeder ve bunları yüklemeden önce onay ister. Bu, hassas verilerin düz metin bağlantılar üzerinden yanlışlıkla gönderilmesini önler.

Tarayıcı sertifikası uyarılarını asla yok saymayın. Geçersiz veya eşleşmeyen bir sertifika şunlara işaret edebilir:

• Süresi dolmuş veya iptal edilmiş sertifika
• Kendinden imzalı sertifika (olası araya girme saldırısı)
• Alan adı uyuşmazlığı (yanlış veya kimlik avı sitesini ziyaret etme)

Uyarıyı yalnızca güvenli olduğu bilinen dahili sistemleri sınarken atlayın.

Yapılandırılacak temel tarayıcı ayarları:

• Kimlik avı ve kötü amaçlı yazılım korumasını etkinleştirin
• Üçüncü taraf çerezlerini engelleyin
• Güvenli Taramayı (Chrome) / Gelişmiş İzleme Korumasını (Firefox) etkinleştirin
• Parolaların tarayıcıya kaydedilmesini devre dışı bırakın (özel bir parola yöneticisi kullanın)
• Web siteleri için gereksiz izinleri devre dışı bırakın (kamera, mikrofon, konum)

Önerilen tarayıcı uzantıları:

• uBlock Origin — reklamları ve kötü amaçlı alan adlarını engeller
• Privacy Badger — görünmez izleyicileri engeller
• HTTPS Everywhere (artık çoğu tarayıcıda yerleşik)
• Bitwarden — parola yöneticisi

Daha az uzantı = daha küçük saldırı yüzeyi. Yalnızca güvenilir ve hakkında iyi değerlendirmeler bulunan uzantıları yükleyin.

Tarayıcı uzantıları web sayfalarına geniş erişime sahiptir ve şunları yapabilir:

• Tüm trafiği ve form gönderimlerini okuyabilir
• Yazarken parolaları çalabilir
• Sayfalara kötü amaçlı kod ekleyebilir

Kötü amaçlı uzantılar çoğu zaman meşru görünebilir. İzinleri dikkatle inceleyin; kullanmadığınız uzantıları kaldırın.

Modern tarayıcılar her sekmeyi ve uzantıyı ayrı işlemlerde korumalı alana alarak ele geçirilmiş web içeriğinin verebileceği zararı sınırlar. İşleme sürecindeki bir hata tüm tarayıcıyı bozmamalı veya OS'ye kaçmamalıdır — ancak gelişmiş istismarlarda korumalı alan kaçışları meydana gelebilir.

Web sitesi yalıtımı (Chrome, Firefox), her kaynağı ayrı bir işlemde çalıştırır. Bu, bir sitedeki kötü amaçlı JavaScript'in başka bir sitenin işlem belleğine erişmesini önler; böylece Spectre sınıfı CPU güvenlik açıklarının ve siteler arası veri hırsızlığının etkisi azaltılır.

JavaScript, modern web işlevlerinin çoğunu mümkün kılar ancak web saldırılarının çoğuna da olanak tanır (XSS, kullanıcı etkileşimi olmadan yapılan indirmeler). Flash gibi eklentiler (kullanımdan kaldırılmıştır) önemli saldırı vektörleriydi. NoScript tarzı araçlar JavaScript'i varsayılan olarak engeller — uç bir yaklaşım olsa da yüksek güvenlikli ortamlar için güçlüdür.

Farklı etkinlikler için ayrı tarayıcı profilleri veya tarayıcılar kullanmak yalıtım sağlar:

• İş profili: kurumsal siteler, bankacılık
• Kişisel profil: sosyal medya
• Araştırma profili: bilinmeyen veya şüpheli siteleri ziyaret etme

Bir profildeki ele geçirilme durumu diğerlerini etkilemez.

Kötü amaçlı alan adlarını ve reklamları yapılandırma gerektirmeden engellemek için hangi tarayıcı eklentisi yaygın olarak önerilir?

Tarayıcılar başlıca saldırı yüzeylerindendir. Onları güncel tutun, yalnızca HTTPS modunu etkinleştirin ve gizlilik ayarlarını yapılandırın. uBlock Origin gibi güvenilir eklentiler kullanın. Eklentilerin sayfalara geniş erişimi olduğunu unutmayın. Tarayıcı sanal alanı ve site yalıtımı, web tabanlı istismarlardan kaynaklanan zararı sınırlar.