Dünyaca ünlü bir siber güvenlik uzmanının, eski ve güvenlik açıkları barındırabilecek bir e-posta yazılımına bel bağlamasını beklemeyebilirsiniz. Ancak Mikko Hyppönen yıllarca tam da bunu yaptı. Hotmail ve Gmail gibi yaygın seçenekleri kullanmak yerine, Eudora adlı artık güncelliğini yitirmiş bir e-posta yazılımını tercih etti. Finlandiyalı bilgisayar güvenliği uzmanı Hyppönen, "[Teknik] desteği sona erdikten yıllar sonra bile kullanmaya devam ettim" diyor.
Eudora'yı çeşitli nedenlerle tercih ediyor ve yazılımın "pek çok açıdan gerçekten üstün" olduğunu savunuyor. Eudora kusursuz bir güvenlik sunmaktan çok uzak olsa da insanlar daha yeni e-posta araçlarına geçiş yaparken Hyppönen, bilgisayar korsanlarının Eudora'yı göz ardı etmeye başladığını fark etmişti.
Eskilik Yoluyla Güvenlik Nedir?
Hyppönen bu durumu "eskilik yoluyla güvenlik" (security by antiquity) olarak adlandırıyor. Başkaları ise "modası geçmişlik yoluyla güvenlik" (security by obsolescence) ifadesini kullanıyor. Her iki durumda da kastedilen şey, daha yeni alternatiflere kıyasla ilk bakışta mantığa aykırı görünse de daha güvenli olabildiği için eski bir teknolojiye veya sisteme güvenmek.
Hyppönen, en son sürüm ve tüm güvenlik yamaları yapılmış güncel yazılımları kullanmanın hala "en ideali" olduğunu vurgulasa da güvenlik açısından eski teknolojilerin tercih edilebileceği özel durumlar da mevcut. Hyppönen durumu şöyle açıklıyor: "Saldırganların büyük çoğunluğu para kazanmaya çalışan suçlulardan oluşuyor ve sadece 50 kişinin kullandığı sistemleri hedef almaları onlar için hiç mantıklı değil."
Honeypot Deneyimi ve Eski Sistemlerin Göz Ardı Edilmesi
Hyppönen bu konuda yalnız değil. Örneğin İrlanda Havacılık Kurumu, daha modern olan uydu tabanlı küresel konumlandırma sisteminin (GPS) son yıllarda sinyal karıştırmaya karşı aşırı savunmasız olduğunun anlaşılması üzerine, yer tabanlı radyo seyrüsefer işaretlerini kullanmaya devam etme kararı aldı. Meğer "eskilik yoluyla güvenlik"; siber suçluları, bilgisayar korsanlarını ve düşman saldırganları alt etmenin sessiz bir yoluymuş.
California Üniversitesi'nden Profesör Matt Bishop, bu ilkeyi biraz da tesadüfen test etti. 1990'larda, kendisi ve meslektaşları internete bağlı bir sistem kurdular ve sisteme sızmaya çalışan bilgisayar korsanları ile botları yakalayabilmek amacıyla sistemi bilerek erişime açık bıraktılar. Bu, siber güvenlik araştırmalarında yaygın olarak kullanılan ve "honeypot" (bal küpü) adı verilen bir yöntem. Yani özenle kontrol edilen koşullar altında kurulan bir tür tuzak.
Ancak ekip, "honeypot"ları için, piyasaya sürüldüğünden bu yana defalarca güncellenmiş eski bir yazılım sürümünü seçti. Sonuç olarak hiçbir bilgisayar korsanı bu sistemi hedef almaya tenezzül etmedi. Bishop o günleri şöyle anımsıyor: "Sistemi yeni sürüme yükselttiğimizde, tam da istediğimiz türden saldırılarla karşılaştık. Bu durum bana çok eğlenceli gelmişti."
Eski Telefonlar ve Günlük Hayatta Eskilik Güvenliği
Eski teknolojide ısrar ederek kötü niyetli faaliyetlerden kaçınma imkanı, pek çok farklı biçimde karşımıza çıkabiliyor. Hem Bishop hem de Hyppönen, akıllı telefon kullanmayı reddeden arkadaşları olduğunu belirtiyor.
Hyppönen, tanıdığı birinin, ilk kez 25 yıl önce piyasaya sürülen, basit ve "akılsız" bir cep telefonu olan Nokia 9210 kullandığını söylüyor. Bilgisayar korsanları bu cihazı, modern bir Android veya iOS cihazını hedef alabilecekleri şekilde hedefleyemeseler de telefonun işletim sistemi Symbian'ın bilinen bazı eski güvenlik açıkları bulunuyor.
Hyppönen, işin diğer tarafında ise "artık kimsenin bunları hedef almıyor oluşunun" yer aldığını belirtiyor. Benzer şekilde, bu Nokia modeli telefon görüşmelerini dinlemeye yönelik yöntemler karşısında daha fazla risk taşıyor olabilir.
Ancak bununla kaç kişi uğraşır ki?
Teknoloji ilerledikçe uzmanlar, en yeni sistemlerin eskilerine kıyasla gerçekten daha riskli olup olmadığını sıkça sorgular hale geldi. 1990'ların sonlarında Bishop, bilgisayarların "hala kullandığımız ve hızla yerini yenilerine bırakan kağıt tabanlı sistemlerden çok daha az güvenli" olduğunu savunan bir konuşma kaleme almıştı.
Elektronik Oylama ve Askeri Alanda Eskilik Tercihi
Özellikle elektronik oylama sistemleri söz konusu olduğunda, kağıt tabanlı yöntemlerden dijital teknolojilere geçişe dair endişeler varlığını sürdürüyor. Bazıları, kısmen kağıt tabanlı sistemlere kıyasla seçim sonuçlarını çok daha hızlı ürettikleri için elektronik oylama makinelerinin tercih edilmesi gerektiğini savunuyor.
Ancak bu argüman, diğerlerini ikna etmeye yetmiyor. Hyppönen, "Oy kullanmak demokrasimizin temel taşı" diyor ve "Özellikle de sağlayacağı faydalar bu denli küçükken, herhangi bir şekilde zayıflatmak isteyeceğim son şeylerden biri bu" diye ekliyor.
Orduların da risk almaktan kaçınma eğiliminde oldukları biliniyor. Dünyanın en aktif ordularının bile güvenilirlik ve güvenlik gerekçeleriyle zaman zaman eski teknolojilere başvurduğu görülüyor.
İngiltere merkezli düşünce kuruluşu Royal United Services Institute'te (RUSI) uzman araştırmacı olarak görev yapan Thomas Withington, "Ukrayna gibi yerlerde kağıt haritaların ve pusulaların kullanıldığını görüyoruz" diyor. "Bunlara elektronik müdahale (sinyal karıştırma) yapılamıyor." Withington bunu bir tür "analog dayanıklılık" olarak tanımlıyor.
GPS Alternatifleri ve eLoran'ın Yükselişi
Navigasyon teknolojileri üzerine çalışan Overlook Systems Technologies firmasından sistem mühendisi Victor Tasiemski, GPS tabanlı navigasyon sistemlerini hedef alan sinyal karıştırma (jamming) saldırılarının, bazı ülkeleri hangi eski teknolojilerin korunacağı ve hangi GPS alternatiflerine yatırım yapılacağı konusunda dikkatli tercihler yapmaya zorladığını belirtiyor. İrlanda'da yaşanan durum tam da bu.
Burada, yer tabanlı radyo işaretçilerini (beacon) yenileriyle değiştirme programı, mevcut işaretçilerin daha uzun süre faal kalmasını sağlamak amacıyla yavaşlatıldı. İrlanda Havacılık Kurumu'ndan bir sözcü, Haziran ayında Irish Times gazetesine yaptığı açıklamada, söz konusu işaretçilerin "planlı bir dayanıklılık stratejisinin parçası olarak" muhafaza edildiğini ifade etti.
Askeri kurumlarla çalışan teknoloji uzmanları, eski ve yeni teknolojileri birbirine entegre edebilen sistemler tasarlamanın getirdiği zorluklara aşina. Kraus Hamdani Aerospace'in kurucu ortağı ve teknik işlerden sorumlu yöneticisi (CTO) Stefan Kraus, askeri personeli, ister eski ister yeni tip telsiz kullanıyor olsunlar, birbirine bağlayabilen, drone tabanlı bir iletişim platformu geliştirmiş bir isim. Kraus, onlarca yıldır kullanılan olan askeri telsiz teknolojisinin "denenmiş, test edilmiş ve güvenli" olduğunu vurgulayarak, "ABD ordusu bu teknolojiden vazgeçmeyecek" diyor.
Tasiemski, GPS tabanlı navigasyona bir alternatifin, kökleri İkinci Dünya Savaşı sırasında geliştirilen askeri teknolojilere dayanan radyo tabanlı bir navigasyon sistemi olan eLoran olduğunu belirtiyor. Tasiemski'ye göre, GPS sistemlerini hedef alan saldırılar nedeniyle eLoran giderek daha cazip bir seçenek haline geliyor. Zira sistem çok daha güçlü bir sinyal kullanıyor ve bu sayede sinyalini bozmak çok daha zor.
Manyetik Bant: Veri Depolamada Eskiliğin Gücü
Sağlamlığın yerini doldurmak kolay değil. Bu durum, 1950'lerde icat edilmesine rağmen günümüzde hala büyük bir rol oynayan manyetik bant teknolojisiyle veri depolama dünyası için de geçerli.
Şirketler, araştırma kurumları ve devlet daireleri, devasa miktardaki verileri bant makaraları üzerinde depolamaya devam ediyor. İlk ortaya çıktığı günden bu yana teknoloji önemli ölçüde gelişti ve veri depolama yoğunluğu geçen on yıllar içinde katlanarak arttı.
Ancak temel ilke aynı kaldı. Bilgi barındıran bant makaraları.
Bantlar bilgisayar sistemlerinden ayrılıp paketlenebilir ve güvenli tesislere, örneğin dışarıdan erişilmesi zor yeraltı mağaralarına veya yeniden işlevlendirilmiş madenlere taşınabilir.
Veri depolama alanında uzmanlaşmış bir şirket olan Quantum'un CEO'su Hugues Meyrath, "Benim açımdan, son 10-15 yıldır teyp teknolojisini ayakta tutan şey fidye yazılımları oldu" diyor. Kendi bilgisayar sistemlerine erişimi engellenen bir kuruluş, personelin örneğin manyetik teyp üzerine düzgün yedekler almış olması durumunda, en önemli verilerini yine de kurtarabilir.
Manyetik teybe olan ilgi günümüzde giderek artıyor çünkü teyp teknolojisine dayanmayan bir bilgisayar belleği türü olan rastgele erişimli belleğin (RAM) maliyeti hızla yükseliyor. Meyrath, şirketinin müşterilerinin yayıncıların beyzbol maçı görüntülerinden araştırma tesisleri tarafından ayrıntılı olarak haritalanan genomlara kadar her türlü veriyi depolamak için teyp teknolojisini kullandığını belirtiyor.
Manyetik bandın güvenlik özellikleri, kısmen insanların neredeyse hiç etkileşime girmemesinden kaynaklanıyor. Bu, gözönünde olmayan, hantal ve eski usul bir teknoloji.
Bishop, bir sisteme saldırmanın yollarından birinin bir dizi USB belleği hazırlayıp bir otoparka rastgele bırakmak olduğunu söylüyor. Bu, birinin o belleklerden birini alıp bilgisayarına takması ihtimaline, yani basit bir siber saldırı yöntemine dayanan bir taktik.
Kendi ifadesiyle: "Bir otoparka rastgele atılmış manyetik bantlar göremezsiniz."
Sonuç: Yeni Her Zaman En İyi mi?
BBC'ye konuşan uzmanlar, günlük işlerde hala en yeni ve güncel teknolojilerin kullanılmasını öneriyor zira bu, en güvenli yaklaşım olmaya devam ediyor. Ancak "yeni" olanın her durumda "en iyi" anlamına gelmediğini de kabul etmekte fayda var.
Siber saldırılar ve diğer tehditler giderek daha sofistike hale gelirken, eski sistemlere ne zaman ve nasıl geçileceğini bilmek de giderek daha önemli bir hal alabilir. Withington bir kez daha, Rusya'nın uydu iletişimine müdahale ettiği ve GPS navigasyonunun ciddi sinyal karıştırma (jamming) girişimlerine maruz kaldığı Ukrayna örneğine dikkat çekiyor.
"Analog dayanıklılığın" bu denli kıymetli olduğu başka bir yer yok.
