Gmail’e ek guvenlik:E-postalarinizi sizden baska kim okuyor?

Mail iletisimi hayatimizin bir parcasi haline geleli uzun zaman oluyor. Son donemlerde moda haline gelen BlackBerry cihazlarla birlikte hayatimizin ayrilmaz bir parcasi haline geldigi de soylenebilir. (En azindan benim icin oyle.)Cep telefonu ile konusamayacak oldugumuz durumlarda bile birkac tus darbesi ile maillerimizi okuyup cevapliyabiliyoruz.

Kullanim orani arttikca buna bagli risklerde artiyor. Tum islerin mail uzerinden yapilmasi maillerin sirket acisindan onemini arttiriyor. Oyle ya tum projelerinizi yoneten ve bu isi mailler araciligi ile yapan bir calisanin isten ayrilmasi ile birlikte yapilan islerin tum detaylari da kayboluyor. Ya da disardan kolaylikla erisilebilen bir mail sunucu uzerinden sirketin en yetkili kisilerinin mailleri okunabilir.(Patronlar genelde kolay bulunabilecek parola kullanirlar:)

Hal boyle olunca ve mail uzerinden islenen suclar artinca bu konuyu gundemine alan kanunlar ve standartlar artmaya basladi. SOX kanunu bunlarin basinda geliyor. Kisaca tum sirket calisanlarinin maillerinin belli yil saklanmasini gerekli kiliyor.

Kanun ve standartların yonlendirmesi ile birlikte cogu firma artik calisanlarinin maillerini arsivleme yoluna gidiyor.

Gelelim guncel hayata: orda da kisisel olarak cogu isimiz mailler uzerinden donuyor ve yine cok buyuk bir oranimiz Gmail, Yahoo, hotmail gibi ucretsiz mail hizmeti veren yerleri kullaniyor. Ben de ciktigi gunden beri Gmail’i aktif olarak kullaniyorum.

Bir ara tum maillerimi Gmail uzerinden yonetmeye bile yeltenmistim ki bu aksiyonum cok kisa surdu(kendime ait sebeplerim var). Dikkatimi ceken bir konu Gmail’in cikardigi ek yenilikler hep kullanim kolayligi ve ozellik arttirimina yonelik. Guvenlik konusuna o kadar dikkat edilmiyor[1].

Nihayet Google Gmail’in guvenlik yonune de el atmaya basladi. Benim buyuk eksikligini cektigim audit mekanizmasi devreye alinacak gibi. Gmailblog’da yazilanlara gore kisa sure icerisinde gmail’e eklenecek ozellik sayesinde Gmail’i kimin nereden kullandigi bilgilerini anlik ve gecmise yonelik tutacak.Hani su banka hespalariniza girdiginizde son baglanti adresi ve zamanini gosteren uyarilar olur ya tipki onun gibi Gmail’imize kimin hangi yontemi(web, mobile, POP vs) kullanarak ne zaman hangi ip adresinden ulastigini ogrenebilecegiz.

[1] Ozellikle sidejacking yontemi ile https uzerinden kullanilsa bile oturum(session) cookilerinin ara ara şifrelenmeden aktariliyor olmasi birilerinin parolanizi bilmeden bu cookiler araciligi ile maillerinizi okuyabilmesine olanak saglar.

Diger bir eksiklik te arabirimde yapilan degisikliklerin geriye yonelik loglanmamasi(onemli cunki birileri arabirime girip belirli tipteki mailleri baska bir adrese iletmek icin ayarlamis olabilir) ve mail arabirimine kimlerin ne zaman baglandigi bilgisini gostermemesi.(cogu mail saglayicilar Gmail kadar bile olamiyor orasi baska)

Guncelleme-I

27.07.2008 tarihi itibari ile Firefox eklentisi kullanmadan baglantinin devamli https olmasini saglayabiliyoruz. Bunun icin settings kisminda Always use https secenegini isaretlemeniz yeterli.

Kaynaklar:

http://gmailblog.blogspot.com/2008/07/remote-sign-out-and-info-to-help-you.html

http://erratasec.blogspot.com/2008/07/gmail-now-shows-ip-address-log.html

Tabi unutmadan soylemek lazim qmail+Vpopmail ile biz bu tip bilgileri yillar oncesinden alabiliyorduk. Hatta hatirladigim kadari ile Squirrelmail’in boyle bir eklentisi bile vardi.

This entry was posted in Forensic, Privacy. Bookmark the permalink.

Leave a Reply

Your email address will not be published. Required fields are marked *

1 × 1 =