Dijital güven risk altında: Yetkililer eski alanlarını unuttuklarında

Bir federal kurumu yeniden adlandırmak yalnızca tabelaların ve antetli kağıtların değiştirilmesini değil, aynı zamanda ilgili İnternet adresinin de değiştirilmesini gerektirir. Daha önce devlet tarafından kullanılan bu tür alan adlarının bir süre sonra terk edilmesi, ciddi güvenlik sorunlarına yol açabilir.

Geçmişleri nedeniyle bu adresler yüksek düzeyde güvene sahip olmaya devam ediyor, akademik makalelerde veya haber medyasında bağlantılandırılıyor ve arama motorlarında kolayca bulunabiliyor. Bu faktörler onları dolandırıcılar ve dezenformasyon yayan kişiler için ideal bir hedef haline getiriyor. Eski hükümet web sitesi adresleri artık yasa dışı kumar, çevrimiçi kumarhaneler, bahis sağlayıcıları ve hatta kötü amaçlı yazılımlara ilişkin reklamlar içermektedir.

Federal Mülteciler Dairesi

Bunun çarpıcı bir örneği, 2005 yılına kadar hâlâ Yabancı Mültecileri Tanıma Federal Dairesi (BAFl) olarak adlandırılan bugünkü Federal Göç ve Mülteciler Dairesi'nin (BAMF) eski alanıdır. Yeniden adlandırma sonrasında adres bafl.de'den bamf.de'ye değiştirildi. Yıllarca eski URL yenisine yönlendirilse de sonunda terk edildi. BT güvenliği araştırmacısı Tim Philipp Schäfers, 2025 yılında bafl.de'nin bir kez daha kayıt için açık olduğunu keşfetti. Daha önce, sığınma sorunlarıyla ilgili şüpheli bilgiler içeren garip ama görünüşte zararsız bir web sitesi geçici olarak burada kurulmuştu.

Şu anda yayınlanan bir rapora göre, BAMF'de tuhaf test hesapları keşfetmiş olan Schäfers, alan adını güvence altına aldı. Federal hükümetin ağlarından gelen soruların hâlâ bafl.de'ye gönderildiğini görünce şaşırdı. Bu altyapı yetkilileri ve binlerce çalışanı birbirine bağlıyor.

Bu, muhtemelen yanlış yapılandırma nedeniyle dahili BT sistemlerinin artık kontrol edilmeyen adrese otomatik olarak erişmeye devam ettiğini gösterdi. Keşife göre, sistemlerdeki bu tür inatçı sabitlemeler önemli bir güvenlik riski oluşturuyor. Saldırganlar, dahili BT altyapısı hakkındaki bilgileri gözetlemek ve en kötü durumda sistemleri manipüle etmek için sürekli gelen talepleri kullanabilir.

Kalıcı bir güvenlik riski olarak eski referanslar

Federal Bilgi Güvenliği Dairesi (BSI) ve BAMF, güvenlik uzmanının raporuna yanıt vererek bafl.de referansının ITZBund'daki tüm yapılandırmalardan silinmesine neden olmasına rağmen, otomatik sorgulamalar durmadı. Olay, bir alan adının ancak artık herhangi bir sistemde dahili olarak kullanılmadığından emin olunduktan sonra serbest bırakılması gerektiğinin altını çiziyor. Netzpolitik.org'un haberine göre BAMF daha sonra bu değerlendirmeyi paylaştı. Güvenlik nedeniyle artık kullanılmayan alan adlarını kaydetmeye devam etmeye daha fazla dikkat etmek istiyor.

Bunun münferit bir vaka olmadığı, sol kesimden gelen bir soruya federal hükümetin verdiği yanıttan da anlaşılıyor. Buna göre, daha önce bakanlıklar veya ilgili makamlar tarafından kullanılan birçok alan adı üçüncü şahıslar tarafından tescil edilmiş ve kötüye kullanılmıştır. Bir örnek, eski bir Tarım Bakanlığı URL'sidir. Bugün, bu hâlâ biyoenerji bitkileri hakkında bilgi sağlıyor ancak kumar ve bahis sağlayıcılarına bağlantılar gösteriyor.

Eski adıyla Federal Sağlık Eğitimi Merkezi olan Federal Halk Sağlığı Enstitüsü (BIÖG) de önceki farkındalık kampanyalarından kalan kullanılmayan alanlarla mücadele ediyor. Bunlar artık yasa dışı çevrimiçi kumarhanelere de bağlanıyor. Bir zamanlar çocuk şarkıları için kullanılan başka bir alan adı bile kötü amaçlı yazılım yayıyor. Bazı bakanlıklar bu tür vakaları bildirirken, diğerleri yalnızca “hiçbir rapor olmadığını” bildirdi. Devlet etki alanı yönetiminin ölçeği ve BAFl davası göz önüne alındığında bu mantıksız görünüyor.

Şeffaflığın olmayışı ve kuralların olmayışı

Sol görüşlü milletvekili Donata Vogtschmidt, güvenilir web sitelerinin güvenliğinin sağlanmasında “tamamen başarısızlık” yaşandığından şikayet ediyor. Vogtschmidt'e göre durum yetersiz görünüyor çünkü hükümete göre artık ihtiyaç duyulmayan alanlarla ilgilenmek için tek tip kurallar yok: sorumluluk ilgili otoriteye ait.

Hükümet, federallerin elindeki tüm alan adlarının ve bunların maliyetlerinin sistematik bir listesini açıklamayı reddediyor çünkü bu, Federal Cumhuriyetin güvenliğini tehlikeye atabilir. Bu gizlilik, dahili envanter yönetiminin yanı sıra harici şeffaflığı ve gerekli güvenlik araştırmalarını da zorlaştırmaktadır. Devlet içeriği barındıran alan adlarının sayısına ilişkin tahminler binlerce olup, potansiyel güvenlik sorununun boyutunu vurgulamaktadır.

Güven oluşturmak ve kötüye kullanımı en başından önlemek için, bund.de veya yeni dijital şemsiye markası gov.de altındaki alt alan adlarının tutarlı kullanımı yardımcı olabilir. Resmi web sitelerini işaretlemeyi amaçlayan ikincisi henüz pilot aşamasındadır ve zorunlu değildir. BT uzmanlarına göre, tutarlı alan adı yönetimi, güçlü kimlik doğrulama ve gizlilik yerine kontrol, federal hükümetin dijital varlığının kötüye kullanıma karşı daha dayanıklı hale getirilmesinde daha etkili olacaktır.

(wpl)