EMZETT.Bypassing: oturum açma koruması nasıl aşılır ve nasıl savunulur
Kısaca: “Bypassing”, bir koruma önlemini kırmak yerine onu atlatmak demektir. Bilgisayar başlangıcında bu, esas olarak Windows oturum parolasını ilgilendirir: yalnızca çalışan sistemi korur, diskteki verileri değil.
Biraz daha ayrıntılı: Bir bilgisayara fiziksel erişimi olan kişi onu başka bir işletim sistemiyle (USB bellek) başlatabilir, diski çıkarabilir veya parola sistemini kandırabilir. Diskteki dosyalar şifrelenmemiş olduğundan oturum parolasına bile gerek yoktur. Bu yüzden savunma, başlangıcı ve verileri koruyan birkaç katmandan oluşur.
Ayrıntılı
Windows parolası neden tek başına yetmez:
- Windows parolayı yalnızca Windows çalışırken denetler. Biri başka bir sistem başlatırsa (canlı Linux, kurtarma ortamı), sürücüyü bir USB bellek gibi görür ve dosyaları okur.
- Disk çıkarılıp başka bir bilgisayara takılırsa da aynısı geçerlidir.
- Disk şifrelenmemişse hesap parolaları (SAM veritabanı) çevrimdışı sıfırlanabilir veya okunabilir.
Tipik atlatma yolları (riskleri anlamak için):
| Saldırı yolu | Neden | Korunma |
|---|---|---|
| USB/CD ile yabancı bir sistemden başlatma | Serbest önyükleme sırası, aygıt yazılımı parolası yok | UEFI parolası, çıkarılabilir ortamdan önyüklemeyi engelleme, Secure Boot |
| Diski çıkarıp başka bir bilgisayarda okuma | Veriler şifrelenmemiş | BitLocker/sürücü şifrelemesi |
| Parolayı çevrimdışı sıfırlama | Yerel hesaplar, şifrelenmemiş | Şifreleme, Microsoft hesabı/MFA, Windows Hello |
| Değiştirilmiş önyükleyici (bootkit) | İmza koruması yok | Secure Boot, TPM ölçümü |
| Aygıt yazılımı parolasını sıfırlama | CMOS pilini çıkarma veya jumper | Kasa kilidi, şifreleme, güvenlik mühürleri |
| Soğuk önyükleme/DMA saldırıları (belleği okuma) | Anahtar RAM’de, açık arayüzler | TPM+PIN, çekirdek DMA koruması, Thunderbolt güvenliği |
Bir Windows 11 cihazı için katmanlı savunma (defense in depth):
- UEFI parolası belirleyin, USB’den önyüklemeyi engelleyin.
- Secure Boot ve TPM 2.0’ı etkinleştirin (Windows 11 zaten gerektirir).
- BitLocker’ı TPM + PIN ile kullanın, kurtarma anahtarını güvende tutun.
- Güçlü oturum açma yöntemi (Windows Hello, uzun parola, MFA).
- Aygıt yazılımı ve sistem güncellemelerini kurun.
- Cihazları fiziksel olarak güvenceye alın (kilit, oda), kayıp cihazları uzaktan kilitleyin/silin.
Unutmayın: İşletim sistemi düzeyindeki erişim koruması ile sürücü düzeyindeki veri koruması iki farklı şeydir. İşletim sistemi nelerin başlatıldığını denetlemediğinde verileri yalnızca şifreleme korur.
Not: Başkalarının erişimini izinsiz atlatmak bir suçtur (Alman Ceza Kanunu §§ 202a vd.). Bu bilgi, kendi cihazlarınızı korumak ve yetkili testler içindir.
Ayrıca bak: BitLocker, Secure Boot, TPM ve TPM 2.0