Gerçek Lütfen Ayağa Kalkabilir mi?

30 Mart 2010, Salı

Google Online Security Blog’daki yakın tarihli yazımızda, kimlik avı sayfalarını tanımlama sistemimizi anlattık. Tarayıcılarımızın kimlik avı için analiz ettiği milyonlarca web sayfasından, 10 kimlik avı sayfasından 9’unu başarıyla tespit ediyoruz. Sınıflandırma sistemimiz, kimlik avı olmayan bir siteyi yanlışlıkla kimlik avı sitesi olarak işaretleme konusunda 10.000’de 1 gibi bir orana sahip; bu da benzer sistemlerden önemli ölçüde daha iyi. Deneyimlerimize göre, bu “hatalı pozitif” siteler genellikle spam dağıtmak için oluşturulmuştur veya başka şüpheli faaliyetlerle bağlantılı olabilir. Sitenizin yanlışlıkla kimlik avı sayfası listemize (“Bildirilen Web Sahtekarlığı!”) eklendiğini düşünüyorsanız, lütfen hatayı bize bildirin. Öte yandan, siteniz kötü amaçlı yazılım listemize (“Bu site bilgisayarınıza zarar verebilir”) eklendiyse, kötü amaçlı yazılım sorunlarını giderme konusundaki talimatları izlemelisiniz. Ekibimiz tüm şikayetleri bir gün içinde ele almaya çalışıyor ve genellikle birkaç saat içinde yanıt veriyoruz.

Ne yazık ki, bazen raporlarınızı incelemeye çalıştığımızda, biz de otomatik sistemimiz kadar kafa karışıklığı yaşıyoruz. Bir web sitesi yönetiyorsanız, hataları hızla düzeltmemize ve sitenizi en başta kimlik avı sayfası listemizden uzak tutmanıza yardımcı olacak bazı basit yönergeler şunlardır:

Sitenize ait olmayan kullanıcı adı ve şifreleri istemeyin.

Bu davranışı tanım gereği kimlik avı olarak kabul ediyoruz, bu yüzden yapmayın! Başka bir siteye ek hizmet sağlamak istiyorsanız, bunun yerine herkese açık bir API veya OAuth kullanmayı düşünün.

Giriş alanlarının yakınında size ait olmayan logoları görüntülemekten kaçının.

İnternette gezinen biri, logonun sizin web sitenizi temsil ettiğini yanlışlıkla düşünebilir ve diğer site için amaçladıkları kişisel bilgileri sizin sitenize girmeleri konusunda yanıltılabilirler. Ayrıca, bunu kasıtlı olarak yapmadığınızdan her zaman emin olamayız, bu yüzden güvenli tarafta kalmak için sitenizi engelleyebiliriz. Yanlış anlaşılmaları önlemek için, bu logoları görüntülerken dikkatli olmanızı öneririz.

Siteniz tarafından kullanılan alan adı sayısını, özellikle giriş işlemleri için en aza indirin.

Site X için kullanıcı adı ve şifre istemek, Site Y üzerinde oldukça şüpheli görünür. Web sitenizi değerlendirmemizi zorlaştırmanın yanı sıra, ziyaretçilerinize şüpheli URL’leri görmezden gelmeyi öğretiyor olabilir ve onları gerçek kimlik avı girişimlerine karşı daha savunmasız hale getirebilirsiniz. Giriş sayfanızın ana sitenizden farklı bir alan adında olması gerekiyorsa, kullanıcıların bu sayfaya birincil alan adınızdan erişmesini sağlamak için bir şeffaf proxy kullanmayı düşünün. Eğer başka hiçbir şey işe yaramazsa…

Sayfalarınıza giden bağlantıları bulmayı kolaylaştırın

Ana sitenizden sitenizdeki alan adı dışı bir sayfaya giden bağlantıları bulmak zorsa, o sayfayı kimin kontrol ettiğini belirlemek bizim (ve kullanıcılarınızın) için zordur. Bu sorunu çözmek için tek yapmanız gereken, alan adı dışındaki her sayfanın, kendisine bağlantı veren alan adı içindeki bir sayfaya geri bağlantı vermesini sağlamaktır. Bunu yapmadıysanız ve sayfalarınızdan biri yanlışlıkla listemize girerse, lütfen hata raporunuzda yanlışlıkla engellenen sayfaya ana sitenizden bağlantıyı nasıl bulabileceğimizi belirtin. Ancak, başka hiçbir şey yapmayacaksanız…

E-posta veya anlık mesaj yoluyla tuhaf bağlantılar göndermeyin

Yalnızca e-postalarınızda veya anlık mesajlarınızda görünen sıra dışı bağlantıları doğrulamamız neredeyse imkansızdır. Daha da kötüsü, bu tür bağlantıları kullanmak, kullanıcılarınızı/müşterilerinizi/arkadaşlarınızı e-posta veya anlık mesaj yoluyla aldıkları tuhaf bağlantılara tıklamaya alıştırır; bu da onları kimlik avı dışında başka İnternet suçlarına karşı risk altına sokabilir.

Bu önerilerin sağduyu çerçevesinde olduğunu ummamıza rağmen, büyük e-ticaret ve finans şirketlerinin zaman zaman bu kuralları ihlal ettiğini görüyoruz. Bunlara uymak, yalnızca kimlik avı karşıtı sistemlerimizle deneyiminizi iyileştirmekle kalmayacak, aynı zamanda ziyaretçilerinize daha iyi bir çevrimiçi deneyim sunmanıza da yardımcı olacaktır.

Yazan: Colin Whittaker, Kimlik Avı Karşıtı Ekip