Covid-19 pandemi süreci ile birlikte hem iş hayatımızda hem de öğrenme hayatımızda bir takım pratiklerin çok daha fazla yer etmeye başladığını hep birlikte tecrübe ettik/ediyoruz. Bu pratiklerin başında da uzaktan toplantı yapma yada uzaktan eğitimde çokça kullanılan online video konferans uygulamalarının geniş şekilde kullanımı geliyor.
Bir çok sektörde olduğu gibi online video konferans platformları da pandemi sürecine hazırlıksız yakalandılar. Bir yandan çok hızlı bir şekilde ihtiyaç duyulan kapasiteyi sorunsuz şekilde karşılamak adına yatırım ve geliştirme yapmaya çalışırken, bir yanda da müşterilerinin bu platformları güvenli şekilde kullanmaları için ard arda yeni güvenlik özelliklerini devreye almaya başladılar. Çünkü her geçen gün bu platformlarda gerçekleşen toplantıların güvenliğini tehlikeye atan siber saldırıların arttığını gözlemeye başlamıştık. Hem bu toplantılar konuşulan konuların siber saldırganlar açısından bir değer ifade eden bilgiler içerme ihtimalinin ortaya konması hem de başka şekilde kötüye kullanım örneklerine imkan sunabileceği gerçeği dikkatleri bu platformların güvenliğine ve güvenli kullanım pratiklerinin geliştirilmesine yoğunlaştırdı.
Kullanıcıların yeni bir pratik kazanırken bu pratiğin güvenliğini sağlama noktasında çok da bilinçli hareket etmedikleri gerçeği online video konferans platformları için de geçerli. Gelin bu bilinçsiz kullanımlara bir kaç örnek üzerinden birlikte bakalım.
Online Toplantılarda Güvenlik
İlk örneğimiz Güney Afrika parlementosundan. 7 Mayıs 2020 tarihinde aşağıdaki tweet üzerinden bütün halkın online olarak katılıp takip edebilecekleri bir Zoom toplantısının detayları paylaşılıyor ve tabi ki bu oturuma ait şifre bilgisi de yapılan paylaşımda mevcut.
Bu paylaşımın yapılmasından çok kısa bir süre sonra Güney Afrika parlementosunun Zoom toplantısı Zoombombing olarak adlandırılan saldırıya maruz kalıyor ve toplantı sabote edilerek bir anda uygunsuz içerikler paylaşılıyor. Sonrasında ise bu toplantı hızlı bir şekilde sonlandırılarak başka bir toplantı düzenleniyor ve bu sefer toplantı katılım şifresi sadece ilgililerle paylaşılıyor.
Benzer şekilde yaşanan bir başka olay da 27 Avrupa Birliği üyesi ülkenin savunma bakanlarının katıldığı ve Zoom üzerinden yapılan çok gizli bir toplantıya bir Hollanda’lı gazetecinin izinsiz şekilde katılması olayıdır. Hollanda’da yayın yapan RTL Nieuws adlı kanalda çalışan Daniel Verlaan adlı gazeteci AB Savunma Bakanları’nın çevrimiçi video toplantısında bir anda ortaya çıkarak herkesi şoke etmişti. Olayın nasıl gerçekleştiğine dair biraz inceleme yaptığımızda Hollanda Savunma Bakanı Ank Bijleveld’in Twitter’da yaptığı fotoğraflı toplantı paylaşımını gören Daniel Verlaan’ın, bakanın bilgisayar ekranındaki yansımadan toplantıya erişim sağlayan 6 haneli güvenlik koduna eriştiğini ve bu sayede toplantıya kolayca katılım sağladını öğreniyoruz. Bahse konu resmin yer aldığı tweeti aşağıda bulabilirsiniz.
Okulların uzaktan eğitime geçmesi sonrası artan Zoom kullanımı ülkemizde de benzer kötüye kullanım durumlarının haberlere yansımasına neden oldu. Bu konu ile ilgili bir kaç haberi aşağıda bulabilirsiniz.
“Koronavirüsle mücadele kapsamında evlerinde uzaktan eğitim alan öğrencilerin başı siber sapıklarla dertte. Zoom programına öğrencilerin isimleriyle dahil olan siber sapıklar, cinsel içerikli videolar ve sesler gönderip küfür ederek öğretmenlerin ve öğrencilerin ders işlemesine izin vermiyor.“ (https://tr.sputniknews.com/turkiye/202012031043337519-bursada-ogrencilerin-uzaktan-egitimine-siber-sapik-engeli/)
“MEB tarafından, EBA harici canlı derslerle ilgili, “Öğretmenlerimiz, dersleri oluştururken bekleme odası özelliğini aktive ederek derse katılacak olan öğrencileri kontrol edip böylece sahte kimlikle derse girmeye çalışan şahısların ders ortamına katılmalarını engelleyebilecek” hatırlatması yapıldı.” https://www.hurriyet.com.tr/egitim/ogretmenlere-siber-saldiri-uyarilari-41679897
Google üzerinde yapacağınız ufak bir arama ile yukarıda yer alan haberlere benzer onlarca içeriğe ulaşabilirsiniz. Bu durum her geçen gün çok daha fazla hayatımıza giren online toplantı platformlarının güvenliği ile ilgili neler yapılabileceği konusuna getiriyor bizi. Hem kullandığımız platformların güvenli olması hem de o platformların toplantı güvenliği konusunda sundukları özelliklerin kullanımı oldukça önemli bir hal alıyor.
Ben bir siber güvenlik uzmanı olarak platform güvenliği konusunda Zoom veya diğer platformları herhangi bir diğer dijital platformdan ayırmıyor, bu platformlarda güvenlik açıklarının çıkmasının normal olduğunu düşünüyorum. Yani bilgisayarda kullandığınız herhangi bir uygulamanın açığının çıkması ne kadar normalse aynı şekilde online toplantı platformlarının açıklarının çıkması da o derece normal. Önemli olan şey zafiyet içeren bu uygulamanın açıklığının kötüye kullanımının size vereceği zararı doğru şekilde hesap edip etmediğiniz. Yani daha somut bir örnek vermek gerekirse, yukarıda haberini paylaştığım ve AB Savunma Bakanlarının yaptığı çok gizli bir toplantıyı böyle bir platform üzerinde yaparken doğru bir risk değerlendirmesi yapılmadığı ortada. O toplantıya sadece paylaşılan şifrenin ele geçirilmesi ile değil Zoom platformunun açıkları kullanılarak da katılım sağlanabilirdi. Hatta böyle bir durumda katılımcıların hiç biri bu durumdan haberdar dahil olmayabilirdi. Örnek güvenlik açıkları ile ilgili bilgiye https://blog.zoom.us/security-update-and-our-ongoing-efforts/ adresinden ulaşabilirsiniz. Özetlemek gerekirse; bir taraftan kullanılan platformların güvenliğini göz ardı etmeden ve bu bağlamda platformların güncellemelerini vakit kaybetmeden uygulayıp, diğer taraftan bu platformlar üzerinden yapılacak toplantıların gizlilik seviyesinin de risk hesaplamalarına katılmasını sağlamamız gerekiyor.
Güvenli Online Toplantı İçin Öneriler
Platformların toplantı güvenliği ile ilgili olarak da sundukları özellikleri göz önünde bulundurarak “Güvenli Online Toplantı” için neler yapılması gerektiğini kısaca şöyle bir listede toplayabiliriz.
- Toplantılarınıza Katılımı Şifre İle Koruyun: Online toplantı şifrenizi herkese açık ortamlarda paylaşmayın. Sadece toplantıya katılması gereken kişilerde bu şifre olsun. Bu özellikle ilgili Zoom üzerinde yapılması gereken tanımlar aşağıdaki ekran görüntüsünde gösterilmiştir. Bu ayarlar Zoom’daki Profil sayfanızda yer alan Settings kısmındaki Meeting tabında yer alıyor.
- Toplantıya Katılacaklar Mutlaka Kimliklerini Doğrulasın: Online toplantınızı oluştururken anonim şekilde toplantıya katılım gösterilmesine imkan tanıyacak özellikleri pasif yapın ve herkes mutlaka öncelikle ilgili platforma oturum açtıktan sonra toplantıya dahil olabilsin. Yapmanız gereken ayar aşağıdaki ekran görüntüsünde gösterilmiştir.
- Toplantınız Başladıktan Sonra Toplantıyı Kilitleyin: Toplantınıza katılması gereken katılımcıların katılmasından sonra toplantıyı kilitleyin ve bu sayede toplantı bilgisi sızmış dahi olsa yeni katılımcıların bu toplantıya katılmasını engelleyin. Bu özelliği toplantıyı başlattıktan sonra Zoom ekranındaki Security butonuna basarak aşılan kısımda yer alan Lock Meeting özelliğini kullanarak gerçekleştirebilirsiniz.
- Katılımcıların Ekran Paylaşımı Yapma Özelliğini Kapatın: Toplantınızdaki katılımcıların ekran paylaşımı yaparak toplantıda uygunsuz içerik paylaşma veya toplantıyı sabote etme ihtimalini ortadan kaldırın. Bu özellik de yine yukarıdaki gibi aktif toplantıdayken karşımıza çıkan penceredeki Security kısmında yer alır ve Allow participants to: kısmında yer alan “Share Screen” seçeceğinin pasif olması ile sağlanır.
- Her Toplantı İçin Tekil Bir ID Oluşturun: Özellikle kişisel ID kullanımından kaçının ve her toplantı için yeni bir ID oluşturulmasını sağlayın Bu sayede toplantı linkinizin başkaları tarafından bilinme ihtimalini ortadan kaldırırsınız.
- Toplantıyı Organize Eden Kişinin Toplantıyı Başlatmasından Önce Toplantının Başlatılmasını Engeleyin: İleri bir zamanda başlayacak şekilde oluşturulan online toplantılarınızda toplantıyı organize eden kişinin katılımıyla toplantının başlamasını sağlayın. Bu sayede toplantıyı başlatmadan davet edilenlerin toplantıya katılması ve kendi aralarında sohbet etmesini engellemiş olursunuz. Bu tanım da yine profil sayfanızdaki ayarlar kısmında yapılır ve aşağıdaki gibi olması tavsiye edilir.
- Bekleme Odası Özelliğini Kullanın: Toplantıya katılacak kişilerin aktif toplantıya katılmadan önce bekleme odasına alınmasını ve gerekli kontrollerden sonra toplantıya dahil edilmesini sağlayan Bekleme Odası veya Lobby özelliğini kullanın.Bu sayede toplantıya dahil olacak kişilerin ikinci bir kontrolden geçirilmesi sağlanmış olur. Yine profilinizdeki ayarlar kısmında yer alan aşağıdaki özelliklerin aktif edilmesi ile bunu sağlarsanız.
- Toplantıyı Sabote Eden Kişileri Toplantıdan Atın: Düzenlediğiniz toplantıyı sabote eden veya kötüye kullanan kişileri aktif toplantıdan çıkartın. Bu işlem için aktif Zoom oturumunuzda bulunan Katılımcılar butonuna tıklayın ve ilgili katılımcıyı seçerek More seçeceği yardımıyla kullanıcıyı atın. Toplantıdan atılan kişilerin tekrardan aynı toplantıya dahil olamaması için de Zoom profil sayfanızda yer alan Allow removed participants to rejoin seçeneğinin aşağıdaki gibi olduğundan emin olun.
Yukarıdaki listede yer alan başlıklar her ne kadar Zoom platformu özelinde ele alınmış olsa da kullandığınız online toplantı uygulamalarının bir çoğunda benzer özellikler mevcut. Kullandığınız online toplantı platformu ne olursa olsun toplantılarınız güvenliği için burada listelenen özellikleri mutlaka kullanmanızı tavsiye ediyoruz.
