Proxy, VPN, TOR gibi çözümler için güvenlik uyarısı

[heartsmagic]

Son zamanlarda bilinen nedenlerden ötürü çok yaygınlaştı bu türdeki hizmetler. Farklı farklı başlıklarda yorum yapmaktansa buraya not düşmek istedim. Öncelikle yanlış bilinen bir şeyi düzeltelim: Bu servislerin çoğu güvenlik değil "anonimlik" sağlarlar. Gerçi güvenliği herkes farklı şekilde tanımlayabilir, örneğin biri için "takip edilememe" durumu güvenlik olarak adlandırılabilir. Fakat bu güvenli olmak değil, takip edilememek yani "anonim" kalabilmektir.

Proxy olsun, kendi kiraladığınız bir sunucunuzda kurulu olsa da VPN olsun, Tor olsun bu servisleri kullanırken kesinlikle bankacılık gibi işlemleri yapmayın. Güvenli kanallar için kullandığınız eposta hesabınızı kullanmayın. Sizin için çok değerliyse Twitter, Facebook gibi diğer servis hesaplarınıza bu hizmeti veren yerler üzerinden oturum açmayın. Kullandığınız ücretsiz ve sizin yönetiminizde olmayan bu servislerin diğer ucunda kimlerin olduğunu ve amaçlarını bilemezsiniz.

Not: Özellikle VPN konusu tartışmaya açılabilir. Burada uyarıya sebep olanlar genelde ücretsiz servis sağlayanlardır. Hoş, ücretli olup da kötü amaçlar için de kullanılabilir. Kısacası, emin değilseniz hayati hesaplarınızı kullanmayın, meselenin özü budur.

[D@bbe]

kendi kurduğunuz dışında demek daha doğru olmaz mı? malum vpn sunucusu kurup kullanmak mümkün... 

[FireSwords]

Ücretsiz VPN kesinlikle kullanmayın. 7 dolara cyberghost alın OpenVPN'den ayarlayın veya Windows/Mac kullanacaksanız programını indirin. Alt tarafı 7 dolara güvenli ve hızlı bir VPN sahibi olursunuz.

[heartsmagic]

kendi kurduğunuz dışında demek daha doğru olmaz mı? malum vpn sunucusu kurup kullanmak mümkün...

Dediğim gibi VPN konusu tartışılabilir bir mevzu. Fakat kendi kurduğun sunucunun nerede olduğu da önemli. Eğer kiralık bir sunucu ise en nihayetinde yine ucu bir yerlerden geçiyor o bağlantının.
Küçük ihtimallerden bahsediyoruz burada elbette, fakat bankacılık gibi hayati işlemler için yine de kullanmamak önem arz ediyor bence. Her ne kadar bizim bankacılık işlemleri çoklu korumaya sahip olsa da işi baştan sağlama almak en güzeli.

@Ustadharak, ücretli olanları da %100 güvenli görmüyorum. 7 dolar değil de 8 euro sanki "Premium" olanı dolara çevirdiysen bilemiyorum fakat aylık 5 dolara VPS satan yerler var. Oralara da OpenVPN kurulabilir rahatlıkla. Hatta kelepir sunucular dahi mevcut etrafta: https://bluevm.com/ Yıllık 7,5 dolara sunucu veriyorlar.

Neyse, konuyu bu yönde dağıtmayayım

[neneki]

@heartsmagic ; şu yasaklar geldi geleli civarımdaki herkese benzer şekilde öğüt veriyorum. zen-mate falan filan kullanmayın diye. tabikide güvenlik tanımı gerçekten önemli. VPS olayıda kiraladığınız sunucunun çıkış trafiği izleniyor mu izlenmiyor mu bu da ayrı kafa kurcalayan şeydir. forumda kimlerin hangi VPS sunucuları kullandıgına dair bir anket yapılıp bunun üzerine genel algı yoklaması yapılabilir.

[heartsmagic]

@neneki, çok da iyi yapıyorsun zira aynı şeyi ben de yapıyorum, yapmak da gerekiyor. VPS olayında da %100 güvenilmez karşı tarafa, hem güvenilse bile çok fazla sayıda insanın kullandığı bir platformda sunucu koşturuluyor, ufacık bir güvenlik açığı bile birçok şeyi alıp götürebilir. Hoş, aynı sorunlar kendi ağımız için de mevcut ama en azından kendi ağımızda olup bitenler bizim elimizde. 

[plazma]

aynı ayarda birde hotspotshield çıktı başımıza en komik tarafıda sitesindeki açıklması :

Kod Seç Genişlet


Emniyet, Gizlilik, Özgürlük

Hotspot Shield VPN İnternet oturumunuzu şifreleyerek güvenli hale getirir, gizliliğinizi korur ve tüm yasaklı sitelere erişim sağlar. Hotspot Shield, ücretsiz ve ücretli bir Elite sürüm sunmaktadır.


Mesaj tekrarı yüzünden mesajınız birleştirildi. Bu mesajın gönderim tarihi : 05 Nisan 2014 - 01:38:20
aynı ayarda birde hotspotshield çıktı başımıza en komik tarafıda sitesindeki açıklması :

Kod Seç Genişlet


Emniyet, Gizlilik, Özgürlük

Hotspot Shield VPN İnternet oturumunuzu şifreleyerek güvenli hale getirir, gizliliğinizi korur ve tüm yasaklı sitelere erişim sağlar. Hotspot Shield, ücretsiz ve ücretli bir Elite sürüm sunmaktadır.

[Unicode]

Hiç kullanmadım kullanmayıda düşünmüyorum.
Zaten internet olgusuna güvenmiyorum sistemi siz yapmıyorsunuzki takip illaki olucaktır.

[exclipit]

Katılmadığım nokta şu: Örneğin bir vpn hizmeti kullanıyorken, şu openssl 2.0'da son zamanlarda bulunan açığı ihmal edersek, facebook ile aranızda bir güvenli bağlantı oluşacak ve karşıdaki sitenin gerçekten facebook olup olmadığına dair doğrulama yapılacaktır zaten. İzleniyor olma ihtimali, https durumunda çok düşüyor. Geri kalan bağlantıları ise çok kolay spoof etmek mümkün.

[heartsmagic]

@exclipit, o konuya katılırım da, ya karşıdaki VPN hizmeti veren yerin elinde geçerli bir sertifika varsa? Bu sertifikayı araya sokuyorsa? Kısacası çok hayati yerlere erişim sağlamak için araya tanınmayan başkalarını sokmak çok akıllıca değil. Ha, Facebook ne kadar hayatidir bilemem tabi ama neticede uyarının sebebi karşı tarafta bağlanılan yerine ne yaptığını bilmemek.

[ozgurche]

Bir sorum olacaktı üstatlar, tor ile bir siteye girip yorum yazdığımızda robot olmadığımıza dair resimde gösterilen harfleri girin vb şeyleri girdiğimiz zamanda, tor yine güvenliğimizi sağlıyormu?
Teşekkürler.

[heartsmagic]

Eğer "captcha" Noscript etkinken çalışıyorsa sorun olmaz. Ancak "captcha" çalışmıyorsa ve sen ilgili siteyi Noscript açısından beyaz listeye aldıysan veya o an etkisizleştirdiysen bazı bilgiler açığa çıkabilir. IP adresi bunların arasında değil ama, o konuda sorun olacağını sanmıyorum. 

[LinuxHacisi]

Arkadaşlar şuna bir açıklık getireyim %100 anonimlik diye birşey yoktur.Özellikle bunu bi unutun yok vpn cart curt kullanıyorum nereden bulacak demeyin zor değil nasıl zor değil şöyleki DPI illaki duymuşsunuzdur ttnetciler bilir phorm diye çalışma prensipleri muazzam şimdi bunu bi kenara koyalım.

Olay VPN de bağalantınız şifreli iletildiğini biliyorsunuzdur bunun SSL ile yapıldığınıda biliyorsunuz heh işte VPN trafiğini okumak https sitelerin trafiğini okumak kadar basittir.Şimdi bunuda bir kenara koyalım basit bir örnek verelim google analystic midir nedir hepimiz blogumuzda sitemizde kullanıcı davranışlarını analiz etmek için kullanıyoruz değilmi heh şimdi bunu dpı içine ekleyelim ne oluyor. sitelere giriyorsunuz bir js çalıştırıyor.bu js içerisinde nelerimizi çekiyorlar. ekran çözünürlüğü girilen sayfalar işletim sistemi sistemimizde kullandığımız yazı fontu bununla birlikte referanslar vs js kodlamayı bilen arkadaşlar yorumlayabilirler örnek http://ptreklam.com.tr/tag/1.js

tor kullandığımızda peki niye captcha çıkar.çünkü ip adresleri mimlenmiş durumdadır ve bu iplerin tor ağına ait olduğu bilinmekte googlede bunu bildiği için bize böyle davranmakta peki nasıl biliniyor diyorsanız exit nodeler genelde değişmez aradaki relaylar ikidebir değişir.Tordayım lan yakalanmam ben diyenlere python ile yazılmış https://github.com/NullHypothesis/exitmap bakmalarını öneririm artistliğin luzumu hiç yok exit nodelerin ipleri ve durumları için ise http://torstatus.blutmagie.de/

VPN kullanıyorum çökmezler bana diyen bir kesim var ücretsiz kullanıyorsanız yakalanırsınız nasılmı loglar tam olarak tutuluyor çünkü ücretsizlerde bi reklam ağına dahil ediliyorsunuz.Paralı kullanıyorum yakalanmam diyen arkadaşlarımız var bu konuda durumlar farklı para her kapıyı açıyor çünkü özellikle log tutmadığını bahseden firmalardan alın yada en kolayı kendiniz kurun iki satır kod kurarum lan ben bunu diyorsanız linode yada digitalocean dan vps alıp ubuntu ile çözebilirsiniz kurulum https://mertcangokgoz.com/ubuntu-zerine-openvpn-kurulumu.html

Proxy,tor, VPN banka yada paypal işlemlerinizi kesinlikle yapmayın.ücretsiz olan herşeyde sıkıntı çıkar parayı basıp aldıysanız o zaman kullanabilirsiniz.Gerçi artık 2FA sistemli koruma aktif geçebilme imkanları düşük telefona SMS gönderse anında çakarsınız sonuçta tabi bu durum paypalda geçerli değil

VPN trafiği nasıl okunur diyorsanız ki bu devlet tarafından yapılırsa anlamanızın imkanı bile yok geçerli bi SSL ürettirip araya sokarsın sonrasında trafik karşı tarafa ulaşmadan senden bi güzel şifresiz geçer karşı tarafa şifrelenir iletilir sana dönüşü gene şifreli olur ama arada yaptıklarını devlet kahvesini alır izler.

birde windows kullanıp anonimim diyen çıkmazsa sevinirim.

yanlışımız olduysa affola.Genel olarak yazıldım okuyup eğlenin hemde bilgilenin ha bu arada firefoxunuza eklenti olarak noscript dephormation,ghostery,adblock edge,https everywhere kurmayı unutmayın

[heartsmagic]

@MertcanGokgoz, exitmap yakalanma veya yakalanmama adına bir uygulamadan ziyade çıkış düğümlerinin güvenilirliği adına yapılan bir şey. Söylemek istediğin bu düğümlerin güvenilir olmayabileceği mi? Eğer öyleyse elbette doğru, senelerdir zaten farklı vakalar çıkıyor karşımıza bu konuda. Ancak doğru kullanıldığında teorik olarak Tor yine de anonimliği sağlar. Zira, çıkış düğümlerinin arasında girilse bile kişi kimliğini ifşa edecek bir şey yapmadıysa (örneğin Twitter hesabına giriş yapmak gibi) deşifre edilmesi güçtür.

Bu başlığın açılma sebebi de senin arada değindiğin mesele, bu sistemlerin hiçbirine tamamen güvenmeyin, önemli işlerinizi yapmayın.

[LinuxHacisi]

@MertcanGokgoz, exitmap yakalanma veya yakalanmama adına bir uygulamadan ziyade çıkış düğümlerinin güvenilirliği adına yapılan bir şey. Söylemek istediğin bu düğümlerin güvenilir olmayabileceği mi? Eğer öyleyse elbette doğru, senelerdir zaten farklı vakalar çıkıyor karşımıza bu konuda. Ancak doğru kullanıldığında teorik olarak Tor yine de anonimliği sağlar. Zira, çıkış düğümlerinin arasında girilse bile kişi kimliğini ifşa edecek bir şey yapmadıysa (örneğin Twitter hesabına giriş yapmak gibi) deşifre edilmesi güçtür.

Bu başlığın açılma sebebi de senin arada değindiğin mesele, bu sistemlerin hiçbirine tamamen güvenmeyin, önemli işlerinizi yapmayın.

doğru anlamışsınız beni exitmap dediğimiz program iyi bir analiz programıdır.bu düğümlerin %20 lik bir kısmı fake tor statusdada zaten zaman zaman bad node olarak çıkıyorlar son zamanlarda azalsada hala potansiyeli yüksek ben zamanında çoğu banka işlemimi bile unutarak yaptım allahdan sıkıntı olmadı ama olmayacağı anlamına gelmiyor.Çoğu zaman o kadar fazla kullanıyoruz ki bunları gerçektende insan unutabiliyor.

https://network23.org/kame/ bence anonimliğine önem veren herkes okumalı

[Secret++]

Bende iyice paranoyaya bağladım DNS adresi bile kullanmıyorum çünkü 8.8.8.8,8.8.4.4 DNS adresi korsanlar tarafından hacklenip yönlendirilmiş öyle bir haber okumuştum.

Not: Tüm iletiyi koyu harflerle yazmayalım lütfen. @heartsmagic

[7hr33l3t73r]

Yanlis hatirlamiyorsam adblock'un da gercek ip adreslerini gosterdigi bilinmekte. O yuzden tor tarayicisina yuklenmemesi ognerilmektedir.

[heartsmagic]

Bende iyice paranoyaya bağladım DNS adresi bile kullanmıyorum çünkü 8.8.8.8,8.8.4.4 DNS adresi korsanlar tarafından hacklenip yönlendirilmiş öyle bir haber okumuştum.

Brezilya ve Venezuela'da olan olayı hatırlıyorsun sanırım? Bize yansımamıştı ancak elbette netice olarak o olasılık her zaman var. Google DNS veya X DNS fark etmez esasında hepsinde aynı tehlike mevcut. Buna varsayılan olarak kullanılan ISS'nin (TTNET, Superonline vs.) sunucuları da dahil.

[7hr33l3t73r]

Aslinda bir kac uygulama ile dns zehirlenmesinden kendimizi koruyabiliriz.
Unbound ve Dnscrypt kurlumunu yaptiginiz zaman.
Kontrol etmek icin.
http://test.dnssec-or-not.net/
Sitede ki gulen adami gorurseniz islem tamamdir.

Ayrica uc birimden

Kod Seç Genişlet

dig ubuntu-tr.net @127.0.0.1

Kod Seç Genişlet


; <<>> DiG 9.9.2-P2 <<>> ubuntu-tr.net @127.0.0.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 2761
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;ubuntu-tr.net. IN A

;; ANSWER SECTION:
ubuntu-tr.net. 3600 IN A 31.210.53.117

;; AUTHORITY SECTION:
ubuntu-tr.net. 27091 IN NS ns1.sadecehosting.com.
ubuntu-tr.net. 27091 IN NS ns2.sadecehosting.com.

;; ADDITIONAL SECTION:
ns1.sadecehosting.com. 145253 IN A 77.92.152.10
ns2.sadecehosting.com. 145253 IN A 77.92.153.10

;; Query time: 237 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Nov 24 19:09:12 2014
;; MSG SIZE  rcvd: 143

Bu sekilde A ciktisi aliyorsaniz islem tamamdir.

[D@bbe]

Aslinda bir kac uygulama ile dns zehirlenmesinden kendimizi koruyabiliriz.
Unbound ve Dnscrypt kurlumunu yaptiginiz zaman.
Kontrol etmek icin.
http://test.dnssec-or-not.net/
Sitede ki gulen adami gorurseniz islem tamamdir.

Ayrica uc birimden

Kod Seç Genişlet

dig ubuntu-tr.net @127.0.0.1

Kod Seç Genişlet


; <<>> DiG 9.9.2-P2 <<>> ubuntu-tr.net @127.0.0.1
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 2761
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 3

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;ubuntu-tr.net. IN A

;; ANSWER SECTION:
ubuntu-tr.net. 3600 IN A 31.210.53.117

;; AUTHORITY SECTION:
ubuntu-tr.net. 27091 IN NS ns1.sadecehosting.com.
ubuntu-tr.net. 27091 IN NS ns2.sadecehosting.com.

;; ADDITIONAL SECTION:
ns1.sadecehosting.com. 145253 IN A 77.92.152.10
ns2.sadecehosting.com. 145253 IN A 77.92.153.10

;; Query time: 237 msec
;; SERVER: 127.0.0.1#53(127.0.0.1)
;; WHEN: Mon Nov 24 19:09:12 2014
;; MSG SIZE  rcvd: 143

Bu sekilde A ciktisi aliyorsaniz islem tamamdir.

kardeşimde dns zehirlenmesi var ama bende yok... nasıl önlenir bende wisp olarak 3G router var... niye mi kablosuz ağa şifre yazmak zahmetli geldiğinden...

[7hr33l3t73r]

Burada sormak yerine bir baslik acarak yardim isteyebilirsiniz. Forum kurallari geregi.

[ozgurche]

Tesadüfen rastladığım aşağıda haber linkini verdiğim haberde belirtildiği ve şimdiye kadar tartışmalarımızda mutlak bir sonuca ulaşamadığımız tor konusu hikaye imiş.
http://www.sozcu.com.tr/2015/gundem/twitter-operasyonu-uc-gozalti-771174/

[cagriemer]

Tabii bu haber, tek basina, TOR'un hikaye oldugunu kanitlamak icin yeterli degil. TOR'un sizi koruyabildigi ve koruyamadigi atak vektorleri var. Onemli olan neyi nasil yapilandirdiginizin bilincinde olarak, sistemin getirdigi risklerin farkinda olabilmek.

[heartsmagic]

Geçtim tek başına yeterli olmasını, ben ortada doğru düzgün bilgi de göremiyorum. Bu habere göre TOR nasıl hikâye oluyor? Adı geçen kişilerin "şunu bunu kullanın" demesi kullandıkları veya @cagriemer'in söylediği diğer alanları da güvenceye aldıkları anlamına gelmiyor.

Kısacası TOR hikâye değil, bilinen bir açığı yok. Bilinmeyen açıkları ve bunları birilerinin biliyor olma ihtimali var ancak bu haberden anladığımız birilerinin TOR'u aştığı değil ne yazık ki

[D@bbe]

bu http://test.dnssec-or-not.net/ doğru çalışıyor mu şüpheli dns doğru ping süresi doğru ancak o testten çakıyor? superonline zehirliyor mu? LinuXMint temiz pisi ve Pardus Topluluk 3 çakıyordu... şimdi LinuXMint 17.1 çaktı?