226 - Güvenlik Yorgunluğu

1:16Richard Feynman. Şu an neyle uğraştığını söylemeden önce biraz kendisinden bahsedeyim size. Feynman bundan 21 yıl sonra Nobel alacak, meşhur olacak ama şu an daha üniversiteden yeni mezun. Okulda uranyum zenginleştirmesi üzerine çalıştığı için mezun olduğu gibi onu getirip çölün ortasındaki bu ofise dikmişler projenin başındakiler.

1:38Ortada yapacak hiç ama hiçbir şey yok. Üstelik hiç öyle işine odaklanıp kuantum fiziği falan düşünecek halde de değil. Zira eşi, yeni evlendiği çocukluk arkadaşı Erlein, buradan birkaç saat uzakta bir hastanede ve maalesef yavaşça veremden ölüyor. Bırakın ziyaretine gitmeyi, mektuplaşmalarına bile izin verilmiyor.

1:59Çünkü güvenlik. Eli kolu bağlı Feynman, 27 yaşında ve biraz da haylaz olduğu için bu güvenlik takıntılı askerlerden alabileceği küçük bir intikamın peşinde. Sıkıntısını çözmek için yeni bir hobi bulmuş kendine. Kasa açmak.

2:18Ama hırsızlık filan için değil tabii ki. Sadece güvenlik takıntılı bu insanlara günlerini göstermek için edinmiş bu hobisini. İşte Feynman şu anda bir kasanın başında. Hmm...

2:31Bir şeyler yapıyor şu an. Buradan tam anlayamıyorum ama... A-ah! Kasa açıldı bile.

2:38E açılır tabii Barış. Niye bu kadar şaşırdın ki? Yani nasıl şaşırmayayım? İçinde atom bombası planlarının durduğu koskoca çelik kasa öyle çıt diye saniyeler içinde açtınız gözlerimin önünde.

2:51Yani nasıl oldu ben hala anlayamadım. Çilingir eğitimi falan mı aldınız yoksa? Yahu ne çilingiri? Hayat o kadar karmaşık bir şey değil ve bu kasaları kullananlar da insan.

3:01Nasıl yani? Yanisi şu, benim dahi meslektaşlarım ve sayın generalleri ne kadar tembel olduklarına inanamazsın. Kasaları fabrikadan geldiği şifreleriyle bırakmışlar öylece. Yok artık, ciddi olamazsın.

3:14Maalesef çok ciddiyim Barış. Beş kasadan biri hala fabrika ayarında. Ee ya kalan beşte dördü? Herkes o kadar tembel değil ya.

3:22Hiç sorma, onların durumu daha fena. Aç kapat uğraşmamak için kasayı kilitlemiyor, gün içinde de açık bırakıyorlar. E öyle olunca ben de mekanizmaya yaptığım bir iki dokunuşla şifrenin ne olduğunu hemen anlıyorum. Vay be.

3:34Adım sihirbaza çıktı neredeyse. Ama yaptığım özel bir şey yok. Ben sadece insanların dikkatsizliğinden yararlanıyorum. Anladım.

3:42Çok teşekkürler Feynman. Bu anlattıkların bana yeni bölüm için bir hayli ilham verdi. Evet tekrar hoş geldiniz arkadaşlar. Benim aklım hala Feynman'la yaptığımız o konuşmada.

4:01Sizce de çok ilginç bir konuşma değil miydi o? Bu kadar yüksek güvenlikli bir kurumda, üstelik bu kadar gizli, bu kadar önemli belgelerin tutulduğu odalarda kasa şifreleri nasıl önemsenmez, nasıl böyle güvenlik zaafları, boşlukları olabilir ki? Yani koskoca Manhattan Projesi'nin belgelerinin saklandığı laboratuvarda bunlar yaşanıyorsa, biz bugün ne hallerdeyiz acaba? Düşünsenize, bugün her şeyin şifresi var.

4:25Telefonların, banka hesaplarının, hatta en basit mobil uygulamaların bile. Peki biz bu kadar hassas veri içeren hesaplarımızı gerçekten koruyor muyuz? Yoksa tüm bunlar küçük dikkatsizliklerimiz yüzünden tehlikede olabilir mi? Evet, isterseniz gelin bu konuyu biraz araştıralım birlikte, durumu anlamaya çalışalım.

4:47Ve günümüzün kasa şifreleri yani o her gün girdiğimiz pin kodlarımızla başlayalım. Data Genetics adlı bir şirket tarafından yapılan muazzam bir analiz var. İnternetin her yerinden yıllar içinde sızdırılmış yaklaşık 3.4 milyon tane şifreyi incelemişler.

5:08Sonuçlar, bunu yapan güvenlik uzmanları için bile çok sarsıcı. 3 tane şey çıkmış bu araştırmadan. Şimdi gelin bakalım. Birincisi, dünyada her 10 kişiden birinin pin kodunun 1234 olduğu tespit edilmiş.

5:25Her 10 kişiden, düşünebiliyor musunuz? Yerde kredi kartı bulan biri 10'da bir şansla daha ilk denemeden hesabı girebiliyor. İkincisi, eğer denemelere 1111, 0000 veya 1212'yi de eklerseniz mevcut bütün şifrelerin %20'sini şimdiden kırdınız demektir. Üçüncü tespitse en popüler 20 şifre ile ilgili.

5:50Tüm pinlerin %26.83'ünü oluşturuyormuş bu en popüler 20 şifre. Yani statistiksel olarak sadece 20 denemede her 4 kişiden birinin özel hayatına sızabilirsiniz. Tabii tüm bu tercihlerin bir açıklaması var çünkü artık her şeyin şifresi var malum.

6:06E biz de şifrelerimiz öyle kolay akılda kalsın istiyoruz haliyle. Maalesef ki bizim aklımızda kolay kalan bu şifrelerin kötü niyetli bazı insanların aklında da çok kolay kalmak gibi tatsız bir huyu var. Şimdi bu bölümü dinleyen 4 kişiden birinin kafasında alarm zilleri çalmaya başlamış bile olabilir ama merak etmeyin yalnız değilsiniz. Hatta inanır mısınız bu işin profesyonelleri bile bizden daha beter durumda olabiliyorlar.

6:34Mesela 2024 yılında İngiltere'yi sarsan bir olay yaşanmış bu hususta. İngiltere'de ülkeyi siber saldırılara karşı korumak, devletin dijital güvenliğini sağlamak için kurulmuş bir ulusal siber güvenlik merkezi var. İngiliz siber güvenliğinin kalesi burası. Dışişleri Bakanı David Cameron'ın konuşması için bir grup gazeteci davet edilmiş bu kuruma ve gazetecilere de kapıdan girebilmeleri için bir şifre verilmiş.

7:01Fakat öyle bir kod vermişler ki duyan gazeteciler kulaklarına inanamamışlar. Hazırsanız sizinle de paylaşayım bu şifreyi. 1-2-3-4 Evet, bu zekice şifreyi vermişler arkadaşlar. Koskoca siber güvenlik kurumunun kapı şifresi olarak bunu belirlemişler.

7:22Düşünsenize, dünyaya güvenlik kriptografi raporları yayınlayan bir kurumun kendi kapı kodu 1-2-3-4. Bir de bütün gazeteciler duysun diye anonsu megafonla yapmışlar. Olay duyulduğunda İngiliz sosyal medyası yıkılmış tabii. Kurum sonradan açıklama da yapmış.

7:39O sadece o güne özel geçici bir koddu filan demiş ama kimseye bunu pek de ciddiye almamış haliyle. Yani geçici bile olsa biraz itibar sahibi olup böyle güzel afilli bir şifre uydurur insan ya. Şimdi öyle 1-2-3-4 kodunu bir siber güvenlik merkezinin kapısında görmek bize komik geliyor olabilir ama tarihin tozlu sayfalarını araladığımızda bu tür küçük boşlukların sadece fizikçilerin sıkıntısını giderdiği veya gazetecileri güldürdüğü değil bazen imparatorlukların kaderini belirlediğini de görüyoruz. Gelin bir hikaye anlatayım şimdi size bununla ilgili.

8:13Yine İngiltere'den. 1940'lı yıllarda savaşın o kasvetli zamanında Londra'nın biraz batısında Bletchley Park diye bir malikanede Polonyalı, Fransız ve İngiliz matematikçiler 10 yıldan uzun bir süredir aynı problemi çözmeye çalışıyorlardı arkadaşlar. Uğraştıkları bu matematiksel canavarın adıysa belki bazılarınız duymuş olabilir Enigma. Buna Alman ordusunun bütün iletişimlerini şifrelemek için kullandığı çağın, o çağın en gelişmiş makinesi de diyebiliriz.

8:48Ve oldukça karmaşık bir alet bu. Zira enigmanın içindeki dişliler her gün değişiyor. Milyarlarca, trilyonlarca farklı kombinasyon üretiyor bu makine. Böyle ki oluşturduğu kombinasyonları bir insan elle denemeye kalksa binlerce yıl yaşaması gerekir.

9:06Öylesine karmaşıklıktan söz ediyoruz. İşte müttefik devletlerin en parlak zihinleri, ki bunların başında Alan Turing geliyor, gece gündüz bu makinenin karşısında ter döküyorlar. Ama bir türlü de çözemiyorlar bu aleti. Zira enigma'nın dayandığı matematik, dönemin imkanlarıyla kırılacak gibi değil.

9:26Zaten eğer Almanlar o makineyi kusursuz kullansaydı, belki İngilizleri yenebilirlerdi. Bizler bugün bu podcast'ı çok daha farklı bir dünyada yapıyor, dinliyor olabilirdik. Peki bu kırılamaz denen makine nasıl kırıldı? Cevap, enigmanın dişlilerinin içinde falan gizlenmiş durumda değil.

9:46O dişlileri her gün aynı şekilde çeviren insanlar önemli. Bu yıllarda görevi her sabah Enigma üzerinden üst mertebelere hava durumu raporunu geçmek olan Nazi askerleri var. Aralarındaki bu iletişimin düşman kuvvetlerce çözülmemesi için her gün Enigma'nın oluşturduğu yeni bir şifre kullanmaları gerekiyor. Fakat tüm bunlara rağmen her gün aynı merhaba ya da işte aynı hoşçakal kelimelerini kullanıyorlar.

10:14Ve tabii hava raporunu da Heil Hitler diye bitiriyorlar. İşte İngilizlerin aradıkları görünmez boşluk tam olarak buradan çıkıyor arkadaşlar. Şöyle düşünmüşler. Sonuçta her gün şifre anahtarı değişiyor ama her günde aynı mesajlar gönderiliyor.

10:30Buna kriptolojide krib yani kopya kağıdı deniyor. Ve işte bu noktada Turing ve ekibi şifrenin tamamını çözmeye çalışmak yerine Nazi askerlerinin o hiç değişmeyen kelimelerini takip ettiler. Eğer mesajların hepsi aynı bitiyorsa o zaman şu harfler aslında bu harflere denk gelmeli diye düşündüler. Nazilerin o disiplin aşkı, her şeyi aynı şekilde, nizami bir şekilde yapma arzusu aslında nazi savaş makinesinin en büyük güvenlik açığına dönüşmüştü yani.

11:04Ve naziler bu hatayı yaptıklarını hiçbir zaman anlayamadılar. Onlar için bu gayet günlük, rutin bir şeydi. Sabah kahvesini içmek gibi ya da ayakkabıların bacıklarını bağlamak gibi sıradan bir eylem. Şimdi böyle dedik ama aklıma düştü bak acaba bizim de günlük hayatımızda Almanlar gibi kapıyı açık bıraktığımız zamanlar oluyor mudur?

11:25Niye bu boşluklara düşüyoruz acaba? En iyisi kısa bir ara verip solkunalım şimdi arkadaşlar. Dönüşte bu dalgınlıkların sebeplerini bulmaya çalışacağız. Evet arkadaşlar tekrar hoş geldiniz.

11:43Aradan önce niye bu güvenlik açıklarını veriyoruz diye sormuştuk hatırlarsanız. Yani sadece biz de değil, üstelik dünyanın en zeki insanları, en iyi eğitimli profesyonelleri neden bu kadar basit hatalar yapmaya devam ediyorlar? Neden teknoloji ne kadar gelişirse gelişsin o insan faktörü dediğimiz zayıf halkayı bir türlü tamir edemiyoruz? Sanırım bu işin zeka ile öyle pek bir alakası da yok.

12:09İşin sırrı beynimizin hayatta kalmak için kullandığı kısa yollarda saklı gibi. Hatta gelin onlardan birini en sık karşımıza çıkanı anlatayım şimdi de size. Security fatigue yani güvenlik yorgunluğunu. Neredeyse her gün böyle onlarca bildirimle karşılaşıyoruz değil mi?

12:27Şifrenizi güncelleyin. Yeni bir giriş tespit edildi. İşte şu kutucu işaretleyin. Kullanım koşullarını kabul edin filan.

12:34Amerikan Ulusal Standartlar ve Teknoloji Enstitüsü uzmanları bu durumun bizi getirdiği hale doyma noktası ismini vermiş. Doyduk yani. Zihnimiz böyle sürekli bir tehlikedesin tehlikedesin uyarısı altında yaşamaya programlı değil ki. Öyle olmadığı için de bir noktadan sonra kendini korumak adına kepenkleri indiriyormuş yani söylediklerine göre.

12:56Nasıl sokağımızda her gün yanlışlıkla çalan bir araba alarmı sesini bir noktadan sonra duymamaya başlıyorsak, böyle gelen siber uyarıları da bir arka plan gürültüsü olarak kodlamaya başlıyormuşuz yani. Tembellik değil bu, becerisizlik filan da değil. bir tür zihinsel tükenmişlik. Yoruluyoruz, bıktık.

13:18Ve yorulduğumuzda, bıktığımızda beynimizin, ya 1-2-3-4 yaz geç diyen o tembel sesini dinlemeye başlıyoruz. Çünkü bu ihtimalde beyin ezberlediği yoldan gidiyor. Kalori yakmamış oluyor. E o yüzden de bir güvenlik uzmanı bile akşam evine yorgun gittiğinde kapısını kilitlemeyi unutabiliyor.

13:37Açık bırakıyor. Ama daha derin ve sinsi bir problemimiz daha var. sapkınlığın normalleşmesi. Sosyolog Dianne Wogan'ın ortaya attığı bu kavram aslında bir felaketin nasıl adım adım inşa edildiğini anlatıyor bize.

13:52Şimdi bu durumu bir örnek üzerinden açıklamaya çalışayım. Basit bir örnek, muhtemelen hepimizin yaşadığı bir şey. Mesela diyet yaptığınızı düşünün. Canınız tatlı çektiğinde ne yaparsınız?

14:02Bir kerecikten bir şey olmaz diye hemen oradan bir dilim yiyebilirsiniz değil mi? Bunun üzerine iç sesiniz size ne der? Bak, yedin. Kötü bir şey olmadı.

14:12Değil mi? Ve siz de bu rahatlama sonrasında ne yaparsınız? Kendinizi ertesi gün, bu sefer ikinci bir dilimin başında bulursunuz. İşte tam olarak böyle işliyor bu normalleşme süreci.

14:25İlk başta küçük bir kuralı esnetiyorsunuz. Belki bir iki şifreyi böyle postite yazıp bir yerlere yapıştırıyorsunuz. Bakıyorsunuz, bir şey olmadı. Gökyüzü hala duruyor başınıza, yıkılmadı.

14:35Hiçbir hacker gelip, işte Matrix gibi yeşil rakamlarla kimliğinizi falan çalmadı. İşte o an beyin tehlike algısını sıfıra indiriyor. Vaughan'ın sapkınlığın normalleşmesi derken bahsettiği tuzak bu. Artık o kural sizin için gereksiz bir bürokrasi.

14:53O hatayı görmezden gelmek, işi halletmenin bir yolu. Ta ki bir gün karşınıza art niyetli biri çıkana kadar. Peki bu normalleşmeyi en tehlikeli şekilde yaşayan grup kim biliyor musunuz? Uzmanlar.

15:09Buna da uzman yanılgısı deniyor. Her şeye bir laf bulunuyor gördüğünüz gibi. Bir işte ne kadar iyiyseniz özgüveniniz o kadar yüksek olur değil mi? E bu durumda da basit kuralları unutsamama ihtimaliniz diğer insanlara göre o kadar da artar.

15:24Ya ben bu işi 10 yıldır biliyorum ya. Öyle şifreyi değiştirmesem de olur. Bir şey olursa ben zaten anlarım bu işlerden dediğiniz an kasanın kapısını araladığınız an oluyor. Peki neden böyle bir döngüden çıkamıyoruz?

15:39Böyle şeylerin olduğunu hatta tanımını bilsek bile hepimiz böyle şeyler yapmaya neden devam ediyoruz? Yani basit hatalar bunlar. Gözden kaçırmalar, unutkanlıklar. Niye her zaman etrafımızdaki her şeye tüm dikkatimizle yaklaşamıyoruz?

15:53Çünkü insan beyni bir verimlilik makinesi gibi çalışıyor arkadaşlar. bedavaya çalışamıyor, sürekli besini yakmak zorunda. Eğer bir kere hata yapınca başımıza bir iş gelmediyse beyin hemen artık o işi anlıyor, o riski yok sayıyor. Yanlış olan bir şeye o kadar kolay, çabuk alışıyoruz ki uyarıları da mantıksız bulmaya başlıyoruz, gereksiz diyoruz.

16:20Yani atomu parçalayan fizikçiler ya da siber güvenlik merkezindeki çalışanlar aptal oldukları için değil, insan oldukları için o hataları yapıyorlar. Feynman'ın o dahi fizikçilerin kasalarını açarken hissettiği o haylazca zevk aslında insan doğasının bu değişmez zayıflığına olan hayretinden geliyor. Yani otobiyografisinde bile yazmış. Kaç kasa açarsa açsın buna asla tam inanamadığını yazmış.

16:47İyi de bu dalgınlık sarmalığından kurtulmanın, otomatiğe bağlama modundan çıkmanın bir yolu yok mudur acaba? Yani atomu parçalayanlar bile bu basit hataları yapıyorsa biz ne yapacağız diye düşünmüş olabilirsiniz. Ve aslında cevap o kadar basit ki. Yani bir kontrol listesi.

17:03Yazın, bir liste yapın kendinize. Kontrol edeceğiniz şeylerin listesini. Bu çok önemli. Bunun önemini Ohio'da yaşayan bir olay üzerinden anlatayım şimdi size.

17:13Amerikan ordusu 30 Ekim 1935'te Wright Hava Üssü'nde yeni nesil bir bombardıman uçağını seçmek için bir yarışma düzenlemiş arkadaşlar. Favori uçak daha baştan belliymiş ama. Boeing'in model 299 uçağı. Ama o gün görenleri hayrete sürükleyen bir olay yaşanmış.

17:31Uçak pistten kusursuzca kalkmış. Ama 100 metre kadar yükseldikten sonra aniden havada durup bir kanadı üzerine çakılmaya başlamış. Ve bu elim kaza sonucunda uçağın içindeki 5 kişiden ikisi hayatını kaybetmiş maalesef. Sonrasında bu favori uçağın neden böyle bir kazaya kurban gittiği araştırılmaya başlamış hızlıca.

17:53Ve sebebin çok temel bir noktada olduğu keşfedilmiş. Kaptan pilot binbaşı Hill'in kalkış sırasında en temel adımı, dümenin kilidini açmayı unuttuğu anlaşılmış. İşte bu facianın üzerine ordu yeni önlemler almaya başlamış takdir edersiniz ki. Fakat bu önlemler pilotları daha fazla eğitmek falan değil.

18:15Onların eline birer kart vermişler, bir checklist. Bu kartların üzerinde çocuğa anlatır gibi çok basit adımlar sıralanmış. İniş takımlarını kontrol et, bak kilitleri aç, kapıları kapat. Bir araba şoförüne kontağı çevir demek kadar komik bir liste bu, bu kadar temel.

18:34Pilotlar tabii ki öyle gözlerini devirmişler. Hatta bu kartları zekalarına bir hakaret olarak kabul edip gocunmuşlardı. Ama ordunun ısrarı sayesinde Model 299 o günden sonra tek bir kaza dahi yapmadan 13.000 adet satmış ve toplamda 2.9 milyon kilometre uçmuş.

18:53Zaten bugün bu checklist, kontrol listesi tüm uçuşlarda kullanılan uluslararası bir standart haline gelmiş durumda. Yani bugün çok çeşitli yerlerde, nükleer santrallerden tutun uçak kokpitlerine kadar birçok yerde Bu yanına bir tık attığımız küçük kutucuklar bizi koruyor diyebiliriz. Bunun gibi olaylar sayesinde sistem teorisi diye bir bilim dalı da gelişti hatta. Bu kontrol listeleri kağıt parçası olmaktan büyük bir kültür haline geldiler.

19:23Sistem teorisinde buna just culture yani adil kültür deniyor. Bir hata yapıldığında hemen kimi kovacağız bu hatayla ilgili diye sormak yerine bu insanın dalgınlığını neden yakalayamadık diye sormak. Yani sonuç olarak Feynman'ın Los Alamos'ta 25-0-25 kodlu kasalarından, siber güvenlik merkezindeki o 1-2-3-4 kapı şifresinden, Enigma'yı ele veren rutin selamlara kadar her şey tek bir noktada birleşiyor gördüğünüz gibi. İnsan faktöründe, dalgınlıkta.

19:57Belki de bizim de kendimize adil davranıp durup bazen sormamız lazım. Hayatımızda aslında böyle olmaması gerektiğini bildiğimiz ama artık görmediğimiz neler var? Hani bir şeyler var mı değil, var olduğunu biliyoruz. Neler?

20:12Hangi küçük ihmalleri? Canım şimdiye kadar bir şey olmadı diyerek normalleştirdiğimiz ne gibi şeyleri göremiyoruz? Hayatın büyük bir kısmı biz pür dikkat bir haldeyken değil, sabahın köründe otobüse yetişmeye çalışırken ya da yorgunluktan gözlerimizin kapandığı o küçük anlarda yaşanıyor arkadaşlar. O yüzden sadece banka şifrelerinize ya da sadece kapı kilidinize değil, otomatiğe bağladığınız tüm kararlarınıza, kurduğunuz cümlelere kadar her şeye bir daha bir bakmak lazım.

20:45En değer verdiğiniz ilişkilerinize. Tiklemeyi unuttuğumuz o küçük kutucuklar var mı mesela? Acaba hayatımızdaki en önemli şeyleri koruyan duvarlar hiç dikkat etmediğimiz küçük noktalardan bir hasar alıyor olabilirler mi? Unutmayın arkadaşlar.

21:01En sağlam zincir, en zayıf halkası kadar güçlüdür. Ve o zayıf halka genellikle bizim en az dikkat ettiğimiz, bir şey olmaz dediğimiz, umursamadığımız, dalgınlığa getirdiğimiz minicik sıradan bir alışkanlığımızdır. O yüzden garanti bildiğiniz şeyleri bile ara ara gözden geçirmeyi unutmayın. Zihniniz uyanık kalsın ki, siz rutinlerinize değil, rutinleriniz size hizmet etsin.