Birleşik Krallık'ta Varsayılan Zayıf Şifreler Yasaklandı

Ne oldu?

İngiltere zayıf şifre yasağı olarak bilinen düzenleme 29 Nisan 2024'te başladı. Birleşik Krallık hükümeti o gün yayımladığı duyuruda, akıllı cihazlar için asgari güvenlik şartlarını zorunlu kılan kuralların o gün yürürlüğe girdiğini açıkladı ve bunu dünyada bir ilk olarak tanıttı. Dayanak, Aralık 2022'de kabul edilen Product Security and Telecommunications Infrastructure Act 2022 (PSTI) ile buna bağlı 2023 tarihli güvenlik şartları yönetmeliğidir.

Sitemizde bu haberi ilk olarak yürürlük tarihinden önce "yasaklanıyor" diye duyurmuştuk. Yasa artık uygulamada olduğu için metni güncelledik ve kuralların tam olarak ne istediğini resmi metinlere dayanarak yeniden yazdık.

İngiltere zayıf şifre yasağı neyi yasaklıyor?

Yönetmelik üreticilere üç temel şart getiriyor:

• Ortak varsayılan şifre yok. Cihazda bir şifre varsa ya her ürüne özgü olmalı ya da kullanıcı tarafından belirlenmeli. Her cihaza özgü şifreler de sıralı sayaçlardan, herkese açık bilgilerden veya seri numarası gibi ürün kimliklerinden kolayca türetilemeyecek şekilde üretilmeli.
• Güvenlik açığı bildirme yolu. Üretici, güvenlik sorunlarının bildirilebileceği en az bir iletişim noktası yayımlamalı; bildirimi alındığını teyit etmeli ve bildirimi yapan kişiyi gelişmelerden haberdar etmeli.
• Güncelleme süresi bildirimi. Ürünün en az ne kadar süre güvenlik güncellemesi alacağı açıkça ve teknik bilgisi olmayan birinin anlayacağı dille yayımlanmalı.

Hükümetin duyurusuna göre ortak bir şifre kullanılan durumlarda kullanıcıdan cihazı ilk açtığında şifreyi değiştirmesi istenecek.

Kimleri kapsıyor, kimleri kapsamıyor?

Kurallar Birleşik Krallık pazarına internete veya ağa bağlanabilen tüketici ürünü sunan üreticileri, ithalatçıları ve dağıtıcıları bağlıyor. Ulusal Siber Güvenlik Merkezi (NCSC), kapsamdaki ürünlere akıllı telefonları, televizyonları, akıllı hoparlörleri, kapı zillerini, bebek monitörlerini, güvenlik kameralarını, oyun konsollarını, akıllı saatleri ve buzdolabından çamaşır makinesine internete bağlanan ev aletlerini örnek veriyor.

Yönetmeliğin istisnalar listesinde ise masaüstü ve dizüstü bilgisayarlar, hücresel bağlantısı olmayan tabletler, tıbbi cihazlar, akıllı sayaçlar ve elektrikli araç şarj noktaları bulunuyor.

Uymayan üreticiye ne olur?

Denetimden Ürün Güvenliği ve Standartlar Ofisi (OPSS) sorumlu. PSTI yasasının 38. maddesine göre verilebilecek para cezasının üst sınırı, 10 milyon sterlin ile şirketin dünya genelindeki ilgili gelirinin %4'ünden hangisi büyükse odur.

Yasa kullanıcıların şifresini yasaklıyor mu?

Hayır; eski haberlerde sık yapılan bir karışıklık bu. Yasa, "12345" şifresini kullanmanızı değil, cihazın fabrikadan herkeste aynı şifreyle çıkmasını yasaklıyor. Kurulumda kendi şifrenizi belirlemeniz istendiğinde zayıf bir şifre seçmek yine mümkün olabilir. Yani yasa riski azaltır, ama son adım kullanıcıdadır.

Varsayılan şifrelerin neden tehlikeli olduğu basittir: aynı model cihazların şifresi aynıysa, bu şifre kullanım kılavuzlarında ve internette kolayca bulunur. Saldırganlar internete açık cihazları tarayıp bu şifreleri otomatik olarak dener. NCSC'ye göre ele geçirilen bir akıllı cihaz yerel ağa girmek veya başka saldırılar düzenlemek için kullanılabilir.

Türkiye'deki kullanıcı için ne anlama geliyor?

PSTI yalnızca Birleşik Krallık pazarını bağlıyor; Türkiye'de satılan cihazlar için böyle bir şart yok. Evinizdeki cihazlar için şu adımları kendiniz atmalısınız:

• Modem arayüz şifresini değiştirin. Modemin yönetim paneline giriş şifresi, Wi-Fi şifresinden ayrıdır ve çoğu zaman kurulumdan sonra hiç değiştirilmez. Ayrıntılar için Wi-Fi ve modem şifresi yazımıza bakın.
• Kamera, bebek monitörü ve kayıt cihazlarını kontrol edin. Uygulamada veya cihaz arayüzünde varsayılan bir kullanıcı adı ve şifre varsa, her cihaza ayrı ve uzun bir şifre verin.
• Güçlü ve benzersiz şifre kullanın. Cihaz şifrelerini şifre üreticiyle oluşturup bir şifre yöneticisinde saklayabilirsiniz. Akılda tutmanız gerekiyorsa NCSC'nin de önerdiği gibi üç rastgele kelimeyi birleştirebilirsiniz; bunun için akılda kalır parola üreticisi işinizi görür.
• Güncellemeleri açın. Otomatik güncelleme seçeneği varsa etkinleştirin. Satın alırken üreticinin cihazı ne kadar süre destekleyeceğine bakın.
• Kullanılabiliyorsa iki adımlı doğrulamayı açın. Cihazı yöneten bulut hesabında iki faktörlü kimlik doğrulama ek bir koruma sağlar.

"123456", "admin" ve "password" gibi şifreler saldırganların ilk denediği şifreler arasındadır. Hangi şifrelerin neden ilk denendiğini en çok kullanılan şifreler yazımızda bulabilirsiniz.