Sitenizi HTTPS’e taşıdınız, geçerli bir SSL sertifikanız var; ama tarayıcı hâlâ adres çubuğunda tam bir kilit göstermiyor ya da “Bu sayfa tam olarak güvenli değil” diyor. Bunun en yaygın sebebi karışık içerik (mixed content): güvenli (HTTPS) bir sayfanın, içindeki bazı kaynakları güvensiz (HTTP) olarak yüklemesidir. Bu yazıda karışık içeriğin ne olduğunu, neden riskli olduğunu, türlerini … Read more
VPN (Virtual Private Network — Sanal Özel Ağ), internet trafiğinizi şifreli bir tünelden geçirerek uzaktaki bir sunucu üzerinden internete çıkmanızı sağlayan bir teknolojidir. Böylece internet sağlayıcınız ve ağdaki başkaları trafiğinizin içeriğini göremez; ziyaret ettiğiniz siteler ise sizin gerçek IP’niz yerine VPN sunucusunun IP’sini görür. VPN son yıllarda çok popülerleşti ama etrafında bir hayli abartı ve … Read more
Ortadaki adam saldırısı (Man-in-the-Middle, MITM), bir saldırganın iki taraf arasındaki iletişimin arasına gizlice girerek trafiği dinlediği, değiştirdiği veya yönlendirdiği bir saldırı türüdür. Siz bir bankaya veya e-postanıza bağlandığınızı sanırsınız; oysa tüm veri önce saldırganın elinden geçer. MITM, veri hırsızlığından oturum ele geçirmeye kadar birçok saldırının temelini oluşturur. Bu yazıda MITM saldırısının nasıl çalıştığını, hangi yöntemlerle … Read more
DNSSEC (DNS Security Extensions), DNS yanıtlarını dijital imzayla doğrulayarak, aldığınız DNS cevabının gerçekten yetkili sunucudan geldiğini ve yolda değiştirilmediğini garanti eden bir güvenlik katmanıdır. Klasik DNS’in en büyük açığını — yanıtların imzasız ve sahtelenebilir olmasını — kapatır. Bu yazıda DNS’in neden güvensiz olduğunu, DNSSEC’in bunu nasıl çözdüğünü, hangi kayıtları (DNSKEY, RRSIG, DS) kullandığını ve alan … Read more
Oltalama (phishing), saldırganların güvenilir bir kurumu (banka, kargo firması, e-posta sağlayıcısı, kamu kurumu) taklit ederek sizi kandırmaya ve giriş bilgilerinizi, kart numaranızı veya kişisel verilerinizi çalmaya çalıştığı bir dolandırıcılık yöntemidir. Adı “balık avlamak” (fishing) sözcüğünden gelir: saldırgan bir yem (sahte e-posta veya mesaj) atar, kurbanın oltaya gelmesini bekler. Bu yazıda oltalamanın ne olduğunu, sahte bir … Read more
Alan adınız için bir SSL sertifikası düzenlendiğinde, bu işlem saniyeler içinde herkese açık bir deftere yazılır. İyi haber: bu defteri sadece saldırganlar değil, siz de izleyebilirsiniz. Markanız adına izinsiz, hatalı ya da sahte bir sertifika düzenlendiğinde bunu erken yakalamanın yolu Certificate Transparency’dir. Bu yazı, CT’nin savunma tarafını ele alıyor. CT loglarından kendi alt alan adlarınızı … Read more
Şirketlerin DNS kayıtları zamanla birikir: bir blog için açılan blog.sirket.com, bir kampanya için kurulan promo.sirket.com, test amaçlı bir staging.sirket.com… Bu servisler kapatıldığında çoğu zaman DNS kaydı silinmeyi unutulur. İşte “subdomain takeover” tam da bu unutulmuş kayıtları hedefler. Subdomain Takeover Nedir? Subdomain takeover (alt alan adı ele geçirme), bir alt alan adının artık var olmayan bir … Read more
Tarayıcınıza example.com yazdığınız an, arka planda saniyeler içinde tamamlanan çok adımlı bir yolculuk başlar. Bilgisayarınız bu alan adının hangi IP adresine ait olduğunu doğrudan bilmez; bunu öğrenmek için DNS çözümleme (DNS resolution) adı verilen, kök sunuculardan başlayıp yetkili name server’a kadar inen bir sorgu zinciri işletilir. Bu yazıda o zinciri adım adım, dig +trace mantığıyla … Read more
Yeni bir web sitesini sıfırdan yayına almak; alan adı seçiminden hosting’e, DNS ayarlarından SSL sertifikasına kadar birkaç adımdan oluşur. Bu rehberde her adımı sırasıyla, hangi kontrolü hangi araçla yapacağınızı göstererek anlatıyoruz. 1. Alan Adı Seçimi ve Tescili İlk adım, markanızı temsil edecek bir alan adı bulmak ve tescil etmektir. Kısa, akılda kalıcı ve hedef pazarınıza … Read more
İnternete bağlı her cihazın bir kimliği vardır: IP adresi. Bugün iki sürüm bir arada kullanılıyor — eski ama hâlâ baskın IPv4 ve onun halefi IPv6. Peki aralarındaki fark ne, neden IPv6’ya geçiliyor ve bu sizi nasıl etkiler? IP Adresi Nedir? IP (Internet Protocol) adresi, bir cihazın ağ üzerindeki sayısal kimliğidir. Tıpkı bir posta adresi gibi, … Read more