information-security___tr

AxCrypt neden güvenli?

AxCrypt güvenli olmasının sebebi yeni algoritmalar veya yöntemler icat etmeye çalışmak yerine kabul gören uygulamaları ve algoritmaları kullanmasıdır. Ayrıca açık kaynaktır. Herkes kaynak kodunu inceleyebilir ve hatalar, eksikler veya güvenlik açıkları için kontrol edebilir. Zayıflıkları bulmak adına 15 yıldır kullanılmaktadır ve incelenmektedir ve bilinen hiçbir zayıflık içermeden 30 milyondan fazla kullanıcı tarafından denenmiştir.

AxCrypt ne kadar güvenli?

Bu soru, etkili şifreleme anahtar uzunlukları ile alakalıdır. Kullanılan anahtar uzunluğu 128 veya 256 bittir ve her iki durumda da tam kapsamlı aramanın bir çözüm olduğu düşünülmez ve şifreleme kapsamında sayısal olarak mümkün değildir. Sorunun altında zayıf nokta olan kullanılan şifreler yatmaktadır. Aşağıda, şifre belirlerken göz önünde bulundurmanız gerekenler yazmaktadır.

Parolalar konusunda dikkat edilmesi gerekenler

AxCrypt, Premium sürümünde AES-128 veya AES-256 kullanmaktadır fakat bu seviyede bir güvenlik elde etmek istiyorsanız, 128 veya 256 bit tam anlamıyla "rastgele" veri kullanmanız gerekir. Bunu gerçekleştirmek çok zor olsa da bu soruna en uygun yaklaşım, Premium ile gelen şifre oluşturucuyu kullanmaktır.

Tam anlamıyla 128 veya 256 bit elde etmek için, pratikte şifrelerinizi metin dosyasında kaydetmeniz ve bu metin dosyasını oldukça gizli tutmanız gerekir. Bir şifrede tipik İngilizce dili kullanıldığında 128 bit "rastgele" 10 kelimeye, 256 bit de iki katı kelimeye tekabül eder. Anlam içeren cümleler ve ünlü veya az bilinen alıntılar bile kullanmayın! Büyük ve küçük harf çeşitliğini artırarak ve alfabetik olmayan karakterler kullanarak gereken kelime sayısını azaltabilirsiniz. 5'ten az kelime kullanılması tavsiye edilmez. Tamamen rastgele büyük ve küçük harf ve rakam kullanırsanız 128 bit güvenlik elde etmek için 22 karaktere, 256 bit için 44 karaktere ihtiyaç duyarsınız. (Bu durum basitleştirilmiş olsa da iş görmektedir.) AxCrypt'in parçalama veya silme özelliği ile dosyaları, kurtarma yazılımları ile bile kurtarılamaz hale getirmeniz mümkündür. Yine de dikkat edilmesi gereken noktalar var:

• Dosyanın adının yanı sıra boyutu da kurtarılabilir.

• Eğer dosya, geçici kopya oluşturan bir uygulama (örneğin: Microsoft Office) ile görüntülendiyse veya düzenlendiyse, bahsi geçen geçici dosyalar sabit diskinizde kurtarılabilir durumda bulunuyor olabilir.

Yerel bilgisayarlarda güvenliği artırmak üzerine ip uçları için ilgili bölüme bakınız.

Yerel Bilgisayar Güvenliği

Sadece AxCrypt yerel bilgisayarınızı şunlardan koruyamaz:

Şu sebeple veri ihlali:

• Uygulamalarınızın ram'de şifrelenmemiş bilgi bulundurması ve akabinde disk belleğine aktarılması.

• Uygulamalarınızın düzgün bir şekilde silinmeyen geçici dosyalar oluşturması.

• Özel yazılım ve laboratuvar ekipmanları ile üzerine yazılmış sabit disk verilerinin derin okuması.

Şu sebeple parola ifşası:

• Sisteminizin beklenmedik bir zamanda yeniden başlatılması ve akabinde kripto analizi.

• Klavye takibi yapan donanım veya yazılım.

Kullanımı ihmal edilen:

• AxCrypt veya kullanıcı bilgileriniz ile güçlü şifreler.

• Parola korumalı ekran koruyucular

Hesap Anahtarları

Hesap anahtarı, diğer takım üyelerinin güvenli dosyaları açmalarına izin vermek gibi çeşitli zengin özellikleri mümkün kılar. Teknik terimlerle, bir AxCrypt Hesap anahtarı, bir açık (gizli olmayan) parça, bir özel (gizli) parça ve diğer meta verilerden oluşan açık anahtar çiftinden oluşur.

Hesap anahtarı da şifreniz ile güvence altında tutulsa da bir parçası, dosyaları kendiniz ve takımınız için güvence altına alırken kullanılır ve gizli değildir. Bunun size faydası bütün dosyalarınız şifrelerini tek bir işlem ile değiştirebilmenizdir. Takımınıza faydası ise sizin ve takımınız, birbirinize güven dosyaları açma imkanını sadece diğer üyenin e-mail adresini belirterek, şifre paylaşmadan mümkün kılabilmenizdir.

Herhangi bir şahıs e-mail adresinizi kullanarak kendinize ait parolanız ile güvence altına alınmış bir dosyayı açmanıza izin verebilir ve siz de güvence altına aldığınız bir dosyanın e-mail adresi olan herhangi bir şahıs tarafından açılmasına izin verebilirsiniz. Bunların hepsi, hesap anahtarının herkese açık kısmının sunucularımızda bulunması sayesinde mümkündür.

Algoritmalar

Toplu şifreleme için birincil şifrelemeler AES-128 veya AES-256, anahtar türetme için PBKDF2 ile HMAC-512, hesap anahtarı için 4096-bit RSA ve bütünlük doğrulama için HMAC-512'dir.

Kullanılan algoritmalar bilgimiz dahilinde ABD Hükümeti ve İnternet topluluğu tarafından güvenli olarak kabul görmektedir. Lütfen detaylar için belgeler paketine ve kaynak koduna bakınız.

Şifrenin anahtar sarma işlemi AES Anahtar Sarma için NIST spesifikasyonu kullanılarak yapılır.PBKDF2-SHA512 ile şifreden elde edilen anahtar sadece anahtar şifreleme anahtarı olarak kullanılır.

Kaba kuvvet karşıtı önem olarak anahtar sarma işlemi en az 5000 tekrar ile yapılarak gereken eforu yaklaşık 12 bit kadar artırılır. Asıl tekrar sayısı dinamik olarak kararlaştırılır, tipik değer ise 14-17 bit etkili anahtar uzunluğu eklenmesini sağlayan 25000 ila 100000 arasıdır. AxCrypt'i ne kadar hızlı bir makineye yüklerseniz güvenlik de bir o kadar iyi olur.

AxCrypt, bilgi şifreleme için "rastgele" IV'li Counter mode'unda 128-bit veya 256-bit Gelişmiş Şifreleme Standartı kullanır.

Bütünlük doğrulama için AxCrypt, HMAC-SHA512, yani 512-bit çıkışlı SHA-512 kullanan Özet Tabanlı Mesaj Doğrulama Kodu kullanır.

Sözde rastgele sayı üretici (PRNG), genellikle mevcut ise işletim sisteminde kullanılır, bazen entropi de ekler.

Bizim uygulamamızda bir çok hata olabilir, açık kaynak olmasının sebebi de budur. Bu sayede siz ve akranlarımız inceleyip güvenli kalmasını sağlayabilir. Fakat bunu kodumuza olan güvenimizin düşüklüğü şeklinde yorumlamayın, kodunun hatasız olduğunu söyleyen herhangi biri ya deneyimsizdir ya da yalan söylüyordur.

AxCrypt HIPAA ile uyumlu mu?

HIPAA uyumlu yazılım olanağı yoktur. Sadece kuruluşlar ve süreçler HIPAA uyumlu olabilir.

Şifrelemenin ve diğer Teknik Korumalar HIPAA Güvenlik Standartları, 45 CFR 160, 162 ve 164 tarafından idare edilmektedir. İlgili bölüm 164.312 Teknik Korumalardır. Burada da belirli şifreleme teknolojileri üzerine herhangi bir öneri veya gereklilikten bahsedilmemekle birlikte yönetmeliğin teknolojiden bağımsız olduğu özellikle belirtilmiştir. Pozisyon ve riskleri değerlendirmek ve gerekli veya yapılabilir spesifikasyonları uygulamak organizasyonların kararına bırakılmıştır.

Yorumlar dışında standartta bahsi geçmese de, Medicare ve Medicaid Hizmeti Merkezleri tarafından günümüzde kendi ihtiyaçları için kullanılmakta olan CMS İnternet Güvenlik Politikası, bazı durumlar için minimum teknoloji düzeylerini belirtmektedir. AxCrypt İnternet üzerinden iletim şartlarını sağlasa da kuruluşunuz, Medicare ve Medicaid Hizmeti Merkezleri ile aynı düzeyin yeterli olup olmadığını kendi imkanları dahilinde değerlendirmelidir.

AxCrypt'in Teknik Korumalar ('ın bir parçası olarak) yeterli olabileceği (olması gerektiği) alanlar:

• Erişim Kontrolü/Şifreleme ve Çözümleme – AES-128/AES-256

• Bütünlük/Doğrulama - HMAC-SHA-512 Transmission

• Güvenlik/Bütünlük Kontrolleri, AES-128/AES-256/HMAC-SHA-512 Şifreleme

HIPAA Güvenlik Standardı, Erişim Denetimi temeli olarak verinin sabit şekilde korunması (örneğin verinin İnternette bulunması yerine sabit diskte depolanması) anlamına gelen şifrelemenin kullanılmasına izin verir, Bu konuda da AxCrypt bir çok kuruluşun gereksinimlerini yerine getirir.