CERT-FR ve CISA'dan akıllı telefon güvenliği ipuçları – pek pratik değil

Fransız CERT ve ABD CISA, son on yılda akıllı telefon güvenliğini ve tehdit geçmişini analiz etti. Buradan yola çıkarak cihazların güvenliğinin nasıl sağlanması gerektiğini kurumlar belirliyor. Ancak en azından Fransa'dan gelen ipuçları biraz ileri gidiyor.

CERT-FR, ilgilenenlere 40 sayfalık bir PDF sağlarken, CISA, PDF'yi yönetilebilir beş sayfayla sınırlandırıyor. Bu, çok faktörlü kimlik doğrulama ve FIDO çubuklarının yanı sıra şifre yöneticilerinin kullanımı gibi sıradanlıklarla başlar. BT uzmanları SMS'in 2FA mekanizması olarak kullanılmasına karşı tavsiyede bulunuyor. Kullanıcılar ayrıca, örneğin SIM'in kilidini açmak ve yazılım güncellemelerini düzenli olarak yüklemek için bir PIN ayarlamalıdır.

Akıllı telefon üreticilerinin en son donanımlarına güvenmeniz gerektiği söyleniyor; ayrıca güvenliğe önem verdiği bilinen ve uzun güvenlik güncelleme süreleri vaat eden üreticilere de öncelik verilmelidir. CISA aynı zamanda “kişisel VPN yazılımı”nın kullanımını da reddediyor çünkü bu yazılımlar, kalan riskleri İnternet sağlayıcısından VPN sağlayıcısına kaydırıyor ve genellikle saldırı yüzeyini artırıyor. Ancak bu, profesyonel organizasyon VPN'lerini değil, daha çok GeoIP kısıtlamalarını atlamak için kullanılan VPN sağlayıcılarını ifade eder. CISA, özellikle iPhone için kilitleme modunu önerir; bu, belirli uygulamaları, web sitelerini ve işlevleri sınırlandırır ve saldırı yüzeyini azaltırken aynı zamanda kullanılabilirliği de azaltır.

Fußangel: “Her şey yolunda” her zaman işe yaramıyor

Fransızlar tüm gücüyle ilerlemeye devam ediyor. Önerilerinde Bluetooth ve NFC için de aynı şeyi “Kullanılmadığında WiFi'yi devre dışı bırakın” yazıyorlar. Kullanıcıların, Android 16 ile birlikte sunulan ve iOS kilitleme moduna benzer şekilde çalışan “Gelişmiş Koruma Modu”nu etkinleştirmeleri gerekiyor. Ayrıca “Cep telefonunuzu bilinmeyen USB bağlantı noktalarına ve cihazlara bağlamayın” gibi tekrarlar da mevcut. Tüm uygulamaların atanan izinleri de kontrol edilmeli ve ayarlanmalıdır.

Tabii ki, ipuçları temelde yanlış değil. Ancak CISA, önlem kataloğunun daha çok “yüksek hedef kitleye” yönelik olduğu gerçeğini kısıtlıyor. Beklenen faydalara kıyasla ilgili önlemin ne gibi sınırlamalar içerdiğine ışık tutmak, ilgilenenlerin daha kolay bir fikir edinmelerine ve potansiyel faydaları bilinçli bir şekilde tartmalarına yardımcı olacaktır. Açıkça söylemek gerekirse, eğer birisi önerilen önlemlerin tümünü bu şekilde uygulayacak olsaydı, ellerinde (eğer şanslılarsa) hala arama yapmak için kullanılabilecek bir akıllı telefon yerine retro bir cep telefonu bulundurma olasılıkları daha yüksek olurdu. Örneğin iOS kilitleme modu, iyi bilinen casus yazılım kampanyalarının çoğunu savuştururken aynı zamanda birçok insanın günlük yaşamda kullandığı şeyleri ve eylemleri de engeller.

Sonuçta ipuçları daha çok siber suçlular veya diğer devlet aktörleri tarafından hedef alındıklarını düşünen üst düzey kişilere yöneliktir. Bununla birlikte, genel halk için, yapılandırma ipuçlarının çoğu çok ileri gidiyor ve akıllı telefonları onlar için neredeyse kullanılamaz hale getiriyor. Hangi koruyucu önlemlerin mümkün olduğuna dair bir genel bakış olarak, genel bakışlar da iyi bir başlangıçtır; ancak yine de daha sonraki etkilerle ilgili açıklamalar eksiktir.

(dmk)