Bilgi ve İletişim Güvenliği Rehberi: Anlık Mesajlaşma Tedbirleri İçin Teknik Kontrol Listesi

1. Sunucu kurumun kontrolünde olmalı

Temel tedbir, kurumsal haberleşmede sunucuları kurum kontrolünde olan uygulamaların kullanılmasıdır. Kurumun kendi uygulaması yoksa sunucuları yurt içinde bulunan yerli uygulamaların tercih edilmesi istenir. "Kontrol" ifadesi sunucunun fiziksel yerinden fazlasını içerir: kimin yönettiği, yedeklerin kimde durduğu, güncellemenin ne zaman yapılacağına kimin karar verdiği.

Sorulacak soru: Sunucu kurumun kendi altyapısına kurulabiliyor mu? Kurulabiliyorsa yönetim, yedekleme ve güncelleme dış bir hizmete bağlı mı?

2. Güncel SSL/TLS ve SSL pinning

İletim katmanı güvenliği, bilinen zafiyeti olmayan güncel bir SSL/TLS sürümüyle sağlanmalı ve uygulamada SSL pinning kullanılmalıdır. Pratikte bu, TLS 1.2 ve TLS 1.3 dışındaki eski sürümlerin kabul edilmemesi ve şifrelenmemiş bağlantının kapatılabilmesi anlamına gelir.

SSL pinning nedir?

Normalde bir uygulama, işletim sisteminin güvendiği herhangi bir sertifika otoritesinin imzaladığı sertifikayı kabul eder. SSL pinning (sertifika sabitleme) ise uygulamanın yalnız önceden bilinen sertifikaya ya da kök sertifikaya sahip sunucuya bağlanmasıdır. Ağa yerleştirilmiş bir cihaz geçerli görünen ama farklı bir sertifika sunarsa uygulama bağlantıyı reddeder. Bu, araya girme (ortadaki adam) saldırılarına karşı ek bir katmandır.

Sorulacak soru: Hangi TLS sürümleri kabul ediliyor? Sabitleme hangi platformlarda var, sertifika değiştiğinde uygulama ne yapıyor?

3. Gizlilik dereceli veri ayrı tutulmalı

Rehber, gizlilik dereceli veri paylaşımını ve haberleşmesini mevzuatta kodlu veya kriptolu haberleşmeye yetkilendirilmiş kurumların geliştirdiği yerli uygulamalara bırakır. Ticari bir kurumsal mesajlaşma ürünü bu kapsamda değildir. Bu nedenle kurumun bilgi sınıflandırma politikası, hangi bilginin mesajlaşmada paylaşılamayacağını açıkça yazmalıdır.

4. Uçtan uca şifreleme

Rehber, uygulamadan gönderilen mesajların ve sesli ya da görüntülü aramaların uçtan uca şifrelenmesini öngörür. Uçtan uca şifrelemede mesajı yalnız gönderen ve alıcı cihazlar çözebilir; sunucu içeriği okuyamaz. Bu, sunucuda arama yapmayı, saklama süresine göre silmeyi ve veriyi dışa aktarmayı zorlaştırır; bu yüzden kurumsal ürünlerin bir kısmı yalnız taşıma katmanı şifrelemesi (TLS) kullanır.

Sorulacak soru: Mesajlar ve aramalar uçtan uca mı şifreleniyor, yoksa yalnız taşıma katmanında mı? Ürün bu konuda yazılı ve açık bir beyan veriyor mu?

5. Anahtarlar ve cihazdaki veri

Uygulama cihazda sakladığı veriyi şifreli tutmalı, şifreleme anahtarlarını işletim sisteminin güvenli depolama alanlarında (ör. keystore ya da keychain) saklamalıdır. Kayıp ya da çalınan bir telefonda yerel önbelleğin okunabilmesi, sunucu ne kadar güvenli olursa olsun bir sızıntı noktasıdır.

6. Birden fazla mobil cihazda eş zamanlı çalışmama

Rehbere göre uygulama birden fazla mobil cihazda eş zamanlı çalışmamalıdır. Bu tedbir, bir hesabın fark edilmeden ikinci bir telefona taşınmasını önlemeyi amaçlar. Sorulacak soru: Ürün aynı hesabın ikinci bir mobil cihazda açılmasını engelliyor mu, yoksa yalnız açık oturumları listeleyip kapatmaya mı izin veriyor?

7. Yönetim arayüzü ve denetim izi

Yönetim arayüzüne erişim yeterli en düşük haklarla ve güvenli biçimde yapılmalı, yönetim işlemlerine ait denetim izleri tutulmalıdır. Kullanıcı açma ve kapatma, yetki değişikliği, sertifika yükleme ve veri dışa aktarma gibi işlemlerin kim tarafından, ne zaman yapıldığı kayıtta görünmelidir.

8. Yerel işletme ve yönetim

Kritik haberleşmede işletmesi ve yönetimi yerel olarak yapılabilen yerli uygulamaların tercih edilmesi istenir. Bu madde, sunucunun internete kapalı bir ağda çalışabilmesi ve güncellemelerin dış bir hizmete bağlı olmaması gibi işletme sorularını gündeme getirir.

SyncMessage hangi maddeleri karşılıyor?

Kontrol listesini kendi ürünümüze de uyguladık. Tablo, karşılanan maddeleri olduğu kadar karşılanmayanları da gösterir:

Ayrıntılı açıklamalar kamu kurumları sayfasında, şifreleme seçimimizin gerekçesi şifreli kurumsal mesajlaşma yazısında yer alır.

Satıcıya gönderebileceğiniz soru listesi

1. Sunucu kurumun altyapısına kurulabiliyor mu? Kurulum, yedekleme ve güncelleme için dış bağlantı gerekiyor mu?
2. Kabul edilen TLS sürümleri neler? Şifrelenmemiş bağlantı tamamen kapatılabiliyor mu?
3. Sertifika sabitleme hangi platformlarda var? Sertifika değiştiğinde kullanıcı ne görüyor?
4. Mesajlar ve aramalar uçtan uca mı şifreleniyor? Değilse veri sunucuda nasıl korunuyor, yedekler şifreli mi?
5. Cihazdaki yerel veri şifreli mi, anahtarlar nerede tutuluyor?
6. Aynı hesap birden fazla mobil cihazda açılabiliyor mu?
7. Yönetim işlemleri hangi ayrıntıda kayda geçiyor, kayıtlar dışa aktarılabiliyor mu?
8. Kayıp cihazda oturum uzaktan kapatılabiliyor mu, yerel veri silinebiliyor mu?