Parola Yöneticileri ve Kripto: Neyi Saklamalı, Neyi Asla Saklamamalı

Parola yöneticisi, borsa ve e-posta parolalarınız için iyi bir yerdir; ancak kurtarma ifadeleri veya özel anahtarlar için doğru yer değildir: bunlar çevrimdışı kalmalıdır, çünkü onları ele geçiren herkes kriptonuzu sonsuza dek kontrol eder. Doğru kullanıldığında parola yöneticisi kripto hesaplarınızı çok daha güvenli hâle getirir; her şeyin konduğu bir kasa olarak kullanıldığında ise tek hata noktasına dönüşebilir.

Kripto hırsızlıklarının çoğu, kırılmış bir blokzincirle değil, ele geçirilmiş bir hesapla ya da çalınmış bir sırla başlar. Bu rehber, saldırganların parola kasalarını ve içindeki sırları nasıl hedef aldığını, neyi saklamanız ve neyi dışarıda tutmanız gerektiğini ve bir şeyler ters giderse ne yapmanız gerektiğini açıklıyor.

Neyi Saklamalı, Neyi Asla Saklamamalı

Yol gösterici ilke: Parola yöneticisi, başka güvenlik önlemleri de olan (para çekme gecikmeleri, 2FA, destek ekipleri) hesaplara erişimi korur. Kurtarma ifadesinin ise hiçbir güvenlik önlemi yoktur. Nedenini anlamak için kurtarma ifadesinin ne olduğunu ve nasıl çalıştığını okuyun.

Saldırganlar Kasaları ve Sırları Nasıl Hedef Alır

Saldırı yollarını anlamak, yukarıdaki kuralları açıklar:

1. 1Bilgi çalan kötü amaçlı yazılımlar. Sahte bir uygulama, kırılmış bir yazılım veya kötü amaçlı bir tarayıcı uzantısı bilgisayarınızdaki tarayıcı verilerini, kayıtlı parolaları ve dosyaları kopyalar. Kasanız kilitli değilse ya da kurtarma ifadeniz bir notta duruyorsa saniyeler içinde alınabilir.
2. 2Ana parolaya yönelik kimlik avı. Sahte bir giriş sayfası veya sahte bir “kasa güvenlik uyarısı” e-postası, parola yöneticinize giriş yapmanızı ister.
3. 3Sağlayıcı ihlalleri. Parola yöneticisi şirketleri, şifrelenmiş kasa verilerinin kopyalandığı ihlaller yaşadı. Şifreleme sizi yalnızca ana parolanız tahmin girişimlerine dayanacak kadar güçlü olduğu sürece korur.
4. 4Pano ele geçirme. Kötü amaçlı yazılım panonuzu izler ve kopyaladığınız cüzdan adresini saldırganın adresiyle değiştirir ya da kopyaladığınız bir kurtarma ifadesini yakalar.
5. 5Kasalarda anahtar kelime aramak. Bir kasaya girdikten sonra saldırganlar “seed”, “mnemonic”, “wallet” veya “private key” gibi kelimeleri arar.

Varsayımsal bir örnek

Aşağıdaki, gerçek bir vaka değil, açıklama amaçlı bir birleşik örnektir. Alex'in her şeyi, “MetaMask seed” başlıklı bir not da dahil olmak üzere, tek bir parola yöneticisinde sakladığını düşünün. Alex, kötü amaçlı olduğu ortaya çıkan ücretsiz bir “kripto fiyat takipçisi” uzantısı yükler. Uzantı, Alex ana parolayı yazarken onu yakalar ve kasayı dışa aktarır. Saldırgan “seed” kelimesini arar, cüzdanı içe aktarır ve bir saat içinde boşaltır. Alex'in borsa hesabı yalnızca para çekme işlemleri bir donanım güvenlik anahtarı gerektirdiği için kurtulur. İki sonuç arasındaki fark, her bir sırrın nerede saklandığıydı.

Kasanızın veya Hesaplarınızın Hedef Alındığına Dair Uyarı İşaretleri

• Parola yöneticinizi veya borsa hesabınızı “doğrulamanızı” ya da “yeniden senkronize etmenizi” isteyen e-postalar.
• Sizin tetiklemediğiniz oturum açma uyarıları veya 2FA istekleri.
• Parola yöneticinizin, borsanız olduğunu düşündüğünüz bir sitede otomatik doldurmayı reddetmesi.
• Yüklediğinizi hatırlamadığınız yeni tarayıcı uzantıları.
• E-posta hesabınız için beklenmedik parola sıfırlama e-postaları.

Kripto için Parola Yöneticisini Güvenli Şekilde Kurma

1. 1Saygın bir yönetici seçin: Yayımlanmış bir güvenlik modeline ve uçtan uca şifrelemeye sahip olsun ve yalnızca resmî siteden veya uygulama mağazasından indirilsin.
2. 2Güçlü bir ana parola ifadesi oluşturun: Başka hiçbir yerde kullanmadığınız birkaç rastgele kelimeden oluşsun; acil kurtarma için yazıp güvenli bir yerde saklayın.
3. 3Kasa için güçlü iki faktörlü doğrulamayı açın: İdeal olarak SMS yerine bir donanım güvenlik anahtarı veya kimlik doğrulama uygulaması kullanın.
4. 4Benzersiz parolalar oluşturun: Her borsa, e-posta hesabı ve kripto hizmeti için. E-postanıza öncelik verin, çünkü diğer her şeyi sıfırlayabilir.
5. 5Otomatik doldurmayı kimlik avı kontrolü olarak kullanın. Kimlik bilgilerinizi önermiyorsa herhangi bir şey yazmadan önce URL'yi inceleyin.
6. 6Cüzdan sırlarını dışarıda tutun. Kurtarma ifadelerini çevrimdışı saklayın. Kasada bir hatırlatma istiyorsanız yalnızca yedeğin nerede durduğunu yazın, ne içerdiğini değil.
7. 7Kasayı otomatik olarak kilitleyin: Kısa bir hareketsizlik süresinden sonra ve cihaz uyku moduna geçtiğinde.

Daha kapsamlı bir rutin için güçlü bir kripto güvenlik rutini oluşturma rehberimize ve kripto kullanıcıları için e-posta hesabı güvenliği yazımıza göz atın.

Kasanız Ele Geçirilirse Ne Yapmalı

1. 1İçindeki her sırrın açığa çıktığını varsayın. Orada bir kurtarma ifadesi saklandıysa fonlarınızı hemen yeni bir kurtarma ifadesine sahip yeni bir cüzdana taşıyın; cüzdanınız ele geçirilirse hemen yapmanız gerekenler rehberini izleyin.
2. 2Önce e-posta parolanızı, ardından borsa parolalarınızı temiz bir cihazdan değiştirin.
3. 3İki faktörlü doğrulamayı sıfırlayın ve borsalardaki bilinmeyen oturumları ve API anahtarlarını iptal edin.
4. 4Para çekme adresi beyaz listelerini sizin eklemediğiniz adresler için kontrol edin.
5. 5Etkilenen cihazı yeniden kullanmadan önce tarayın veya yeniden kurun.
6. 6Kimlik avı sitelerini ve dolandırıcı adreslerini ilgili hizmete ve dolandırıcılık bildirim formumuz aracılığıyla bildirin.

Sonuç

Parola yöneticisi, doğru şeyleri barındırdığı sürece bir kripto kullanıcısının sahip olabileceği en iyi güvenlik araçlarından biridir. Onu benzersiz hesap parolaları için ve otomatik doldurma sayesinde bir kimlik avı kontrolü olarak kullanın, güçlü bir parola ifadesi ve donanım destekli iki faktörlü doğrulama ile koruyun; kurtarma ifadelerini ve özel anahtarları ise kötü amaçlı yazılımların ve ihlallerin ulaşamayacağı şekilde çevrimdışı tutun.