E-POSTA ÖZ SAVUNMA

ADIM 1.A E-POSTA PROGRAMINIZI E-POSTA HESABINIZI KULLANACAK ŞEKİLDE AYARLAYIN

E-posta programınızı açın ve e-posta hesabı eklemek için kullanılan sihirbazın adımlarını uygulayın.

ADIM 1.B GPG4WIN PROGRAMINI İNDİREREK GnuPG'Yİ EDİNİN

GPG4Win, GnuPG'yi içeren bir yazılım paketidir. İndirin ve kurun, sorulduğunda varsayılan seçenekleri seçin. Kurulduktan sonra, açtığı bütün pencereleri kapatabilirsiniz.

ADIM 1.C E-POSTA PROGRAMINIZA ENIGMAIL EKLENTİSİNİ KURUN

E-posta programınızın menüsünde, Add-on (Eklentiler) (Tools (Araçlar) bölümünde de olabilir) seçin. Sol tarafta Extensions (Eklentiler) sekmesinin seçili olduğundan emin olun. Enigmail'i görüyor musunuz? Görüyorsanız eğer, bu adımı atlayın.

Göremiyorsanız, sağ üstteki arama kutusuna "Enigmail" yazarak arama yapın. Sonuçlar arasından bulup kurabilirsiniz. Kurulum bittikten sonra programınızı yeniden başlatın.

ADIM 2.A BİR ANAHTAR ÇİFTİ OLUŞTURUN

Enigmail Kurulum sihirbazı kendiliğinden başlayabilir. Eğer başlamazsa, e-posta programınızın menüsünden, Enigmail → Setup Wizard (Kurulum Sihirbazı) seçeneğini seçin. Eğer özellikle okumak istemiyorsanız, açılan penceredeki metni okumanız gerekmiyor, ancak sihirbazın daha sonra açılan pencerelerindeki metinleri okursanız iyi olur. Aşağıda göründükleri sırada belirtilen durumlar dışındaki pencerelerde varsayılan seçenekleri seçili bırakarak Next (Sonraki) düğmesini seçin:

• "Encryption" (Şifreleme) başlıklı pencerede, "Encrypt all of my messages by default, because privacy is critical to me" (Bütün mesajlarımı varsayılan olarak şifrele, çünkü mahremiyet benim için son derece önemlidir) seçeneğini seçin
• "Signing" (İmzalama) başlıklı pencerede "Don't sign my messages by default" (Mesajlarımı varsayılan olarak imzalama) seçeneğini seçin.
• "Key Selection" (Anahtar Seçimi) başlıklı pencerede "I want to create a new key pair for signing and encrypting my email" (E-postamı şifrelemek ve imzalamak için yeni bir anahtar çifti yaratmak istiyorum) seçeneğini seçin.
• "Create Key" (Anahtar Yarat) başlıklı pencerede, güçlü bir parola seçin! Kendiniz bir parola düşünebilir veya Diceware yöntemini kullanabilirsiniz. Kendinizin bir parola üretmesi daha hızlı olur, ancak o kadar güvenli değildir. Diceware yöntemi daha uzun sürer ve zar atmayı gerektirir, ancak saldırganların bulması daha da zorlaşan bir parola üretir. Bu yöntemi kullanmak için, Micah Lee tarafından hazırlanan şu yazıdaki "Make a secure passphrase with Diceware" (Diceware ile güçlü bir parola üretimi) başlıklı bölümü okuyabilirsiniz.

Eğer, kendiniz bir parola seçmek isterseniz, en az on iki karakterden oluşan ve en azından bir adet küçük harf, bir adet büyük harf ve en azından bir adet rakam veya noktalama işareti içeren hatırlayabileceğiniz bir şey olmalıdır. Başka yerde kullandığınız bir parolayı kesinlikle seçmeyin. Doğum günleri, telefon numaraları, hayvan isimleri, şarkı sözleri, kitaplardan alıntılar, vb. gibi tanınabilir desenler kullanmayın.

Programın, "Key Creation" (Anahtar Yaratma) başlıklı bir sonraki adımı tamamlaması biraz zaman alacaktır. Beklerken, bilgisayarınızla başka şeyler yapın, örneğin film izleyin veya İnternette gezinin. Bu noktada bilgisayarınızı ne kadar kullanırsanız, anahtar yaratma süreci de o kadar hızlanacaktır.

"Key Generation Complete" (Anahtar Üretimi Tamamlandı) penceresi açıldığında, Generate Certificate (Sertifika Üret) seçeneğini seçin ve oluşan sertifikayı bilgisayarınızda güvenli bir yerde saklayın (ev dizininizde "İptal Sertifikası" başlıklı bir dizin yaratıp, sertifikaları orada saklamanızı öneriyoruz). Bu aşama, e-posta öz savunmanız açısından aslidir. İptal sertifikaları hakkında daha fazla bilgiyi 5. bölümde öğreneceksiniz.

ADIM 2.B AÇIK ANAHTARINIZI BİR ANAHTAR SUNUCUSUNA YÜKLEYİN

E-posta programınızın menüsünde, Enigmail → Key Management (Anahtar Yönetimi) seçeneğini seçin.

Anahtarınıza sağ tıklayın ve Upload Public Keys to Keyserver (Açık Anahtarları Anahtar Sunucusuna Yükle) seçeneğine tıklayın. Çıkan penceredeki varsayılan anahtar sunucusunu kullanın.

Şimdi, size şifreli mesaj göndermek isteyen birisi, açık anahtarınızı İnternet'ten indirebilir. Yüklerken menüden seçebileceğiniz bir çok anahtar sunucusu mevcut, ama hepsi birbirinin kopyası olduğundan hangisini kullanırsanız kullanın fark etmeyecektir. Buna rağmen yeni bir anahtar yüklendiğinde birbirleriyle eşleşmeleri bir kaç saat sürebilir.

GNUPG, OPENPGP, HANGİSİ?

Genellikle GnuPG, GPG, GNU Privacy Guard, OpenPGP ve PGP birbirinin yerine kullanılan terimlerdir. Teknik olarak, OpenPGP (Pretty Good Privacy - Oldukça İyi Mahremiyet) bir şireleme standardıdır ve GNU Privacy Guard (GNU Mahremiyet Muhafızı) (sıklıkla GPG veya GnuPG olarak kısaltılır) bu standardı gerçekleştiren programdır. Enigmail ise e-posta programınıza GnuPG arayüzü sağlayan bir eklentidir.

ADIM 3.A EDWARD'A AÇIK ANAHTARINIZI GÖNDERİN

Bu gerçek insanlarla yazışırken kullanmanız gerekmeyen özel bir adımdır. E-posta programınızın menüsünde, Enigmail → Key Management (Anahtar Yönetimi) seçeneğine gidin. Anahtarınızı açılan penceredeki listede görüyor olmalısınız. Anahtarınıza sağ tıklayıp Send Public Keys by Email (Açık Anahtarları E-posta ile Gönder) seçeneğini seçin. Bu, aynı Write (Yaz) düğmesine bastığınızdaki gibi taslak bir mesaj yaratacaktır.

Mesaj adresi olarak edward-tr@fsf.org girin. E-postanın konu ve gövde kısmına en azından bir kelime (ne isterseniz) yazın. Mesajı henüz göndermeyin.

Sol üstteki kilit simgesi sarı olmalıdır. Bunun anlamı şifrelemenin açık olduğudur, ancak Edward'a göndereceğimiz bu ilk özel mesajın şifresiz olmasını istiyoruz, bu nedenle şifrelemeyi kapatmak için kilit simgesine tıklayın. Kilit şimdi üzerinde mavi bir noktayla birlikte (ayarın varsayılandan farklı bir şekilde değiştirildiği konusunda sizi uyarmak için) griye dönmelidir. Şifreleme kapanır kapanmaz, Send (Gönder) düğmesine tıklayın.

Edward'ın yanıtlaması iki veya üç dakikayı bulabilir. Bu arada, ileriye atlayıp, rehberin İyi Kullanın bölümünü inceleyebilirsiniz. Yanıt geldiğinde, bir sonraki adıma geçin. Buradan sonrası, gerçek bir insanla yazışırken ki durumla aynıdır.

Edward'ın yanıtını açarken, özel anahtarınızı kullanarak gelen e-postanın şifresini çözebilmek için GnuPG sizden parolanızı isteyebilir

ADIM 3.b ŞİFRELENMİŞ BİR DENEME E-POSTASI GÖNDERİN

E-posta programınızda, adres olarak edward-tr@fsf.org. olan yeni bir e-posta yazın. Konuyu "Şifre Deneme" veya benzeri bir şey yapın ve gövdeye bir şeyler yazın.

Sol üstteki kilit simgesi, şifrelemenin açık olduğunu belirtecek şekilde sarı olmalıdır. Bu noktadan sonra bu sizin varsayılanınız olacak.

Kilit simgesinin yanında, bir kurşun kalem simgesi göreceksiniz. Buna daha sonra geleceğiz.

Gönder'e tıklayın. Enigmail bir pencere açarak "Recipients not valid, not trusted or not found." (Alıcılar geçerli değil, güvenli değil veya bulunamadı) mesajını gösterecektir.

Edward'a göndereceğiniz bir e-postayı şifrelemek için, onun açık anahtarına ihtiyacınız var. O zaman şimdi Enigmail eklentisinin onu bir anahtar sunucusundan indirmesini sağlayalım. Download Missing Keys (Kayıp Anahtarları İndirin) seçeneğini seçerek, size sunulan pencerede varsayılan anahtar sunucusunu seçin. Anahtarları bulduğunda, ilk olan anahtarı (Anahtar kimliği C ile başlayan) seçerek, OK (Tamam) düğmesine tıklayın. Sonraki pencerede de OK'e tıklayın.

Şimdi "Recipients not valid, not trusted or not found" penceresine döndük. Listeden Edward'ın anahtarını seçin ve OK'e tıklayın.

Bu e-posta Edward'ın açık anahtarıyla şifrelendiğinden, şifresinin çözülmesi için Edward'ın gizli anahtarına ihtiyaç var. Edward bu anahtara sahip tek kişi olduğu için, onun dışında hiç kimse e-postanın şifresini çözemezsiniz.

ÖNEMLİ: GÜVENLİK İPUÇLARI

E-postanızı şifreleseniz bile, konu satırı şifrelenmemektedir, bu nedenle oraya özel bilgi yazmayın. Alıcı ve gönderici adresleri de şifrelenmemektedir, dolayısıyla bir gözetim sistemi kiminle iletişim kurduğunuzu tespit edebilir. Ayrıca, gözetim ajansları, ne söylediğinizi bilmeseler de, GnuPG'yi kullandığınızı bileceklerdir. Ek gönderdiğinizde, Enigmail size, asıl e-postadan farklı olarak, ekleri şifrelemek isteyip istemediğinizi soracaktır.

ADIM 3.C BİR YANIT ALIN

Edward e-postanızı aldığında, gizli anahtarını kullanarak onu çözecek, daha sonra da sizin (3. adımda gönderdiğiniz) açık anahtarınızı size bir yanıt şifrelemek için kullanacaktır.

Bu e-postayı Edward'ın açık şifresiyle şifrelediğiniz için, onu çözmek üzere Edward'ın gizli anahtarına ihtiyaç vardır. Bu gizli anahtara sahip olan da sadece Edward olduğu için, onun dışında — siz de dahil — hiç kimse e-postanın şifresini çözemez.

Edward'ın yanıtlaması iki veya üç dakikayı bulabilir. Bu arada, ileriye atlayıp, rehberin İyi Kullanın bölümünü inceleyebilirsiniz.

Edward'ın e-postasını aldığınızda açın, Enigmail e-postanın sizin açık anahtarınızla şifreli olduğunu otomatik olarak bulacak ve mesajı özel anahtarınızı kullanarak açık metin haline getirecektir.

Edward'ın anahtarının durumu hakkındaki bilgiyle beraber mesajın üstünde Enigmail'in gösterdiği çubuğa dikkat edin.

ADIM 3.DİMZALANMIŞ BİR DENEME E-POSTASI GÖNDERİN

GnuPG, mesajları ve dosyaları, sizden geldiğinin ve yol boyunca bozulmadığının doğrulanması amacıyla imzalanız için bir yol içerir. Bu imzalar kağıt-kalem kuzenlerinden daha güçlüdür: taklit edilmeleri mümkün değildir, çünkü gizli anahtarınız olmadan yaratılmaları imkansızdır (gizli anahtarınızı güvenli tutmak için bir başka neden).

Kime olursa olsun, mesajları imzalayabilirsiniz, bu GnuPG kullandığınızı ve sizinle güvenli bir iletişim kurabileceklerini herkese göstermenin muhteşem bir yoludur. Eğer onlar GnuPG'ye sahip değillerse, mesajınızı okuyabilecek ve imzanızı göreceklerdir. Eğer GnuPG'ye sahiplerse, ayrıca imzanızın gerçek olduğunu da doğrulayabileceklerdir.

Edward'a bir e-postayı imzalamak için, kendisine herhangi bir mesaj yazın ve kilit simgesinin yanındaki kalem simgesine tıklayın, böylece altın rengine dönecektir. Eğer bir mesajı imzalarsanız, mesajı göndermeden önce GnuPG sizden parola girmenizi isteyebilir, çünkü imzalamak için gizli anahtarınıza ihtiyaç duyar.

Kilit ve kalem simgeleriyle, her bir mesajın şifrelenip şifrelenmediğini, imzalanıp imzalanmadığını veya her iki durumu da seçebilirsiniz.

ADIM 3.E BİR YANIT ALIN

Edward e-postanızı aldığında, sizin (Adım 3.A'da gönderdiğiniz) açık anahtarınızı imzanızın gerçek olup olmadığını ve gönderdiğiniz mesajla oynanmadığını doğrulamak için kullanacak.

Edward'ın yanıtlaması iki, üç dakikayı bulabilir. Bu sırada, rehberde ilerleyip İyi Kullanın bölümüne bakabilirsiniz.

Edward'ın yanıtı, her koşulda şifrelemeyi tercih ettiği için şifreli gelecektir. Eğer her şey plana uygun giderse, yanıtta "İmzanız doğrulandı." yazması gerekiyor. Eğer sınama için attığınız imzalı e-posta şifrelenmiştiyse, en başta bundan söz edecektir.

ADIM 4.a BİR ANAHTAR İMZALAYIN

E-posta programınızın menüsünde Enigmail → Key Management (Enigmail → Anahtar Yönetimi) adımlarını izleyin.

Edward'ın açık anahtarına sağ tıklayın ve açılan menüden Sign Key (Anahtarı İmzala) seçeneğini seçin.

Açılan pencerede "I will not answer" (Yanıtlamayacağım) seçerek OK (Tamam)'a tıklayın.

Şimdi Anahtar Yönetimi menüsüne geri dönmüş olmalısınır. Keyserver → Upload Public Keys (Anahtar Sunucusu → Açık Anahtarları Yükleyin) adımlarını izleyerek seçerek OK (Tamam)'a tıklayın.

Az önceki etkin bir şekilde "Edward'ın açık anahtarının, gerçekten de Edward'a ait olduğuna güvendiğinizi" söylediniz. Edward gerçek bir insan olmadığı için bunun çok bir anlamı yok, ama uygulama açısından önemli.

ANAHTARLARI TANIMLAMAK: PARMAK İZLERİ VE ID'LER

İnsanların açık anahtarları, genellikle, F357AA1A5B1FA42CFD9FE52A9FF2194CC09A61E8 (Edward'ın anahtarı) şeklindeki karakterlerden yaratılmış bir dizi olan "anahtar parmak izi"yle tanımlanıyorlar. Kendi açık anahtarınızın ve bilgisayarınızda kayıtlı diğer anahtarların parmak izini e-posta programınızda Enigmail → Key Management (Anahtar Yönetimi) kısmına gidip, ilgili anahtara sağ tıklayıp Key Properties (Anahtar Özellikleri) seçeneğini seçerek görebilirsiniz. Her e-posta adresinizi paylaştığınızda anahtarınızın parmak izini paylaşmanız, iyi bir alışkanlıktır. Böylece insanlar sizin açık anahtarınızı bir sunucudan indirdiklerinde, doğru anahtara sahip olup olmadıklarını iki kere denetlemiş olurlar.

Ayrıca, sadece parmak izinin son sekiz karakteri olan anahtar kimliğiyle (örneğin Edward için C09A61E8) atıfta bulunulan açık anahtarları da görebilirsiniz. Anahtar kimliği Key Management (Anahtar Yönetimi) penceresinde doğrudan görülebilir. Anahtar kimliği bir insanın ilk ismi gibidir (kısaltma olarak iyidir ancak ilgili anahtara özgü değildir), oysa parmak izi gerçekten de ilgili anahtara özgüdür, herhangi bir karışıklık yaratmaz. Eğer sadece anahtar kimliğine sahip olsanız bile, anahtarı (ve onun parmak izini), aynı Adım 3'te yaptığınız gibi araştırabilirsiniz. Eğer birden fazla seçenekle karşılaşırsanız, gerçekten de iletişim kurmaya çalıştığınız kişiye ait olanı seçebilmek için parmak izine ihtiyacınız vardır.

ÖNEMLİ: ANAHTARLARI İMZALAMADAN ÖNCE DİKKAT EDİLMESİ GEREKENLER

Bir insanın anahtarını imzaladan önce, her zaman mutlaka o anahtarın gerçekten de onlara ait olduğundan ve söyledikleri kişi olduklarından emin olun.İdeal durumda bu güven, onlarla zaman içerisinde etkileşiminiz ve sohbetleriniz ve diğerleriyle olan etkileşimlerine tanık olmanızdan gelir. Bir anahtarı imzalarken, yalnızca kısa ID'yi değil, bütün anahtar parmak izini görme talebinde bulunun. Eğer yeni tanıştığınız birinin anahtarını imzalamanız gerekiyorsa, onlardan ayrıca kimlik kartlarını göstermelerini isteyerek, kimlik kartındaki isimle, açık anahtardaki ismin uyuştuğundan emin olun. Enigmail'de, ilgili penceredeki "How carefully have you verified that the key you are about to sign actually belongs to the person(s) named above?" (Yukarıda ismi verilen kişiye ait olan imzalamak üzere olduğunuz anahtarı ne kadar dikkatli bir şekilde doğruladınız?) sorusunu dürüst bir şekilde yanıtlayın.

NE ZAMAN ŞİFRELEMELİYİM? NE ZAMAN İMZALAMALIYIM?

Mesajlarınızı ne kadar sık şifrelerseniz, o kadar iyi. Bunun nedeni şudur: eğer e-postalarınızı sadece arada sırada şifrelerseniz, her bir şifreli mesaj gözetim sistemleri için tehlike işareti oluşturabilir. Eğer mesajlarınızın hepsini veya çoğunu şifreliyorsanız, gözetimi gerçekleştiren insanlar nereden başlayacağını bilemez.

Elbette, bu, sadece bazı e-postalarınızı şifrelemek yararsızdır anlamına gelmez. Oldukça iyi bir başlangıçtır ve kitlesel gözetimi daha da zorlaştırır.

Eğer kendi kimliğinizi ifşa etmeme isteğiniz dışında (bu başka koruyucu tedbirler gerektirir), ister şifreleyin, ister şifrelemeyin, her mesajı imzalamamak için bir neden yok. GnuPG'yi kullananlara mesajın sizden geldiğini doğrulama imkanı sağladığı gibi, imzalama ayrıca herkese GnuPG kullandığınızı ve güvenli iletişimi desteklediğinizi rahatsız etmeden söylemenin bir yoludur. Eğer, GnuPG'ye ilişkin bilgileri olmayan kişilere sürekli olarak imzalı e-postalar gönderiyorsanız, e-posta imzanızda (metin tabanlı olan, şifrelemeyle ilgili olmayan) bu rehberin bir bağlantısını da paylaşmanız iyi olacaktır.

GEÇERSİZ ANAHTARLARA KARŞI DİKKATLİ OLUN

GnuPG e-postayı güvenli kılar, ancak yine de yanlış ellere geçmiş olabilecek geçersiz anahtarlar için dikkatli olmak önemlidir. Geçersiz anahtarlarla şifrelenmiş e-postalar gözetim programlarıyla okunabilir.

E-posta programınızda, Edward'ın size gönderdiği ilk şifreli e-postaya gidin. Edward, bu e-postayı sizin açık anahtarınızla şifrelediği için, üzerinde büyük ihtimalle Enigmail'in "Enigmail: Part of this message encrypted." (Enigmail: Bu mesajın bir kısmı şifrelenmiştir) şeklindeki mesajını göreceksiniz.

GnuPG'yi kullanırken, bu çubuğa bakmayı bir alışkanlık haline getirin. Program, güvenilir olmayan bir anahtarla şifrelenmiş bir e-posta aldığınızda bu çubuk üzerinden uyaracaktır.

İPTAL SERTİFİKANIZI GÜVENLİ BAŞKA BİR YERE KOPYALAYIN

Anahtarlarınızı oluştururken, GnuPG'nin yarattığı iptal sertifikasını kaydettiğinizi hatırlıyorsunuz değil mi? Şimdi, bu sertifikayı en güvenli dijital deponuza (en uygun depo evinizde güvenli bir yerde saklamış olduğunuz flaş bellek veya bir disktir, sürekli yanınızda taşıdığınız bir aygıt değil) kopyalamanın tam zamanı.

Eğer gizli anahtarınız bir şekilde kaybolur veya çalınırsa, bu sertifika dosyasına ihtiyacınız olacak.

ÖNEMLİ: BİRİ GİZLİ ANAHTARINIZI ELE GEÇİRİRSE HIZLI DAVRANIN

Gizli anahtarınızı kaybeder veya başkası onu ele geçirirse (çalarak veya bilgisayarınızı girerek), başka birisi tarafından sizin şifreli e-postalarınız okunmadan veya imzanızı taklit etmeden hemen önce onu iptal etmeniz oldukça önemlidir. Bu rehber, bir anahtarı iptal etmeyi anlatmıyor, ancak bu talimatları uygulayabilirsiniz. İptal işlemi bittikten sonra, anahtarınızı kullandığınız herkese, durumdan haberdar etmek için yeni anahtarınızı da içeren bir e-posta gönderin.

WEBMAIL VE GNUPG

E-postanıza erişmek için web tarayıcı kullanıyorsanız, bu durumda webmail kullanıyorsunuz demektir. Webmail uzak bir web sitede saklanan bir e-posta programıdır. Webmail aksine, masaüstü e-posta programınız kendi bilgisayarınızda çalışır. Her ne kadar webmail şifreli e-postaları çözemese de, onu şifreli halinde göstermeye devam edecektir. Eğer birincil olarak webmail kullanıyorsanız, karışık bir e-posta aldığınızda e-posta istemcinizi açmayı bilmelisiniz.