Veri Koruma ve Güvenlik

VII

Tanimlama ve Varlik Kimlik Dogrulama

VII.V

Phishing Saldirilari

Yakin zamandaki makalesinde, Bruce Scheneir, su siralar bankalarin müsterileri için önerdigi çok boyutlu kimlik dogrulama methodlarinin geç kaldigini ve çok küçük oldugunu iddia ediyor. Onun yaptigi tartisma, saldirganlarin basitçe sifreyi tahmin etmek veya sifre veri tabanini hacklemekden daha yeni ve etkili yöntemler bulduklari yönünde. Kimlik çalinmalarindaki ve e-banka dolandiriciklarindaki artis, onun hakli oldugunu gösteriyor. Bu bölümün konusu olan phishing saldirilari bu artisdaki ana etken.

Referans: Bruce Schneier: Two-factor authentication: too little, too late. Commun. ACM 48 (4): 136 (2005).

Anti-phishing Çalisma Grubunun (APÇG) phishing tanimi söyle:

“phishing saldirilari tüketicinin kisisel kimlik bilgilerini ve finansal hesap sicillerini çalmak için sosyal mühendislik ve teknik hilelerin ikisine de basvurur. Sosyal mühendislik semalari, aldatma e-maillerle müsterileri taklit web sayfalarina yönlendirerek, onlarin kredi kart numaralari, hesap kullanici adlari, sifreler ve sosyal güvenlik numaralari gibi finansal verilerini açiga çikartip onlari kandirirlar. Bankalarin, e-saticilarin ve kredi kart sirketlerin marka olan isimlerini ele geçirerek alicilari cevap vermeye ikna ederler. Teknik hile semalari sicilleri çalmak için PC lere suç yazilimlari yerlestirirler, çogunlukla Truva ati (trojen) klavye kaydedici ajan programlar kullanilir.”

“Kullanicinin kendisi güvenlik zincirindeki en zayif halka” prensibini göz önüne alarak, phishing saldirilari bugünlerde gerçek bir tehdit olusturuyor. Mayis 2004 ve Mayis 2005 arasinda, yalnizca US de, 1.2 milyon insan etkilendi ve 1 milyar dolar phishing nede niyle kayip oldu.

Phishing saldir ilarina karsi en iyi çözüm kullanici egitimi. Ayrica yasama çalismalari ve teknik cevaplar su anda ilerlemekte. Mesela, Internet Explorer un yeni versiyonu (versiyon 7) bir kaç antiphishing teknoloji içeriyor. Gezilen web sitesinin Bilinen phishing sitelerinin listesinde olup olmadigini kontrol eden ve sayfanin güvenilirligini gösteren adres çubugundaki renk kodlari bu versiyonun içerdigi özellikler.

APÇG yakin gelecekte su anda yaygin phishing denemelerinin kullanicilar tarafindan farkedilecegi ve pharming ( DNS ele geçirme ve zehirleme saldirilarini kullanarak kullanicilari sahte sitelere veya proxy sunuculara yönlendirme) ve kötü yazilim ( sahibinin izni olmadan, bilgisayar sistemine zarar veya sizmak için dizayn edilen yazilimlar) bugünün methotlarinin yerini alcaklar. Daha fazla bilgiye http://www.antiphishing.org/ dan ulasabilirsiniz.

VII.V.I S