Güvenlik saati: Google’ı gmailinizden uzak tutabilir misiniz?

Bu hafta, iki faktörlü kimlik doğrulaması veya 2FA kullanıyorken hesaplarınızdan nasıl kilitlenmeyeceğinize dair daha önce yazmış olan bir okuyucunun mesajını takip ediyorum. Capetown'dan Jeremy, Google’ı Gmail’den uzak tutmak için 2FA kullanmanın mümkün olup olmadığını sormak için de yazdı. Mektubu kısalık için düzenlendi.

Birinin Google’ın Gmail’e erişmesini engelleyebilecek bir güvenlik uygulaması var mı?

İki Faktörlü Kimlik Doğrulama Nedir?

Gözden geçirmek için: iki faktörlü kimlik doğrulama, olası üç listeden iki kimlik doğrulama faktörünü kullandığınızda gerçekleşir: Bildiğiniz, sahip olduğunuz veya sahip olduğunuz bir şey. Bir şifre, örneğin, bildiğiniz bir şeydir ve parmak izi sizsiniz. İkisini birlikte kullandığınızda, 2FA kullanıyorsunuzdur.

Pratik olarak, 2FA, kim olduğunuzu kesinlikle kanıtlamak için şifrenizi girdikten sonra attığınız ilave bir adım içerir. Bu, genellikle bir uygulamadan oluşturulan veya SMS ile gönderilen tek seferlik bir kod kullanılmasını içerir, ancak Duo gibi dokunma uygulamaları veya Yubico ve diğer üreticilerinki gibi donanım güvenlik anahtarları da dahil olmak üzere birçok başka seçenek vardır.

2FA iyidir. Kullanmalısın. Kötü adamları hesaplarınızdan uzak tutmanın harika bir yoludur, ancak Google’ı uzak tutmanın çok işe yarayacağı görünmüyor.

Kim ne görür?

Genel olarak, Google e-postalarınızın içeriğine erişime sahip görünüyor. Kendisini eski bir Google çalışanı olarak listeleyen Christopher Cuong Nguyen, 2010 yılında Quora'ya çok az sayıda çalışanın e-posta içeriğine erişebileceğini ve bilgilerin alınması için çok düzenli bir yol bulunduğunu yazdı. Şimdi, bu bilgi bu noktada neredeyse on yıl eski, ancak bir noktada Gmail hesabınıza ulaşabilecek insanlar olduğunu gösteriyor.

Yasalara bağlı bir şirket olarak Google, hükümetlerden ve yasa uygulayıcılardan gelen bilgi için yasal taleplere uymanın gerekli olduğunu söylüyor. Bu, Google, fotoğraflarınızı, belgelerinizi, e-posta iletilerinizi ve daha fazlasını teslim etmeden önce aldığı isteklerin kapsamını daraltmaya çalıştığını ve arama emri gerektirdiğini belirtmesine rağmen, e-posta iletilerinizin içeriğini içerebilir.

Google’ın Gmail bilgilerinizi kullanmasının başka yolları da vardır. Şirket artık özel reklam içeriği oluşturmak için mesajlar taramasına rağmen, yıllarca meşhurdu. Şimdi bile, Gmail, iletilerinizi seyahat bilgilerini ortaya çıkarmak ve vurgulamak ve mesaj yazarken öneri önerilerde bulunmak için yeterince ayrıştırır. Konfor seviyenize bağlı olarak, bu tamamen iyi veya çılgınca istilacı olabilir.

Google , e-postalarınızı şifreliyor, ancak öncelikle bu iletiler taşınırken. Bu mesajlar Google’ın sunucularında dinlenirken şifrelenmiş olsa bile, Google şifreleme anahtarlarını yönetiyorsa ve gördüklerimi ima ediyorsa - Google makul olarak iletilerinize erişebilir.

2FA Cevap Değil

Jeremy'nin sorusu ile nereden geldiğini görebiliyorum. Yubikey'imi kontrol ettiğimden ve Google, 2FA'yı etkinleştirirsem Google’ın Gmail hesabıma erişememesi gerektiğini bilmemektedir. Ancak Google, 2FA ile güvence altına alınan hesaplarda yapılan değişiklikleri etkileyebilir.

Çalışma dışı Gmail hesaplarımdan birinin hesabını ateşleyerek Şifremi Unuttum seçeneğini tıkladım. Hemen oturum açma için alternatif seçenekler atladı: telefonuma bir metin göndermek, Yubikey'imi kullanarak, doğrulanmış bir telefonda bir uyarıya dokunmak, kurtarma e-posta adresime bir e-posta göndermek, bir güvenlik sorusunu cevaplamak, Gmail'imi oluşturduğum tarihi girmemek hesap ve sonra nihayet doğrudan sorunumu çözmek için Google tarafından ulaşabileceğim bir e-posta adresi bırakarak. Google, şifremi veya ikinci faktörümü mutlaka belirtmeden kendi hesabıma erişebilmeme izin veriyorsa, bu Google’ın kendisi yapabileceği anlamına gelir.

Google’ın Gmail için Gelişmiş Koruma Programı’nın bile bir tür kurtarma seçeneği vardır. Etkinleştirildiğinde, Gelişmiş Koruma, oturum açmak için diğeri yedek olarak olmak üzere iki farklı donanım güvenlik anahtarı kaydetmenizi gerektirir. Her iki anahtarı da kaybederseniz, Google bunu Gelişmiş Koruma Programı hesabınızın kontrolünü yeniden ele geçirme konusunda söyler:

Giriş yapmış bir oturuma hala erişiminiz varsa, account.google.com adresini ziyaret edebilir ve kayıp anahtarları yerine yedek anahtarları kaydedebilirsiniz. Her iki anahtarı da kaybettiyseniz ve oturum açmış bir oturuma erişiminiz yoksa, hesabınızı kurtarmak için bir istek göndermeniz gerekir. Google’ın sizin olduğunu doğrulaması ve hesabınıza erişmesine izin vermesi birkaç gün alacaktır.

Dengede, 2FA gibi görünüyor - Gelişmiş Koruma'da kullandığı en uç sürüm olsa bile, Google’ı e-postanızdan uzak tutmak için yeterli değil. Çoğu insan için bu muhtemelen iyi bir şey. E-posta hesapları, bir bireyin güvenlik altyapısının inanılmaz önemli bir parçasıdır. Bir şifreyi kaybederseniz veya bir şifreyi değiştirmeniz gerekirse, doğrulanmış bir hesaba gönderilen e-posta genellikle işlemin bir parçasıdır. Bir saldırgan e-posta hesabınıza erişirse, daha fazla hesaba erişmek için web sitelerinde hesap kurtarma seçeneğini kullanmaya devam edebilirler. Kullanıcıların hesaplarının kontrolünü yeniden kazanmaları için araçlara sahip olmaları önemlidir.

Gerçekten Özel Mesajlar

Mesajlaşma sistemlerinde neyin görülebildiğini ve görülemeyeceğinden bahsederken, kimlik doğrulamadan değil, şifrelemeden bahsediyoruz. Servislerin çoğu, mesaj gönderme ve kaydetme sürecinde farklı noktalarda şifreleme kullanır. Örneğin Gmail, ele geçirilmediğinden emin olmak için bir mesaj gönderirken TLS kullanır. Herhangi bir türden bir mesajlaşma servisi, sunucuda dinlenirken mesajlarınızı şifrelemek için kullanılan anahtarları sakladığında, şirketin bu mesajlara kendileri erişebileceği varsayımı güvenlidir.

Gmail hesabınızı korumak, ancak mesajlarınızı okunamaz hale getirmek istiyorsanız, bu mesajları kendiniz şifreleyebilirsiniz. Chrome için çok sayıda şifreleme eklentisi vardır veya Thunderbird'ü iletilerinizi e-posta için yaygın olarak kullanılan bir şifreleme şeması PGP ile şifrelemek üzere yapılandırabilirsiniz. Daha pahalı olan Yubico modelleri, gerektiğinde PGP anahtarınızı tükürecek şekilde de yapılandırılabilir.

Sadece dürüst olacağım ve bu çalışmaların bazılarından emin olduğumdan, onları yeterince anlayamadığımı söyleyeceğim. PGP'nin yaratıcısı meşhur olduğunu söyledi ki, süreci bile anlamaya zorlanmış buluyor.

Daha kolay olabilir, mesajları şifrelemek için şifreleme araçları kullanmak ve ardından şifreli çıktısını Gmail'e eklemek veya yapıştırmak. Şifre çözme işlemini diğer ucunda koordine etmeniz gerekir, ancak e-postanın içeriği Google’a veya bu konuda başka birisine okunamaz. Keybase.io, bir e-postada kullanılabilecek metni şifreleyen, şifresini çözen veya imzalayan başka bir hizmettir.

Kesinlikle kimsenin e-postanıza erişimi olmadığından emin olmanız gerekiyorsa, birkaç seçenek vardır. Birincisi ve en önemlisi, Gmail’i atmak olacaktır. ProtonVPN'in yaratıcılarından ProtonMail, gizliliğinize saygı duymaya yönelik bir hizmettir ve bunu, diğer e-posta sağlayıcılarını kullanan kişilerden gönderdiğiniz ve aldığınız kişiler de dahil olmak üzere tüm e-posta iletilerinizi şifreleyerek yapar. ProtonMail'in nasıl çalıştığını şöyle açıklıyor:

ProtonMail gelen kutunuzdaki tüm mesajlar uçtan uca şifreli olarak saklanır. Bu, mesajlarınızın hiçbirini okuyamayacağımız veya üçüncü kişilere veremeyeceğimiz anlamına gelir. Bu, ProtonMail üyesi olmayan kullanıcılar tarafından size gönderilen mesajları içerir, ancak Gmail'den size bir e-posta gönderildiyse aklınızda bulundurun, Gmail muhtemelen bu iletinin bir kopyasını da saklar.

• İki Faktörlü Kimlik Doğrulama: Kimde ve Nasıl Kurulması İki Faktörlü Kimlik Doğrulama: Kimde ve Nasıl Kurulması
• Google Titan Güvenlik Anahtarı Paketi Google Titan Güvenlik Anahtarı Paketi
• SecurityWatch: İki Faktörlü Kimlik Doğrulama ile Nasıl Kilitli Olmayacaksınız SecurityWatch: İki Faktörlü Kimlik Doğrulama ile Nasıl Kilitli Olmayacaksınız

Başka bir seçenek e-postanın ötesine bakmaktır. 2010'ların sonlarında, cihazlar arasında mesaj göndermek için SMS planınız yerine veri bağlantınızı kullanan üst düzey mesajlaşma hizmetleri bir araya geldi. Son yıllarda, bu hizmetlerin birçoğu uçtan uca şifrelemeyi benimsemiştir; bu, yalnızca sizin ve istediğiniz alıcının mesajlarınızı okuyabileceği anlamına gelir. Sinyal en iyi bilinen ve kendi başına mükemmel bir uygulama. WhatsApp Sinyal protokolünü kabul etti ve şimdi mesajlarını uçtan uca şifreliyor. Facebook Messenger, biraz ironik bir şekilde, Gizli Mesajlar modu için Sinyal protokolünü de kullanıyor.

Apple'ın Mesajlar platformu muhtemelen etiketleri ve animoji karaoke ile bilinir, ancak aynı zamanda oldukça güvenli bir mesajlaşma sistemidir. Ayrıca, diğer mesajlaşma servislerinin aksine, mesajlarınızın içeriğine Apple erişimi vermeden telefonunuzda veya bilgisayarınızda mesaj gönderip alabilirsiniz.

Gmail’i kullanmak söz konusu olduğunda, insanların bağırsaklarını dinlemelerini tavsiye ederim. Mesajlarınızın insanlar veya botlar tarafından okunmasından endişe duyuyorsanız, bir alternatif deneyin. Gmail sizin için gerçekten uygunsa ve sunduğu özellikleri seviyorsanız, buna bağlı kalın. Gmail’i tamamen güvende olmaya bükmeye çalışmak kesinlikle mümkün, ancak çok daha kolay alternatifler var. Son olarak, 2FA kötü adamları hesaplarınızdan uzak tutmak için mükemmel bir çözümdür. Bir hizmetin sahibini kilitlemek için buna güvenmezdim.