OPSEC Hataları

OPSEC (Operasyonel Güvenlik), sizi tanımlayabilecek bilgileri ve davranışları koruma uygulamasıdır. İnsan alışkanlıkları gerçeği açığa çıkardığında en güçlü araçlar bile başarısız olur.

Tarih, bozuk kriptografi nedeniyle değil, tek bir dikkatsiz hata yüzünden yakalanan yetenekli uygulayıcılarla doludur. Bu ders, yetkili çalışmalarda bunlardan kaçınabilmeniz için söz konusu hataları inceler.

Klasik hata, anonim kişiliğinizi gerçek kişiliğinizle ilişkilendirmektir. Örnekler:

• Tor kullanırken kişisel e-postada veya sosyal medya hesabında oturum açmak.
• Anonim ve gerçek hesaplarda aynı kullanıcı adını yeniden kullanmak.
• Aynı oturumdan kişisel bir siteye ve gizli bir siteye erişmek.

Tek bir örtüşme, araştırmacının bağlantıları kalıcı olarak kurmasına yeter.

Dosyalar gizli üst veriler taşır. Fotoğraflar GPS koordinatlarını ve kamera seri numaralarını (EXIF) saklar. Belgeler yazar adlarını, yazılım sürümlerini ve zaman damgalarını saklar.

Anonim bir kimlikten herhangi bir şeyi paylaşmadan önce üst verileri her zaman kaldırın.

Stilometri, yazım tarzını analiz eder: kelime dağarcığı, noktalama, sık yapılan yazım hataları ve ifade biçimi. Başka hiçbir bağlantı olmasa bile yazınız, hesaplar arasında sizi parmak iziyle tanımlayabilir.

Uygulayıcıların anonim paylaşımları, herkese açık yazılarının ayırt edici tarzıyla eşleştiği için kimlikleri açığa çıkarılmıştır.

Ne zaman etkin olduğunuz çok şey ortaya çıkarır. Anonim bir hesap belirli bir saat diliminde yalnızca 09.00-17.00 arasında çevrimiçiyse konumunuzu ve programınızı daraltmak mümkün olur.

Etkinlik zamanlarını bilinen kişilerle ilişkilendirmek, gerçek bir kimlik açığa çıkarma tekniğidir. Kalıpları çeşitlendirin ve anonim etkinlikleri günlük rutininizle örtüştürmekten kaçının.

Aynı e-postayı, telefon numarasını, sunucuyu, SSH anahtarını veya Bitcoin cüzdanını farklı operasyonlarda yeniden kullanmak bağlantılar oluşturur. Tek bir yeniden kullanılan tanımlayıcı, görünüşte ayrı etkinlikleri birbirine bağlayabilir.

Bölümlere ayırın: her kimlik, diğerine hiçbir zaman temas etmeyen, kendisine ait yalıtılmış bir altyapıya sahip olmalıdır.

Bir aracın gerçekte yaptığından fazlasını yaptığına inanmak tehlikelidir:

• VPN'in sizi anonim hâle getirdiğini düşünmek (güveni sağlayıcıya aktarır).
• Tor çıkış düğümü üzerinden HTTP kullanarak kimlik bilgilerini açığa çıkarmak.
• 'Gizli' veya 'özel tarama' modunun sizi ağdan gizlediğini varsaymak.

Her aracın tam olarak hangi güvenceleri sunduğunu ve sınırlarının neler olduğunu anlayın.

Temel savunma ilkesi bölümlere ayırmadır: birindeki ihlalin diğerlerine sıçramaması için kimlikleri, cihazları ve altyapıyı kesin olarak ayrı tutun.

Tails (amnezik, tüm trafiği Tor üzerinden yönlendirir) ve Qubes OS (yalıtılmış sanal makineler aracılığıyla güvenlik sağlar) gibi işletim sistemleri, bu ayrımı uygulamak üzere özel olarak tasarlanmıştır.

Birçok uygulayıcı, konuştukları için yakalanır: bir sohbette övünmek, muhbir hâline gelen bir dosta sır vermek veya gerçek dünyaya ait bir ayrıntıyı (yerel bir simge, evcil hayvanın adı, bir okul) ağzından kaçırmak.

Ne kadar çok şey söylerseniz o kadar fazla ilişkilendirme verisi oluşturursunuz. Sessizlik güçlü bir OPSEC uygulamasıdır.

İyi OPSEC doğaçlama değil, bilinçli bir çalışmadır. Süreç şöyledir:

• Belirleyin: neyi korumanız gerektiğini (kimliğinizi, konumunuzu, amacınızı).
• Tehditleri analiz edin: sizi kim bulmaya çalışıyor ve ne kadar yetenekli?
• Mevcut davranışınızdaki güvenlik açıklarını değerlendirin.
• Karşı önlemleri uygulayın ve bunları düzenli olarak gözden geçirin.

Disiplin, tek bir araçtan daha etkilidir.

Ünlü operasyonlar bu dersleri doğrular. Uygulayıcılar şu nedenlerle yakalanmıştır:

• Kişisel bir e-postaya kadar izlenebilen eski bir forum kullanıcı adını yeniden kullanmak.
• EXIF GPS bilgilerinin evlerini ortaya çıkardığı bir fotoğraf paylaşmak.
• Anonimlik katmanları olmadan bir kez altyapıya giriş yapmak.

Teknik kurulum çoğu zaman mükemmeldi; tek bir insani sürçme her şeyi sona erdirdi. Küçük hataların nasıl birikerek büyüdüğünü içselleştirmek için bu olayları inceleyin.

İnsanları açığa çıkaran OPSEC hatalarını incelediniz:

• Kimlikleri karıştırmak, kullanıcı adlarını veya altyapıyı yeniden kullanmak.
• Üst verileri sızdırmak, yazım tarzını ve zamanlama kalıplarını ele vermek.
• Araçlara sundukları güvencelerin ötesinde güvenmek ve sosyal sürçmelerde bulunmak veya övünmek.
• Savunma, bölümlere ayırma (Tails, Qubes) ve bilinçli hazırlanmış bir OPSEC planıdır.

Anonimlik ve OPSEC konusu burada tamamlanıyor. Sıradaki modül: Metasploit Framework'te Ustalaşma.