Telefonda hesap güvenliği tek bir ayarla değil, <strong>üç bağımsız katmanla</strong> kurulur: cihazın kendisine erişimi kısıtlayan <strong>ekran kilidi</strong>, kilidi hızlı açmayı sağlayan <strong>biyometri</strong> ve uygulamaların cihazınızda ne görebileceğini belirleyen <strong>izinler</strong>. Bu üç katman farklı tehditlere karşı çalışır ve birinin güçlü olması diğerinin zayıflığını kapatmaz. Aşağıda her katmanın neyi koruduğu, hangi ayarın ne kadar fark yarattığı ve <strong>otomatik kilit süresinin günlük açık kalma süresine etkisi</strong> sayılarla gösteriliyor.
Güncellendi:
Ekran kilidi, telefonu fiziksel olarak eline geçiren birine karşı çalışır. Kaybolan, çalınan ya da masada bırakılan bir cihazda tek engel budur. Kilidin gücü, denenebilecek kombinasyon sayısıyla ve deneme sayısı sınırlandırıldığında pratikte imkânsız hâle gelmesiyle ölçülür.
Biyometri bir güvenlik katmanı değil, bir <em>kolaylık</em> katmanıdır. Parmak izi veya yüz tanıma, güçlü bir şifreyi günde onlarca kez yazma zahmetini ortadan kaldırır; böylece kısa ve zayıf bir kod seçmek için sebebiniz kalmaz. Biyometrinin arkasında her zaman bir kod vardır ve cihaz yeniden başlatıldığında ya da biyometri birkaç kez başarısız olduğunda o kod istenir. Yani biyometri kodun yerine geçmez, kodu kullanılabilir kılar.
İzinler ise tamamen farklı bir tehdide karşı çalışır: cihaza zaten erişimi olan yazılımlara karşı. Bir uygulamanın erişebildiği her şey — bildirimler, ekran içeriği, dosyalar, konum — o uygulamanın kötü niyetli ya da ele geçirilmiş olması durumunda dışarı çıkabilir. Ekran kilidi bu tehdide karşı hiçbir şey yapmaz, çünkü uygulama zaten kilit açıkken çalışır.
Üç katmanı birlikte düşünmenin pratik sonucu şudur: uzun bir kod seçip biyometriyle kolaylaştırmak, otomatik kilit süresini kısa tutmak ve uygulamalara verilen izinleri düzenli olarak gözden geçirmek. Bu üçünün toplam maliyeti kurulum sırasında birkaç dakikadır ve sonrasında günlük kullanımı neredeyse hiç yavaşlatmaz.
Bir kilidin gücü, denenmesi gereken olası kombinasyon sayısıyla ölçülür. Aşağıdaki sayılar tam olarak hesaplanabilir ve aradaki farkın büyüklüğünü net gösterir.
| Kilit türü | Olası kombinasyon | Bir öncekine göre |
|---|---|---|
| 4 noktalı çizim deseni | 1.624 | — |
| 4 haneli PIN | 10.000 | 6 kat |
| Tüm çizim desenleri (4–9 nokta) | 389.112 | 39 kat |
| 6 haneli PIN | 1.000.000 | 2,6 kat |
| 6 karakterli harf+rakam parola | 2.176.782.336 | 2.177 kat |
Tablodaki en büyük sıçrama son satırdadır: yalnızca karakter kümesini genişletmek, aynı uzunlukta bin katı aşan bir fark üretir. Buna karşılık modern cihazlarda deneme sayısı zaten sınırlıdır; ardışık hatalı denemelerden sonra artan bekleme süreleri devreye girer. Bu yüzden pratik güvenlik, kombinasyon sayısından çok kilidin hiç devrede olup olmadığına bağlıdır.
Telefonu günde 60 kez elinize aldığınızı ve her kullanımdan sonra ekranın kendiliğinden kapanmasını beklediğinizi varsayalım. Kilit gecikmesi, cihazın gözetimsiz ve açık kaldığı süreyi doğrudan çarpar.
| Kilit gecikmesi | Günlük açık kalma | Saat cinsinden |
|---|---|---|
| 15 saniye | 900 saniye | 0 sa 15 dk |
| 30 saniye | 1.800 saniye | 0 sa 30 dk |
| 1 dakika | 3.600 saniye | 1 sa 00 dk |
| 2 dakika | 7.200 saniye | 2 sa 00 dk |
| 5 dakika | 18.000 saniye | 5 sa 00 dk |
Son satır dikkat çekicidir: beş dakikalık bir gecikme, telefonu günde beş saat boyunca kilitsiz bırakır. Kilidin kombinasyon sayısı ne olursa olsun, o beş saat içinde cihazı eline alan biri için hiçbir engel yoktur. Kilit gecikmesini 30 saniyeye çekmek, kod uzunluğunu artırmaktan çoğu durumda daha büyük bir fark yaratır.
Kilit ekranında bildirim içeriğinin görünmesi, kilidi kısmen anlamsızlaştırır. Aşağıdaki hesap, tipik bir günde kilit açılmadan görülebilen bilgiyi listeler.
Çözüm bildirimleri kapatmak değil, kilit ekranında yalnızca uygulama adının görünmesini sağlamaktır. Bu ayar günlük kullanımda hemen hiç fark ettirmez ama doğrulama kodlarının cihaz kilitliyken okunmasını engeller. Kilit ekranı ayarlarını gözden geçirmek, bu sayfadaki en kısa süren ve en yüksek getirili işlemdir.
Aşağıdaki izinler hesap güvenliği açısından en kritik olanlardır. Her biri meşru kullanım senaryolarına sahiptir; soru izin verilip verilmeyeceği değil, o uygulamanın buna gerçekten ihtiyacı olup olmadığıdır.
Bu izin, uygulamanın ekrandaki her şeyi okumasına ve sizin adınıza dokunma yapmasına imkân verir. Görme engelli kullanıcılar için tasarlanmış meşru bir özelliktir ama en güçlü izindir: bunu alan bir uygulama, yazdığınız şifreyi ve ekranda görünen doğrulama kodunu görebilir. Bir uygulama sebepsiz yere bu izni istiyorsa istek tek başına yeterli bir uyarıdır.
Bildirimleri okuma izni alan bir uygulama, size gelen SMS doğrulama kodlarını da okur. Akıllı saat eşleştirme uygulamaları bunu meşru olarak kullanır; bunun dışındaki uygulamalarda gerekliliği sorgulanmalıdır.
Ekranın üzerine katman çizme izni, sahte bir giriş ekranını gerçek uygulamanın üzerine bindirmeye imkân tanır. Kullanıcı gerçek uygulamada olduğunu düşünürken bilgilerini başka bir yere yazar. Bu izni yalnızca ne yaptığını bildiğiniz uygulamalara verin.
Otomatik kod doldurma için istenir ama aynı izin bütün mesajlarınızı okur. Modern işletim sistemlerinde kod doldurma bu izin olmadan da çalışan bir sistem hizmetiyle yapılabildiği için, uygulamanın SMS okuma izni istemesi çoğu durumda gereksizdir.
Parmak izi ve yüz tanıma, günlük kullanımı kolaylaştırırken sıkça yanlış anlaşılır. Aşağıdaki üç nokta pratikte fark yaratır.
Cihaz yeniden başladığında, biyometri birkaç kez başarısız olduğunda ve belirli bir süre kullanılmadığında sistem kodu ister. Bu yüzden zayıf bir kod seçmek, biyometri açık olsa bile cihazın gerçek güvenlik seviyesini o zayıf koda düşürür.
Şifreniz sızarsa değiştirebilirsiniz; parmak iziniz sızarsa değiştiremezsiniz. Bu yüzden biyometrik veri cihazın içinde, işlemcinin ayrılmış bir bölümünde tutulur ve uygulamalara verilmez. Uygulamaya giden şey "doğrulandı" bilgisidir, verinin kendisi değil.
Yüz tanımanın dikkat kontrolü kapalıysa, gözleriniz kapalıyken de kilidi açabilir. Bu ayar birçok cihazda isteğe bağlıdır ve açık bırakıldığında biyometrinin pratik direncini ciddi biçimde artırır. Ayarın adı üreticiye göre değişse de her zaman yüz tanıma bölümünün içindedir.
Üç ayarı sırayla gözden geçirin: otomatik kilit gecikmesini 30 saniyeye çekin, kilit ekranında bildirim içeriğinin görünmesini kapatın ve en az altı haneli bir kod kullanın. Bu üçü birlikte beş dakikadan az sürer ve telefonun elden çıktığı senaryoda en büyük farkı yaratan ayarlardır.
10.000 kombinasyon, sınırsız deneme yapılabilseydi çok zayıf olurdu; ancak modern cihazlarda ardışık hatalı denemelerden sonra artan bekleme süreleri devreye girer ve bu sayı pratikte yeterli hâle gelir. Buna rağmen altı haneye çıkmak sayıyı yüz katına taşır ve günlük kullanımda biyometri sayesinde hemen hiç maliyeti olmaz.
Doğrudan karşılaştırılamazlar çünkü biyometri şifrenin yerine geçmez, onu kullanılabilir kılar. Asıl kazanç şudur: biyometri sayesinde günde otuz kez yazmak zorunda olmadığınız uzun bir kod seçebilirsiniz. Yani biyometrinin güvenliğe katkısı doğrudan değil, dolaylıdır.
Hayır, çoğu cihazda ara bir seçenek vardır: bildirim gelir ve uygulama adı görünür, ama içerik kilit açılana kadar gizlenir. Bu ayar günlük kullanımı neredeyse hiç etkilemezken, SMS doğrulama kodunun cihaz kilitliyken okunmasını engeller. İki adımlı doğrulamanın anlamını koruyan ayar budur.
Yılda birkaç kez yeterlidir, ama iki durumda mutlaka bakın: yeni bir uygulama kurduktan sonra ve telefonda beklenmedik bir davranış fark ettiğinizde. Özellikle erişilebilirlik hizmetleri ve bildirim erişimi listelerini açıp orada olmaması gereken bir uygulama olup olmadığına bakmak birkaç dakika sürer.
Ekran kilidi devredeyse cihazdaki oturumlara doğrudan erişilemez. Yapılacak ilk iş, önemli hesaplarda şifreyi başka bir cihazdan değiştirmek ve mümkünse tüm açık oturumları kapatmaktır; şifre değişimi çoğu sistemde diğer cihazlardaki oturumları da düşürür. İkinci iş, SIM kartı operatörden bloke ettirmektir — SMS ile gelen doğrulama kodları aksi hâlde yeni cihaza değil, kaybolan hatta gider.
Teoride evet, pratikte genellikle hayır. Biyometri kapatıldığında kodu günde onlarca kez yazmak gerekir ve bu, insanları kısa kod seçmeye ve kodu kalabalıkta açıkta yazmaya iter. Omuz üstünden izleme, biyometriye karşı hiç çalışmayan ama koda karşı çok iyi çalışan bir yöntemdir. Uzun kod + biyometri ikilisi, çoğu kullanıcı için daha yüksek gerçek güvenlik üretir.