Top

Video Konferanslarınızı Nasıl Korursunuz?

Video Konferanslarınızı Nasıl Korursunuz?

Toplantı Baskınlarına (zoombombing) karşı alınan önlemler Yetersiz mi?

Şifre Etkisiz Bir Koruma Yöntemi

Covid-19 salgınıyla birlikte okullar, üniversiteler ve işletmelerde Google Meet ya da Zoom gibi video konferans uygulamalarına hızlı bir geçiş dönemi başladı. Video konferansların salgınla birlikte yaygınlaşmaya başlaması ile internet trolleri olarak bilinen art niyetli kişiler de açıklardan yararlanmaya başladılar. Böylece katılımcıları rahatsız etmek, taciz etmek amacıyla oturumlara izinsiz bir şekilde katılması olarak nitelendirebileceğimiz ve bir siber risk olan toplantı baskınları (Zoombombing) doğmuş oldu. Zoom ve  Google gibi sektör büyüklerin toplantı baskınlarına (Zoombombing) karşı çeşitli önlemler alması uzun sürmedi. Ancak yeni yapılan bir araştırma alınan bu önlemlerin çoğunun yetersiz olduğunu ortaya koyuyor.

Toplantı baskınlarına (Zoombombing) karşı alınan en yaygın önlemlerden birisi şifre-korumalı oturum düzenlenmesi. Bir başka önlem ise oturumun ev sahibinin katılımcıları toplantıya almadan hemen önce denetlenmelerine imkan veren bekleme odaları oluşturmak. Ayrıca katılımcılara toplantı bağlantısını halka açık platformlarda paylaşmamaları gerektiğini belirten bir bilgilendirme iletmek de bu yaygın önlemler arasında. 

Önlemler neden yetersiz kalıyor?

Önlem alma konusundaki girişimlerin başarısız olmasının asıl sebebi Zoom ve benzeri hizmet sağlayıcıların hatalı bir tehdit modeline göre önlem üretiyor olmaları diyebiliriz. Tehdit modelindeki hataların başında video konferanslarda rahatsızlık yaratan art niyetli kişilerin, toplantı hakkında hiç bir bilgisi olmayan yabancılar olduğunun var sayılıyor olması. Boston Üniversitesi ve New York Eyalet Üniversitesi’ndeki araştırmacılar, 2020’nin  ilk yedi ayı boyunca sosyal medyada yayınlanan toplantı baskını (zoombombing) ihbarlarını incelemişler ve vakaların çoğunda durumun böyle olmadığını görmüşlerdir.

‘Toplantı Baskınlarına Bir İlk Bakış (A First Look At Zoombombing)’ isimli makalede, araştırmacılar şunları söylüyor:

“Edindiğimiz bulgulara göre meydana gelen toplantı baskını (Zoombombing) vakalarının büyük bir çoğunluğu toplantı daveti engeline takılan ya da Toplantı Kimlik Numarası (Meeting ID) olarak bilinen toplantı numarasına sahip olmayan yabancı saldırganlar tarafından değil, bu toplantılara meşru erişimi bulunan, özellikle lise ve üniversite öğrencileri tarafından gerçekleşiyor. Bu bulgu aynı zamanda şifreli-koruma gibi yaygın önlemlerin neden etkisiz kaldığını da gösteren önemli bir ipucu. Ayrıca davetli katılımcıların, saldırganların toplantıdaki diğer katılımcıların adlarını almalarına yardım ederek ya da yeni bir bekleme odası kurarak, ev sahibinin oluşturduğu katılımcı inceleme sürecini etkisiz hale getirdikleri durumlar da gördük. Bütün bu gözlemler sonucunda, toplantı baskınlarına (Zoombombing) karşısında en etkili korumanın her bir katılımcıya özgü ayrı birer davet linki oluşturulması gerektiğini savunuyoruz.”

Araştırmacıların önerdiği her bir katılımcıya için özgün ve ayrı bir davet bağlantısı oluşturmak toplantı baskınlarını (Zoombombing) tamamen durdurmayabilir ancak saldırıyı mümkün kılan  içerideki kişinin kolay bir şekilde tespit edilmesine olanak sağlayabilir.

Fırsatçılık Sorunu

Toplantı baskınları (Zoombombing) okullar, üniversiteler ve diğer iş kollarından olup video konferans uygulamalarını iş akışlarına entegre eden kuruluşlar için ciddi bir endişe kaynağı oldu. Ağustos ayında Twitter’ı haklemek suçlaması ile yargılanan Flodiralı bir gencin mahkemece yürütülen kapalı görüşme sırasında,  toplantı baskıncıları (Zoombombers) görüşmeyi kesintiye uğrattı, ırkçı hakaretler söyleyip, pornografik görüntüler yayınladılar. Florida Orange County Kamu Okulları sisteminde yer alan öğrencilerin katıldığı bir toplantı, davetsiz bir misafirin kendisini teşhir etmesiyle kesintiye uğradı.

Bu tür olaylar karşısında kamu oyunun sergilediği tepki Zoom gibi hizmet sağlayıcıları karşı önlemler almaya itti. Arstechnica dahil pek çok yayın organı, toplantı düzenleyenlere bu tür baskınlara karşı nasıl önlem alabileceklerini anlatan yazılar yayınladılar. 

Önerilen karşı önlemler şu şeklide özetlenebilir:

  • Toplantıların şifre korumalı olduğundan emin olun
  • Mümkünse toplantıları sosyal medyadan veya halka açık kanallardan duyurmayın, 
  • Bekleme odasını, katılımcıların kim olduğunu kontrol edip içeri alabilmek için kullanın

Bu önerilerdeki genel problem toplantı baskınları zaten içeriye kabul edilmiş kişiler tarafından yapılıyorsa işe yaramıyor olmaları. Şurası açık ki toplantıya kabul edilmiş birisine başkaları ile paylaşabileceği bir toplantı bağlantısı ve hatta şifresi zaten verilmiş oluyor.

Katılımcıların tam olarak kim olduklarından emin olmadan içeri alınmalarına engel olan bekleme odası önlemi ise biraz daha etkili sayılabilir. Sonuçta araştırmacıların ifadesiyle “zaten içeriye kabul edilmiş davetliler, potansiyel baskıncılara, örneğin toplantının resmi davetlilerinin isimlerini paylaşmak gibi faydalı bilgiler vererek, bekleme odasını aşmalarını sağlayabiliyorlar” deyip ekliyorlar “Bu bekleme odasının etkinliğini azaltıyor, zira ev sahiplerinin saldırgan veya istenmeyen kişileri belirleyebilmesini çok daha zor bir hale getiriyor”. Üstüne üstlük katılımcı sayısının çok yüksek olduğu toplantılarda bekleme odası zaten yürütülebilir bir seçenek olmaktan çıkıyor.  Bir başka kısmi önlem ise her bir katılımcı için ayrı bir katılım bağlantısı üretmek. Ancak eğer bu bağlantı aynı anda birden fazla katılımcı tarafından kullanılabiliyorsa, toplantı baskınları önlemeye yetmeyecektir. Yine de ev sahibine toplantı bilgilerini dışarıdakilerle kimin paylaşmış olduğunu göstermesi bakımından yararlı olmaktadır.

Araştırmacıların yazıya ek katkısı:

“Toplantı baskınlarına (Zoombombing) karşı önlem almak için daha da etkili bir yöntem ise katılımcıların kişiselleştirilmiş bir toplantı bağlantısı ile birlikte toplantıya katılmaları. Bu toplantı bağlantısı sayesinde toplantıya katılan kişi içeride bulunduğu sürece aynı bağlantıyla dışarıdan başka bir kişinin içeriye girmesi mümkün olmayacaktır. Her ne kadar bu yöntem toplantı baskınlarına (Zoombombing) engel olacak olsa da henüz, bütün video konferans platformları tarafından benimsenmiş değildir. Mevcut durumda, yalnızca Zoom ve Webex, bir seferde bir tek kullanıcının katılmasına izin veren ve her bir katılımcı için özel olarak üretilen bağlantı oluşturma imkanı sunuyor. Zoom bunu yapmak için katılımcıların Zoom üzerinde oturum açmasını şart koşuyor ve bunu yaparken bir yandan da kişiye özgü üretilen bağlantının, katılımcının e-posta adresine gönderilen ile aynı olup olmadığını kontrol ediyor. Diğer video konferans uygulamarını ise toplantılarını içeriden gelen tehditlerden korumak için benzer kontrol önlemleri almaya teşvik ediyoruz.”

Zoom’un yazıyla ilgili resmi açıklaması:

“Meydana gelen bu tür olaylardan dolayı büyük bir üzüntü duyuyor ve Zoom olarak bu tür davranışları şiddetle kınıyoruz. Zoom toplantı kayıtları esnasında kişiye özgün bağlantı üretme özellikleri sunar. Yakın zaman önce sistemdeki varsayılan ayarları yeniden gözden geçirdik ve toplantı ev sahiplerine ekran paylaşımını yönetme, toplantıları kilitleme gibi önlemleri de içeren iç güvenlik ayarlarına daha kolay  erişme imkanı sağladık. Ayrıca katılımcıların bilinçlenmesi için güvenlik konusunda onları eğitiyor ve bu tür olayların yaşanmaması için katılımcıları gerekli önlemleri almaya teşvik ediyoruz.”  

Araştırmacılar, yaptıkları çalışmanın sosyal medyada yer alan toplantı baskını (Zoombombing) ihbarları konusundaki ilk veri odaklı araştırma olduğunu belirttiler. Video konferansa olan sürekli ve artan ihtiyaç göz önünde bulundurulduğunda bu konuda yeni çalışmalar olacağını söyleyebiliriz.


Yazar : Dan Goodin

Kaynak : Arstechnica.com

Görsel: Chicago İllinoi Üniversitesi

İlk Yayın Tarihi: 2 Şubat 2021

Tercüme : Sena Nur Yaman

Sena Nur Yaman
Sena Nur Yaman
Yorum Bulunmuyor

Yorum Yapın