Güvenliği Nasıl Tanımlarsın?#

Bruce Schneier, güvenliği “mutlak” bir durum olmaktan çıkarır. Ona göre güvenlik, risk yönetimidir.

Yani soru şu değildir: “Bu sistem kırılabilir mi?”

Gerçek soru şudur: “Bu sistemin kırılma riskine değecek fayda ve maliyetleri var mı?”

Bu bakış açısı, risk analizini güvenliğin merkezine yerleştirir. %100 güvenlik diye bir şey yoktur. Ama makul güvenlik diye bir şey vardır; bu “makullük” doğru tehdit modellemesi ile belirlenir.

Tehdit modellemesi oluşturmak için pratik bir mini çerçeve:

• Varlık: Neyi koruyorsun? (veri mi? para mı? itibar mı? süreklilik mi?)
• Saldırgan: Kim saldırıyor? (içeriden mi? dışarıdan mı? rakip mi? devlet mi? fırsatçı mı?)
• Yetenek: Ne kadar güçlü? (zaman mı? para mı? erişim mi? beceri mi?)
• Yüzey: Nereden giriyorlar? (email? API? cihaz mı? insan mı? tedarikçi mi?)
• Etki: Ne kaybediyorsun? (para mı? kesinti mi? yasal sonuçlar mı? güven kaybı mı?)
• Kontrol: Hangi önlemler ne kadar azaltıyor? (olasılık/etki/maliyet)

Kriptografi ve Schneier’in Katkıları#

Schneier’in teknik dünyadaki etkisi kriptografiden geliyor. Blowfish ve Twofish gibi algoritmalar, güvenliğin matematiksel yönlerine yaptığı katkıları temsil ediyor. Twofish ayrıca AES seçim sürecindeki önde gelen tasarımlardan biri olarak biliniyor. Bu da onu sadece “algoritma tasarlayabilen” biri değil, aynı zamanda “tasarım kriterleri üzerine düşünebilen” biri yapıyor.

Ancak Schneier’i diğer kriptograflardan ayıran şey tam olarak bu:

“Kriptografi güçlü olabilir, ama onu kullanan sistem aptalsa, sonuç yine güvensizdir.”

Bu yüzden Schneier, kriptografiyi tek başına bir kurtarıcı olarak görmüyor. Anahtar yönetimi, kullanıcı hatası, yanlış yapılandırma ve süreç eksiklikleri gibi konuların kriptografiyi anlamsız hale getirebileceğini sürekli vurguluyor.

Kısacası: Kriptografi bir bileşendir; güvenlik ise bütün sistemdir.

Güvenlik Tiyatrosu Eleştirisi#

Bruce Schneier’in en bilinen kavramlarından biri güvenlik tiyatrosudur. Bu kavram, insanlara güvenlik hissi veren ancak gerçekte riski azaltmayan önlemleri tanımlar.

Havaalanı güvenliği bunun klasik bir örneğidir: ayakkabıları çıkarmak, sıvı kısıtlamaları, sembolik kontroller… Schneier’e göre bunlardan bazıları gerçek tehditleri önlemek yerine psikolojik rahatlık sağlar.

Günlük hayattan iki örnek daha:

• 90 günde bir şifre değiştirme zorunluluğu: Risk azaltımı ölçülebilir değilse, kullanıcı davranışını (aynı şifreyi tekrar kullanmak gibi) bozabilir ve riski artırabilir.

• USB’yi tamamen devre dışı bırakmak: Bu, arka kapılar (kişisel e-posta, bulut) oluşturabilir ve riski görünmez hale getirebilir.

Burada sormamız gereken zor soru şudur: Bu önlem gerçekten bir saldırının olasılığını/etkisini azaltıyor mu, yoksa sadece görünür mü kılıyor?

Bruce Schneier, siber güvenliğin “daha fazla kilit” tarafında değil, “doğru soruyu soran” tarafında yer alır. Güvenliği bir yarış olarak değil, bir denge sanatı olarak görür: risk, maliyet, kullanılabilirlik ve özgürlük arasında gerçekçi bir denge.

Kısacası… Daha fazla kilit hayır, tiyatroya gerek yok. Doğru soruları sormalıyım. Risk, maliyet, kullanılabilirlik, özgürlük. Denge sanatı.