Kendini imha eden not nedir ve nasıl çalışır?

Kendini imha eden not kavramının ortaya çıkışı

Geleneksel iletişim kanalları bilgiyi saklamak üzere tasarlanmıştır. Bir e-posta gönderdiğinizde veya kurumsal bir sohbet uygulamasında mesaj paylaştığınızda, bu veri gönderenin cihazında, alıcının cihazında, ara sunucularda ve bulut yedekleme sistemlerinde yıllarca depolanabilir. Bir sunucu parolasını, geçici veritabanı erişim bilgisini veya gizli bir API anahtarını bu yolla iletmek, sisteminize ait en kritik anahtarları potansiyel sızıntı noktalarında unutmak anlamına gelir.

Kendini imha eden not (İngilizce adıyla self-destructing note ya da burn-after-reading), bu kalıcılık problemini ortadan kaldırmak amacıyla geliştirilmiştir. Temel prensip son derece basittir: Tek kullanımlık notlarda paylaşılan gizli veri alıcı tarafından okunduktan hemen sonra (süreli notlarda ise belirlenen geçerlilik süresi tamamlandığında) kaynak sunucudan kalıcı olarak imha edilir. Böylece ilerleyen dönemlerde bir e-posta kutusu ele geçirilse ya da sohbet geçmişi dışarı sızsa dahi, geride yalnızca işlevini yitirmiş ve verisi silinmiş bir bağlantı kalır.

Teknik mimari: Tarayıcıda şifreleme ve URL fragmenti

Kendini imha eden not servislerinin hepsi aynı güvenlik düzeyini sunmaz. İlkel sistemlerde not metni sunucuya düz metin (plaintext) olarak gönderilir ve sunucunun veritabanına yazılır. Bu yaklaşımda sunucu yöneticisi veya sunucuya sızan bir saldırgan notları okuyabilir. Gizli Not gibi çağdaş araçlar ise sıfır bilgi (zero-knowledge) ilkesini benimser.

Süreç şu adımlarla işler: Kullanıcı notunu yazdığında tarayıcının yerleşik SubtleCrypto arayüzü rastgele bir AES-GCM-256 anahtarı üretir. Not bu anahtarla tarayıcı içinde şifrelenir. Sunucuya yalnızca şifrelenmiş anlamsız veri (ciphertext) yüklenir. Şifre çözme anahtarı ise oluşturulan bağlantının kare (#) işaretinden sonraki fragment kısmına yerleştirilir.

İnternet standardı olan RFC 3986 bölüm 3.5 gereğince, internet tarayıcıları URL fragmentlerini HTTP veya HTTPS isteklerinde sunucuya kesinlikle iletmez. Bu sayede sunucu hiçbir aşamada şifre çözme anahtarını göremez, kaydedemez veya içeriği çözemez. Alıcı bağlantıyı açtığında tarayıcısı yerel fragmentten anahtarı okur, sunucudan aldığı şifreli metni kendi cihazında çözer ve kullanıcıya sunar.

Hangi durumlarda ve ne zaman kullanılmalı?

Siber güvenlik uzmanları ve OWASP yönergeleri, sırların ve parolaların kalıcı iletişim ortamlarında düz metin olarak paylaşılmamasını ısrarla öğütler. Kendini imha eden notlar özellikle şu senaryolarda kritik avantaj sağlar:

• Teknik destek ve operasyon: Müşterinize veya çalışma arkadaşınıza geçici bir SSH parolası, veritabanı giriş bilgisi veya VPN anahtarı iletirken.
• Tek seferlik erişim kodları: İki faktörlü doğrulama kurtarma kodları ya da tek seferlik hesap sıfırlama parolaları paylaşılırken.
• Mali ve kişisel sırlar: IBAN, kimlik numarası veya sözleşme taslakları gibi üçüncü kişilerin görmemesi gereken verileri aktarırken.

Not okunduğu anda sunucudan silindiği için, alıcının e-posta arşivinde veya sohbet geçmişinde aylarca bekleyen bir güvenlik açığı oluşmaz. Daha detaylı kavramsal ayrım için tek kullanımlık link nedir incelememize göz atabilirsiniz.

Önizleme botları ve erken silinme tuzağı

Tek kullanımlık notların pratikte karşılaştığı en büyük engellerden biri sohbet uygulamalarının bağlantı önizleme (unfurling) botlarıdır. WhatsApp, Slack, Microsoft Teams, Telegram veya iMessage gibi uygulamalara bir bağlantı yapıştırdığınızda, uygulama arka planda sayfayı ziyaret ederek başlık ve görsel çekmeye çalışır.

Şayet tek kullanımlık not servisi sayfaya gelen ilk HTTP GET isteğinde notu silmek üzere tasarlanmışsa, sohbet uygulamasının botu sayfayı ziyaret ettiği anda not imha edilir. Asıl alıcı bağlantıya tıkladığında ise karşısına 'Bu not okunmuş ve silinmiştir' uyarısı çıkar. Bu duruma erken silinme tuzağı denir.

Gizli Not bu sorunu iki adımlı bir akışla çözer: Bağlantı açıldığında not doğrudan sunucudan çekilmez ve şifresi çözülmez. Alıcıya önce notun tek kullanımlık olduğunu belirten bir uyarı gösterilir. Not ancak alıcı açıkça Notu Görüntüle düğmesine bastığında sunucudan istenir ve tüketilir. Otomatik önizleme botları bu butonu tetiklemediği için not erkenden kaybolmaz.

Gerçekçi güvenlik sınırları ve dikkat edilmesi gerekenler

Hiçbir güvenlik aracı mutlak koruma sağlayamaz. Kendini imha eden bir notun sınırlarını ve koruyamayacağı durumları dürüstçe bilmek güvenliğin ilk şartıdır:

• Ekran görüntüsü ve kopyalama: Not alıcının ekranında açıldıktan sonra alıcı metni kopyalayabilir, ekran görüntüsü alabilir veya telefonla monitörün fotoğrafını çekebilir. Hiçbir web yazılımı alıcının kötü niyetini veya dikkatsizliğini engelleyemez.
• İlk açan kuralı: Bağlantı tek kullanımlık olduğu için bağlantıyı ilk açan taraf notu görür. Şayet bağlantıyı paylaştığınız iletişim kanalı dinleniyorsa ve saldırgan alıcıdan önce tıklarsa notu okur. Bu riski bertaraf etmek için ek parola özelliği kullanılmalı ve parola farklı bir kanaldan iletilmelidir.
• Cihaz düzeyinde zararlılar: Gönderenin veya alıcının bilgisayarında bir keylogger veya casus yazılım varsa, metin şifrelenmeden önce veya çözüldükten sonra ele geçirilebilir.
• Sunucu kod dağıtımı: Web tabanlı tüm araçlarda olduğu gibi, kullanıcı her ziyarette sunucudan JavaScript kodunu çeker. Kullanıcı o an sunucunun doğru kodu sunduğuna güvenir. not.saklama.com bu güveni şeffaflaştırmak adına harici izleme kütüphanesi yüklemez ve istemci kodunu sıkıştırılmamış (unminified) biçimde sunar.

Daha kapsamlı bir tehdit analizi için güvenlik modeli sayfamızı inceleyebilirsiniz.