İçeriğe atla

Skype güvenliği

Skype
Skype

mobil uygulama

Skype, Skype Technologies S.A. tarafından geliştirilen İnternet Üzerinden Ses Protokolü (VoIP) sistemidir.[1] Sesli aramaların özel amaçlı bir ağdan ziyade İnternet üzerinden geçtiği eşler arası (peer-to-peer) bir ağdır. Skype kullanıcıları diğer kullanıcıları arayabilir ve onlara mesaj gönderebilir.[2]

Skype, kullanıcılar arasında iletişimi şifrelemek için 256 bit AES kullanır, ancak telefon veya cep telefonundan ararken PSTN üzerinden yapılan görüşmenin bir kısmı şifrelenmez. Kullanıcı ortak anahtarları, girişte Skype sunucusu tarafından 1536 veya 2048 bit RSA sertifikalarıyla onaylanmıştır.[3] Skype'ın şifrelemesi Skype protokolü'nün doğasında bulunur ve arayanlar için şeffaftır. Ağ üzerinden yapılan aramalar uçtan uca şifreleme kullanmadığından, Microsoft ve devlet kurumları tarafından rutin izleme yapılmasına izin verdiği için Skype güvenli bir VoIP sistemi olarak kabul edilmez.

Güvenlik Politikası

Şirketin güvenlik politikası şunları içerir:

  • Kullanıcı adları benzersizdir.
  • Arayanlar bir kullanıcı adı, parola ya da diğer kimlik doğrulama bilgilerini sunmalıdır.
  • Her arayan, diğerine her oturum açıldığında kimlik ve ayrıcalık kanıtı sağlar. Her biri, oturumun ileti taşımasına izin verilmeden önce diğerinin kanıtını doğrular.[4]
  • İletilen mesajlar arayandan arayana şifrelenir. Hiçbir ara düğüm (yönlendirici) bu mesajların anlamlarına erişemez. Bu iddia, Mayıs 2013'te Microsoft'un (Skype'ın sahibi) bir Skype görüşmesine katıştırılmış benzersiz URL'lere ping uyguladığına dair kanıtlarla zayıflatılmıştır.

Uygulama ve protokoller

Kayıt

Skype kayıt bilgilerini hem arayanın bilgisayarında hem de bir Skype sunucusunda tutar. Skype, bu bilgileri arama alıcılarının kimliğini doğrulamak ve kimlik doğrulaması isteyen arayanların bir sahtekâr yerine bir Skype sunucusuna erişmesini sağlamak için kullanır. Skype, bunu gerçekleştirmek için RSA Algoritması tarafından tanımlanan genel açık anahtarlı şifreleme kullanır.[5]

Skype sunucusunun özel bir anahtarı vardır ve bu anahtarın ortak karşılığını yazılımın her kopyasıyla dağıtır. Kullanıcı kaydının bir parçası olarak, kullanıcı istediği kullanıcı adını ve şifreyi seçer. Skype yerel olarak genel ve özel anahtarlar üretir. Özel anahtar ve parola karması kullanıcının bilgisayarında saklanır.

Ardından Skype sunucusuyla 256 bit AES şifreli bir oturum oluşturulur. İstemci rastgele sayı üretimi kullanarak bir oturum anahtarı oluşturur.

Skype sunucusu, seçilen kullanıcı adının benzersiz olduğunu ve Skype'ın adlandırma kurallarına uygun olduğunu doğrular. Sunucu, kullanıcı adını ve şifresinin karmasını bir veritabanında saklar.[6]

Sunucu daha sonra kullanıcı adını, doğrulama anahtarını ve anahtar tanımlayıcısını bağlayan kullanıcı adı için bir kimlik sertifikası oluşturur ve imzalar.

Eşler arası anahtar anlaşması

Her çağrı için Skype, 256 bit oturum anahtarıyla bir oturum oluşturur. Bu oturum, iletişim devam ettiği sürece ve sonrasında sabit bir süre boyunca devam eder. Bir aramayı bağlamanın bir parçası olarak, Skype oturum anahtarını arama alıcısına güvenli bir şekilde iletir. Bu oturum anahtarı daha sonra iletileri her iki yönde şifrelemek için kullanılır.

Oturum şifreleme

Bir oturumdaki tüm trafik, blok şifre çalışma kipleri (ICM) çalışan AES algoritması kullanılarak şifrelenir. Skype, geçerli sayacı ve 256 bit AES algoritmasını kullanarak oturum anahtarıyla şifreler.[7] Bu, daha sonra mesaj içeriğiyle XORed anahtar akışını döndürür ve alıcıya iletilen şifreli şifreleme metni üretir. Skype oturumları birden fazla akış içerir. ICM sayacı akışa ve akış içindeki konuma bağlıdır.

Rastgele sayı oluşturma

Skype, rastgele sayıları, oynatma saldırılarına karşı koruma, RSA anahtar çiftlerinin oluşturulması ve içerik şifrelemesi için AES anahtar yarılarının oluşturulması gibi çeşitli şifreleme amaçları için kullanır. Skype eşler arası oturumun güvenliği, Skype oturumunun her iki ucu tarafından üretilen rastgele sayıların kalitesine önemli ölçüde bağlıdır. Rastgele sayı oluşturma, işletim sistemine göre değişir.

Kriptografik ilkeller

Skype, güvenlik hedeflerine ulaşmak için standart şifreleme ilkelerini kullanır. Skype'ta kullanılan şifreleme ilkeleri şunlardır: AES blok şifresi, RSA ortak anahtarlı şifreleme sistemi, ISO 9796-2 imza doldurma şeması, SHA-1 karma işlevi ve RC4 akış şifresi.

Anahtar anlaşma protokolü

Anahtar anlaşması tescilli, simetrik bir protokol kullanılarak gerçekleştirilir. Bir oynatma saldırısına karşı korunmak için, akranlar 64-bit rastgele nosyonlarla birbirlerine meydan okurlar. Davet yanıtı, daveti özel bir şekilde özelleştirmek ve yanıtlayanın özel anahtarıyla imzalanmış olarak geri göndermektir.

Akranlar Kimlik Sertifikalarını alıp verir ve bu sertifikaların yasal olduğunu onaylar. Kimlik Sertifikası ortak bir anahtar içerdiğinden, her uç diğer eş tarafından oluşturulan imzaları onaylayabilir. Her eş, 256 bit oturum anahtarına 128 rastgele bit ekler.

Otomatik güncellemeler

Başka bir güvenlik riski, 5.6 sürümünden, Mac OS ve Windows şubelerinden devre dışı bırakılamayan ve yalnızca 5.9 sürümünden sonra devre dışı bırakılamayan otomatik güncellemelerdir.[8]

Kaynakça

  1. ^ "Arşivlenmiş kopya". 14 Eylül 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 19 Ocak 2020. 
  2. ^ "Arşivlenmiş kopya". 25 Temmuz 2020 tarihinde kaynağından arşivlendi. Erişim tarihi: 19 Ocak 2020. 
  3. ^ "Arşivlenmiş kopya". 19 Kasım 2015 tarihinde kaynağından arşivlendi. Erişim tarihi: 19 Ocak 2020. 
  4. ^ "Arşivlenmiş kopya". 7 Şubat 2020 tarihinde kaynağından arşivlendi. Erişim tarihi: 19 Ocak 2020. 
  5. ^ "Arşivlenmiş kopya". 28 Aralık 2019 tarihinde kaynağından arşivlendi. Erişim tarihi: 19 Ocak 2020. 
  6. ^ "Arşivlenmiş kopya". 19 Nisan 2020 tarihinde kaynağından arşivlendi. Erişim tarihi: 19 Ocak 2020. 
  7. ^ "Arşivlenmiş kopya" (PDF). 9 Haziran 2016 tarihinde kaynağından (PDF) arşivlendi. Erişim tarihi: 19 Ocak 2020. 
  8. ^ "Arşivlenmiş kopya". 23 Ocak 2020 tarihinde kaynağından arşivlendi. Erişim tarihi: 19 Ocak 2020. 

Ayrıca bakınız

İlgili Araştırma Makaleleri

<span class="mw-page-title-main">AES</span> Şifreleme standartı

AES, elektronik verinin şifrelenmesi için sunulan bir standarttır. Amerikan hükûmeti tarafından kabul edilen AES, uluslararası alanda da defacto şifreleme (kripto) standardı olarak kullanılmaktadır. DES'in yerini almıştır. AES ile tanımlanan şifreleme algoritması, hem şifreleme hem de şifreli metni çözmede kullanılan anahtarların birbiriyle ilişkili olduğu, simetrik-anahtarlı bir algoritmadır. AES için şifreleme ve şifre çözme anahtarları aynıdır.

HTTPS bir bilgisayar ağı üzerinden güvenli iletişim için internet üzerinde yaygın olarak kullanılan bir HTTP uzantısıdır. HTTPS'te, iletişim protokolü Taşıma Katmanı Güvenliği (TLS) veya öncesinde, onun öncülü/selefi olan Güvenli Soket Katmanı (SSL) ile şifrelenir. Bu nedenle protokol sık sık TLS üzerinden HTTP veya SSL üzerinden HTTP olarak da adlandırılır.

<span class="mw-page-title-main">Elektronik imza</span>

Elektronik imza ya da sayısal imza, başka bir elektronik veriye eklenen veya elektronik veriyle mantıksal bağlantısı bulunan ve kimlik doğrulama amacıyla kullanılan elektronik veridir. E-imza olarak da bilinir. Elektronik ortamlarda imza yerine kullanılabilen yasal kimlik doğrulama sistemidir. Elektronik imza, elektronik belge'ye girilen bir isim kadar basit olabilir. Dijital imzalar, elektronik imzaları kriptografik olarak korunan bir şekilde uygulamak için e-ticarette ve düzenleyici dosyalarda giderek daha fazla kullanılmaktadır. Özellikle e-ticaretin hızlı yükselişi nedeniyle daha fazla önem kazanmştır. Elektronik imza sayesinde imzalanmış verinin, kimin tarafından imzalandığı ve güvenilirliği kontrol edilmiş olur. Elektronik imza; iletilen bilginin bütünlüğünün bozulmadığını, bilginin tarafların kimlikleri doğrulanmak suretiyle iletildiğini garanti eder. Ulusal Standartlar ve Teknoloji Enstitüsü veya ETSI gibi standardizasyon ajansları, bunların uygulanması için standartlar sağlar.

<span class="mw-page-title-main">Açık anahtarlı şifreleme</span> hem herkese açık hem de gizli anahtarları kullanarak yapılan şifreleme

Açık anahtarlı şifreleme, şifre ve deşifre işlemleri için farklı anahtarların kullanıldığı bir şifreleme sistemidir. Haberleşen taraflardan her birinde birer çift anahtar bulunur. Bu anahtar çiftlerini oluşturan anahtarlardan biri gizli anahtar diğeri açık anahtardır. Bu anahtarlardan bir tanesiyle şifreleme yapılırken diğeriyle de şifre çözme işlemi gerçekleştirilir. Bu iki anahtar çifti matematiksel olarak birbirleriyle bağlantılıdır.

Gizli anahtarlı şifreleme ya da simetrik şifreleme, kriptografik yöntemlerden, hem şifreleme hem de deşifreleme işlemi için aynı anahtarı kullanan kripto sistemlere verilen isimdir. Haberleşen tarafların aynı anahtarı kullanmaları gerektiği için burada asıl sorun anahtarın karşıya güvenli bir şekilde iletilmesidir. Simetrik şifreleme, anahtar karşıya güvenli bir şekilde iletildiği sürece açık anahtarlı şifrelemeden daha güvenlidir. Anahtar elinde olmayan birisi şifrelenmiş metni ele geçirse de şifrelenmiş metinden asıl metni bulması mümkün değildir. Simetrik şifrelemede haberleşen tarafların her biri için bir anahtar çifti üretilmelidir. Bu yüzden de çok fazla anahtar çifti üretilmesi gereklidir.

<span class="mw-page-title-main">Transport Layer Security</span> Internet Şifreleme Protokolü

Taşıma Katmanı Güvenliği (TLS) ve onun öncülü/selefi olan Güvenli Soket Katmanı (SSL), bilgisayar ağı üzerinden güvenli haberleşmeyi sağlamak için tasarlanmış kriptolama protokolleridir. X.509 sertifikalarını kullanırlar ve bundan dolayı karşı tarafla iletişime geçeceklerin kimlik doğrulaması asimetrik şifreleme ile yapılır ve bir simetrik anahtar üzerinde anlaşılır. Bu oturum anahtarı daha sonra taraflar arasındaki veri akışını şifrelemek için kullanılır. Bu, mesaj/veri gizliliğine ve mesaj kimlik doğrulama kodları için mesaj bütünlüğüne izin verir. Protokollerin birçok versiyonu ağ tarama, elektronik mail, İnternet üzerinden faks, anlık mesajlaşma ve İnternet üzerinden sesli iletişim gibi uygulamalarda yaygın olarak kullanılmaktadır. Bu durumda/içerikte/bağlamda en önemli özellik iletme gizliliğidir. Bundan dolayı kısa süreli oturum anahtarı, uzun süreli gizli simetrik anahtardan türetilememelidir.

<span class="mw-page-title-main">GNU Privacy Guard</span>

GNU Privacy Guard, şifreleme yazılımı PGP yerine GPL lisanslı bir özgür yazılım alternatifidir. Özgür Yazılım Vakfı'nın GNU projesinin bir parçası olarak geliştirilmektedir ve en önemli maddi yardımını Alman hükûmetinden almıştır. GPG, IETF'nin OpenPGP standartıyla tamamen uyumludur. PGP'nin güncel sürümleri GPG ve diğer OpenPGP uyumlu sistemlerle uyumluluk göstermektedir. Aynı zamanda bazı eski sürümlerde de bu uyumluluk söz konusudur, fakat güncel sürümün tüm özellikleri eski sürümlerce desteklenmemektedir. Kullanıcıların bu uyum sorunlarını anlamaları ve bunları göz önünde bulundurarak çalışmaları gerekmektedir.

<span class="mw-page-title-main">Kerberos (iletişim kuralı)</span>

Kerberos / kərbərəs / güvenli olmayan bir ağ üzerinde haberleşen kaynakların, bilet mantığını kullanarak kendi kimliklerini ispatlamak suretiyle iletişim kurmalarını sağlayan bir bilgisayar ağı kimlik doğrulama protokolüdür. Protokolün tasarımcıları, ilk başta istemci-sunucu modelini hedef almış ve bu doğrultuda hem kullanıcının hem de sunucunun birbirlerinin kimliklerini doğrulamasını sağlayan karşılıklı kimlik doğrulama özelliğini sunmuşlardır. Kerberos protokol mesajları, izinsiz dinlemelere ve yansıtma ataklarına karşı dayanıklıdır.

İnternet anahtar değişim protokolü ya da Internet Key Exchange internet üzerinde güvenli bir şekilde veri alışverişi için kullanılan anahtarların değişimini sağlayan protokoldür.

<span class="mw-page-title-main">Aradaki adam saldırısı</span>

Man-in-the-middle saldırısı, saldırganın birbiri ile doğrudan iletişim kuran iki taraf arasındaki iletişimi gizlice ilettiği veya değiştirdiği saldırı türüdür. İletişim ağı üzerinde veri paketleri serbestçe dolaşır. Özellikle broadcast olarak salınan paketler, aynı ağa bağlı tüm cihazlar tarafından görülebilir. İlkesel olarak hedefinde kendi IP'si olmayan bir paketi alan makinelerin, bu paketlerle ilgili herhangi bir işlem yapmamaları gerekir. Ancak istenirse bu paketlere müdahale edebilir ya da içeriğini öğrenebilirler. Aradaki adam saldırısı ağ üzerindeki paketleri yakalayarak manipüle etmek olarak özetlenebilir.

<span class="mw-page-title-main">Simetrik anahtar algoritmaları</span>

Simetrik anahtar algoritmaları aynı ya da benzer kripto-grafik şifreleri kullanarak hem şifreleme hem de deşifreleme yapan bir kripto-grafik algoritma grubudur. Şifreler ya birebir aynı ya da basit bir yöntemle birbirine dönüştürülebilir olmalıdır. Pratikte anahtarlar gizli bağlantının devam ettirilmesinde kullanılan iki ya da daha fazla taraf ile paylaşılmış bir şifreyi temsil ederler. Açık anahtarlı şifrelemeye göre ana dezavantajlarından biri iki partinin de gizli anahtara erişiminin olması gerekliliğidir.

Kriptografide çalışma kipleri, bir blok şifrenin tek bir anahtar altında güvenli bir şekilde tekrarlı kullanımına olanak veren yöntemlerdir. Değişken uzunluktaki mesajları işlemek için veriler ayrı parçalara bölünmelidir. Son parça şifrenin blok uzunluğuna uyacak şekilde uygun bir tamamlama şeması ile uzatılmalıdır. Bir çalışma kipi bu bloklardan her birini şifreleme şeklini tanımlar ve genellikle bunu yapmak için ilklendirme vektörü (IV) olarak adlandırılan rastgele oluşturulmuş fazladan bir değer kullanır.

<span class="mw-page-title-main">Dizi şifresi</span> simetrik anahtar şifreleme metodu

Kriptografide, bir kesintisiz şifreleme, dizi şifresi veya akış şifresi bir simetrik anahtardır. Düz metin bitlerinin bir exclusive-or (XOR) işlemi kullanılarak bir sözde rastgele şifre bit akışı ile birleştirildiği şifrelemedir. Bir akış şifresinde düz metin sayısal basamakları her seferinde bir tane şifrelenir ve ardışık basamakların dönüşümü şifreleme durumu sırasında değişir. Her bir basamağın şifrelenmesi mevcut duruma bağlı olduğundan alternatif bir isim durum şifresidir. Pratikte, basamaklar tipik olarak tek bitler veya baytlardır.

Pretty Good Privacy (PGP), 1991 yılında Phil Zimmermann tarafından geliştirilen, OpenPGP standardını kullanarak veri şifrelemek, şifreli veriyi çözmek veya veriyi imzalamak için kullanılan, gönderilen ya da alınan verinin gizliliğini ve kimlik doğrulamasını sağlayan bir bilgisayar programıdır. Genellikle text dokümanlarını, e-postaları, dosyaları, klasörleri ve disk bölümlerini şifrelemek ve imzalamak için kullanılır.

Günlük kullanmış olduğumuz şifreler disk üzerinde özet olarak kayıt edilir. Bu özetler iki ayrı şekilde LM ve NTLM olarak tutulup birbiri ile entegre olarak işlem görür ve kimlik doğrulamasını gerçekleştirir. Windows işletim sisteminde ise kullanıcı hesapları ve parolaların şifrelemesinde kullanılan SYSKEY bilgisi SAM dosyasında tutulur. İşletim sistemi çalışır durumunda bu dosyayı kontrolünde tutar, Admin dahi olunsa işletim sistemi içerisinden herhangi bir müdahaleye izin vermez. Windows İşletim sistemleri versiyonu doğrultusunda, kullanıcı parolalarını NTLM veya LM özeti fonksiyonuna sokarlar. Sonuç olarak SYSTEM dosyası içerisinde bulunan SYSKEY ile şifreler ve bu şekilde SAM dosyasına kayıt eder. Örnek olarak SAM dosyasında tutulan kullanıcı hesap bilgileri aşağıdaki gibidir.

Güvenli kabuk,, ağ hizmetlerinin güvenli olmayan bir ağ üzerinde güvenli şekilde çalıştırılması için kullanılan bir kriptografik ağ protokolüdür. En iyi bilinen örnek uygulaması bilgisayar sistemlerine uzaktan oturum açmak için olandır.

Tekrarlama saldırısı, geçerli bir veri iletiminin kötü niyetlilik veya sahtekarlıkla tekrarlandığı veya geciktirildiği bir ağ saldırısıdır. Bu saldırı, orijinal veri iletimcisi tarafından ya da veri iletimini IP paketi değişimi içeren bir aldatma saldırısı kullanarak kesen ve yeniden ileten bir saldırgan tarafından gerçekleştirilir. Bu, ortadaki adam saldırısının alt kademe versiyonlarından biridir.

Uçtan uca şifreleme (E2EE), sadece uç noktadaki kullanıcıların okuyabildiği bir iletişim sistemidir. Hedefi, İnternet sağlayıcıları, ağ yöneticileri gibi aradaki potansiyel gizli dinleyicilerin, konuşmanın şifresini çözmek için gereken şifreleme anahtarlarına erişmesini engellemektir.

Kriptografide, ilklendirme vektörü kısaca İV ya da ilklendirme değişkeni, tipik olarak rastgele veya sözde rassal olması gereken bir şifreleme temelinin sabit boyuta sahip olan girdisidir. Bu rastgelelik, şifreleme işlemlerinde anlamsal güvenliği sağlamak için çok önemlidir. Anlamsal güvenlik tek bir şifreleme yönteminin aynı anahtar ile tekrar tekrar kullanılmasının şifrelenmiş mesajın bölümleri arasındaki ilişkileri çıkarmasına izin vermediği bir özelliktir. Blok şifreleri için, İV kullanımı çalışma kipleri ile açıklanmaktadır. Ayrıca, evrensel hash fonksiyonları ve buna dayanan mesaj kimlik doğrulama kodları gibi diğer temel öğeler için de rastgeleleştirme gereklidir.


Bu sayfa, bu Vikipedi makalesine dayanmaktadır.
Metin, CC BY-SA 4.0 lisansı altında mevcuttur; ek koşullar uygulanabilir.
Görseller, videolar ve sesler kendi lisansları altında mevcuttur.