VPN Şifreleri Gerçekten Korur mu?

VPN kullanıyorsanız ve bu sayede parolalarınızın güvende olduğunu düşünüyorsanız, tablo daha karmaşık. VPN trafiği şifreler, evet; ama parola güvenliği farklı bir tehdit kümesine karşı korunmayı gerektirir ve bu iki kavramın örtüştüğü alan, çoğu kullanıcının sandığından çok daha dardır.

"VPN açıkken hesabım ele geçirilemez" inancı yaygın bir güvence yanılgısıdır. Parola çalınmalarının büyük bölümü ağ trafiğiyle değil, oltalama siteleriyle, hizmet veritabanlarının sızıntıya uğramasıyla ve cihaza yüklenen zararlı yazılımlarla gerçekleşir. VPN bu saldırı yollarının hiçbirinde koruyucu değildir ve bunu bilmeden VPN'e yaslanmak yanlış bir güvenlik hissi yaratır.

Peki VPN hiç işe yaramaz mı? Hayır; belirli ağ koşullarında gerçek ve ölçülebilir bir koruma sağlar. Fark şu: o koşulların ne olduğunu bilmeden VPN'i ana güvenlik önlemi olarak konumlandırmak, kapıyı kilitleyip arka pencereyi açık bırakmaya benzer.

Şifreleme katmanı: VPN ne yapar, ne yapmaz

VPN, cihazınızla VPN sunucusu arasındaki bağlantı tünelini şifreler. Aynı ağdaki başka cihazlar, internet servis sağlayıcınız veya ağ trafiğini izlemeye çalışan biri bu tünelin içeriğini göremez. Gönderdiğiniz ve aldığınız veriler VPN sunucusuna ulaşana kadar şifreli paket olarak taşınır.

Ancak VPN ağ katmanında çalışır; uygulama katmanında değil. Siz bir siteye parola girip giriş düğmesine bastığınızda, tarayıcınız bu parolayı bir HTTP veya HTTPS isteği içinde site sunucusuna iletir. VPN bu paketi şifreli tünel içinde taşır; paketin içindeki veriyi - yani parolanın kendisini - şifrelemez, değiştirmez, maskelemez.

Bir mektup benzetmesi kullanılabilir: VPN zarfın ulaşacağı adresi ve yolculuk rotasını gizler, ama zarfın içindeki mektubu okumaz. Mektup okunabilir haldeyse (HTTP) ya da ayrı bir kilit mekanizmasıyla kilitlenmişse (HTTPS), VPN bu iki durumu etkilemez. Sonuç pratik bir soruya dönüşür: parola içeren paket zaten şifreli mi, değil mi?

HTTPS zaten aktifse VPN parolaya ne katar?

Tarayıcınızdaki kilit simgesi HTTPS protokolünün devrede olduğunu gösterir. HTTPS, tarayıcınızla hedef sunucu arasındaki veriyi uçtan uca şifreler; bu şifreleme VPN'den tamamen bağımsız çalışır. Bir ağ dinleyicisi HTTPS trafiğini yakalasa bile içeriği okuyamaz; TLS el sıkışması ve sunucu sertifikası bu güvenceyi sağlar.

Bu durumda VPN başka bir şey yapar: trafiğin hangi sunucuya gittiğini gizler, internet servis sağlayıcınızın veya ağ operatörünün hangi alan adlarına bağlandığınızı görmesini engeller. Gizlilik sağlar. Bu gizlilik parolayla doğrudan ilgili değildir; izlenebilirlikle ilgilidir.

Ölçeği görmek için web trafiğine bakmak yeterli. Bankacılık, e-posta, sosyal medya, e-ticaret - bunların tamamı HTTPS kullanır. Günlük internet kullanımının büyük kısmında VPN'in parola güvenliğine ek katkısı yoktur, çünkü HTTPS bu işi zaten yapar. Bunu söylemek VPN'i gereksiz ilan etmek değildir; VPN gizlilik, sansür aşma ve kurumsal ağ erişimi için değerli bir araçtır. Ama "parolayı korur" çerçevesiyle değerlendirilince, HTTPS aktifken katkısı sınırlıdır.

HTTP bağlantıları ve ortak Wi-Fi: dar ama gerçek bir risk

HTTP kullanan sitelere bağlandığınızda parola düz metin olarak ağ paketleri içinde dolaşır. Aynı Wi-Fi ağındaki biri paket yakalama (packet capture) aracı çalıştırıyorsa bu veriyi okuyabilir. Havalimanları, kafeler, oteller, üniversite yurt ağları bu saldırının gerçek ortamlarıdır.

VPN burada devreye girer. Düz metin parola içeren paket şifreli tünel içinde taşındığı için ağı dinleyen kişi yalnızca şifreli veriyi görür. HTTP sitesinde parola giriyorsanız ve güvenilmez bir Wi-Fi ağındaysanız, VPN bu özel kombinasyonda parolayı korur.

Ne kadar sık karşılaşılan bir durum? Bankacılık siteleri, e-posta, sosyal medya, kurumsal uygulamaların neredeyse tamamı HTTPS kullanır. HTTP kalan alanlar genellikle eski kurumsal araçlar, bakımsız kişisel siteler ya da bilgi içerikli platformlardır. Bu sitelerde oturum açma formu varsa ve HTTP kullanıyorlarsa, önce sitenin kendisi güvenlik sorunu demektir; ama bu koşulda VPN kullanmak anlam taşır.

Ortak Wi-Fi'nin bir diğer riski sahte erişim noktasıdır (evil twin). Biri meşru ağı taklit eden bir Wi-Fi noktası kuruyorsa ve siz buna bağlandıysanız, tüm trafiğiniz o kişinin cihazından geçer. VPN açıksa şifrelenmiş tünel oluşur ve saldırgan içeriği okuyamaz; ancak VPN bağlantısı kurulmadan önceki kısa pencerede DNS talepleri görünür kalabilir. VPN'i açık ağlarda otomatik bağlantıya ayarlamak bu pencereyi küçültür.

Oltalama saldırıları VPN'i atlıyor

Oltalama (phishing) saldırısında siz parolayı kendiniz bir sahte siteye yazıyorsunuz. Trafik şifreli olabilir. VPN açık olabilir. HTTPS sertifikası bile geçerli olabilir - sahte siteler geçerli SSL sertifikası alabilir ve bu artık nadir bir durum değildir. Saldırı ağ katmanında değil, psikolojik katmanda gerçekleşir.

VPN bu durumda hiçbir şey yapamaz. Yaptığı şeyin - ağ trafiğini şifrelemenin - saldırıyla doğrudan ilgisi yoktur. Siz sahte siteye bağlanıyorsunuz, parolayı gönderiyorsunuz, sahte site onu alıyor. Tünelin şifreli olması, verinin gideceği hedefi değiştirmiyor.

Oltalama, parola güvenliğindeki en büyük tehdit kaynaklarından biridir; kurumsal güvenlik ihlallerinin kökenine bakıldığında büyük bir bölümünün oltalama ile başladığı görülür. Bu tehdit karşısında etkili olan şeyler şunlardır: URL'yi kontrol etme alışkanlığı, e-posta bağlantılarına tıklamak yerine siteye doğrudan gitme ve tarayıcının sahte site uyarılarını ciddiye alma. VPN bu listeye girmiyor.

Veri sızıntısı senaryosunda VPN'in yeri

Kullandığınız bir hizmetin veritabanı saldırıya uğradığında parolalarınız sunucu tarafında açığa çıkar. Bu olayın sizin VPN durumunuzla hiçbir ilgisi yoktur; mesele tamamen hizmet sağlayıcının güvenlik altyapısında saklıdır.

Sızıntı gerçekleşti. Parolanız artık bir yerlerde listeleniyor. Yapmanız gereken etkilenen hesabın parolasını değiştirmek ve aynı parolayı kullandığınız diğer hesapları tespit edip onları da güncellemektir. VPN'i açıp kapatmak bu süreçte fark yaratmaz.

Sızıntı senaryosunda size koruma sağlayan şey, hesaplar arasında benzersiz ve rastgele parolalar kullanmış olmaktır. Bir hizmet sızdığında yalnızca o hesabın parolası geçersiz olur; diğerleri etkilenmez. Parola yöneticisi bu yaklaşımı uygulanabilir kılan araçtır. VPN bu tabloda görünmez.

Parola gerçekten ne zaman VPN sayesinde korunur?

Üç koşulun aynı anda karşılandığı senaryoda VPN parolayı korur: güvenilmez ağ, şifrelenmemiş uygulama trafiği (HTTP veya düz metin iletişim) ve ağ paketlerini yakalama kapasitesine sahip bir saldırgan. Bu üç koşulun aynı anda gerçekleşme olasılığı sıradan bir kullanıcı için görece düşüktür; ama sıfır değildir.

Özellikle sık seyahat ediyorsanız, çok sayıda ortak Wi-Fi noktasına bağlanıyorsanız ve bu ağlarda güvenliğini bilmediğiniz uygulamalar kullanıyorsanız VPN anlamlı bir ek katman sağlar. Kurumsal VPN ise ayrı bir kategoridir: şirket ağına uzaktan bağlanan çalışanlar için VPN yalnızca şifreleme değil, kimlik doğrulama ve ağ erişim kontrolü de sağlar. Bu yapıda VPN ağ güvenliğinin zorunlu bir parçasıdır ve parola iletimini koruyan bir altyapı katmanı işlevi görür.

Bazı mobil uygulamalar HTTPS'yi tutarsız uygular ya da sertifika doğrulamasını atlar. Bu tür uygulamalar şifresiz veri iletiyorsa VPN koruyucu rol üstlenir. Ancak bunu son kullanıcı düzeyinde tespit etmek güçtür; güvenilir ağlarda kalmak ve uygulama güncellemelerini düzenli takip etmek daha pratik bir yoldur.

Parolayı gerçekten koruyan üç katman

Şifre güvenliğinin zemini VPN değildir. Güçlü, uzun ve benzersiz parolalar - her hesap için farklı, tahmin edilmesi güç - en temel kattır. 16 karakterin üzerindeki rastgele bir parola, büyük harf, küçük harf, rakam ve sembol içeriyorsa mevcut hesaplama gücüyle brute force saldırısıyla kırılması pratik olarak imkânsız bir entropi oluşturur. Bu korumanın VPN'le doğrudan bağlantısı yoktur.

İkinci katman iki aşamalı doğrulama (2FA) ya da çok faktörlü kimlik doğrulamadır (MFA). Parolası ele geçirilmiş bir hesabı kurtarır; saldırgan doğru parolayı bilse bile cihazınızdaki doğrulama kodunu almak zorundadır. Tehdit zaten parola engelini aşmıştır, VPN burada tamamen devre dışıdır.

Üçüncü katman farkındalıktır: oltalama girişimlerini tanımak, sızıntı haberlerini takip etmek, etkilenen parolaları hızla değiştirmek. Have I Been Pwned gibi araçlar e-posta adresinizin hangi sızıntılarda göründüğünü listeler; bu bilgi VPN'in veremeyeceği türde eyleme dönüştürülebilir bir uyarıdır. VPN bu üç katmanın dışında kalan, belirli ağ koşullarında devreye giren destekleyici bir araçtır.

VPN bir gizlilik aracıdır ve belirli ağ tehditlerini gerçekten engeller. Ama parola güvenliğinin bel kemiği değildir; bu ayrımı net tutmak, güvenlik kaynaklarını ve dikkatinizi doğru yere harcamanızı sağlar.

Oltalama bağlantısına tıkladığınızda, aynı parolayı farklı sitelerde kullandığınızda, sızıntıdan habersiz aylar geçirdiğinizde VPN bu hataları kapsamaz. Bu noktalarda sizi koruyan şey davranış değişikliği ve doğru araçlardır: parola yöneticisi, 2FA ve güncel kalmak.

Pratik öneri şudur: önce benzersiz parola ve 2FA kurun, sonra ortak ağlarda sık çalışıyorsanız VPN ekleyin. Bu sıra önemlidir. Ters kurulumda - VPN önde ama parola yöneticisi yokken - en büyük tehdit kanalları hâlâ açıktır.