Kriptografi nedir?

Kriptografi bilgi güvenliğini ele alan bilim dalıdır. Bilgilerin, gönderilen kişiden başkasının eline geçmemesini sağlar. Dijital dünyanın güvenliğini sağlayan bu görünmez makine, özel mesajlarınızdan finansal verilerinize kadar her şeyi koruyan teknolojidir.

Bu yazıda; kriptografi nedir, nasıl çalışır, ne iş yarar ve nereye evriliyor gibi soruları ele alıyoruz. Ayrıca, doğru bilinen yanlışlar ile gerçek hayattan kriptografi uygulamalarına da değiniyoruz.

Basit bir anlatıma kriptografi

Kriptografi, bir bilgiye sadece görme izni olanların erişebilmesini sağlayan süreçtir. Temel olarak, okunabilir verinin "şifreleme” adı verilen bir yöntemle (düz metin) okunamaz (şifreli metin) haline getirilmesine dayanır.

Çok eski ve basit bir kriptografi örneği olan Sezar algoritması, sabit bir değişim değeri (anahtar) ile mesajdaki her harfin tek tek değiştirilmesine dayanır. Örneğin; değişim değeri (n = 3) olduğunda A harfi D, B harfi E vs. olur. Bu anahtar, HELLO kelimesini KHOOR şeklinde şifreler.

Modern siber güvenlik dünyasında hassas bilgileri korumak için tabii ki çok daha karmaşık kodlar (ya da şifreler) kullanılır. İleri düzey matematiğe dayanan bu şifrelerle hazırlanan bulmacaları çözmek o kadar zordur ki yalnızca doğru kriptografik anahtara sahip olanlar orijinal mesaja ulaşabilir.

Dijital dünyada kriptografi neden önemli

Dünyanın dört bir yanında her gün büyük miktarlarda hassas verileri internette dolaşıyor ve sunucularda depolanıyor. Kişisel mesajlar, banka bilgileri, sağlık raporları ve ticari veriler de buna dahil. Bu veriler korunmazsa yetkisiz kişiler tarafından erişilebilir, çalınabilir ya da tahrif edilebilir.

Siber suçlular bu verileri ele geçirirse kimlik bilgilerini çalarak bunları dolandırıcılık için kullanabilir, gizli verileri ifşa edebilir ya da kritik servisleri sabote edebilir. Bu tür veri ihlalleri yaygınlaşırsa hiç kimse online sistemlere güvenmez ve giderek daha dijital hale gelen dünyada büyük krizlere yol açar.

Yani kriptografi yalnızca verileri korumakla kalmaz; aynı zamanda kimlik doğrulama işlemleriyle yetkisiz erişimi engellerken bir yandan da bilgilerin tahrif edilmesini önler. Böylece dijital iletişim ve işlemlere olan güvenimizin sarsılmasına da izin vermez.

Kriptografinin kısa tarihi

Kriptografi yeni bir icat sayılmaz; binlerce yıldır bilinen bir şeydir. Sayı ve rakamlar üzerinde basit değişiklikler yapıldığı dönemlerden günümüzdeki dijital şifreleme sistemlerine, kriptografinin gelişim evrelerine göz atalım.

Geçmişteki Sezar algoritması ve günümüzdeki modern şifreleme yöntemi

Yukarıda değindiğimiz Sezar algoritması milattan önce 1. yüzyılda Jül Sezar tarafından hassas askeri bilgileri korumak için kullanıldı.

15. yüzyıla geldiğimizde İtalyan mimar Leon Battista Alberti, aynı mesajda çok sayıda alfabe kombinasyonunu içeren ilk poli-alfabetik şifrelemeyi geliştirdi. Bu yöntem, basit tahminlerle çözülemeyecek kadar karmaşıktı.

20. yüzyılda kriptografi makineler aracılığıyla yapılmaya başlandı. 2. Dünya Savaşı’nda Nazi Almanyasının kullandığı ünlü Enigma makinesi, dönen diskler yardımıyla sürekli değişen bir şifreleme sistemi oluşturdu.

Günümüzde ise bilgisayarların gelişmesiyle dijital şifreleme dönemine geçildi. Artık mekanik cihazlar yerine matematiksel algoritmalar karmaşık sistemler ile şifreleme yapıyor.

Modern kriptografinin dönüm noktaları

Modern kriptografinin en önemli gelişmelerinden biri 1975 yılında Veri Şifreleme Standardının (DES) geliştirilmesi oldu. ABD hükümetinin federal ölçekte ilk kez resmi standart olarak belirlediği bu şifreleme algoritması, elektronik verilerin korunması için yaygın kabul gördü.

1976’da açık anahtarlı kriptografinin (PKC) icadı da önemli bir dönüm noktasıydı. Bunun öncesinde, mesajların şifrelenmesi ve deşifre edilmesi için aynı gizli anahtarın paylaşılması gerekiyordu. Ancak bu anahtarın ele geçirilmesi riski her zaman vardı.

PKC sistemi açık ve kapalı olmak üzere iki farklı anahtar içeriyordu. Bu yöntemde açık anahtar, size mesaj göndermeleri için herkese açıkken deşifre etmek için özel anahtar sadece sizde oluyor. Kimseye gönderilmesi gerekmediğinden, özel anahtarın çalınması daha zor oluyordu. Özellikle de birbirini tanımayan ya da birbirine güvenmeyen kişiler arasında gizli mesajlar gönderilmesi bu şekilde çok daha güvenli hale geldi.

Bundan kısa süre sonra Rivest–Shamir–Adleman (RSA) algoritması geliştirildi. Gerçek hayatta kullanılabilecek kadar güvenli ve etkili olan ilk açık anahtar yöntemlerinden biri olan RSA ile e-posta göndermek, alışveriş ve bankacılık işlemleri gibi online aktiviteleri güvenli şekilde gerçekleştirmek mümkün hale geldi. Bunun için bilgileri şifreleme ve deşifre etme konusunda güvenilir bir yöntem sunan RSA bugün hâlâ yaygın şekilde kullanılıyor.

Zamanla yeni şifreleme yöntemleri daha güçlü güvenlik sağladığı için eskilerinin yerini almaya başladı. Örneğin, 2011’de kullanılmaya başlanan Gelişmiş Şifreleme Standardı - Advanced Encryption Standard (AES), DES algoritmasının yerini aldı. Daha hızlı ve güçlü bilgisayarlar ile DES algoritmasını kırmak mümkün hale gelmişti. AES ise daha güçlü koruma sağlaması ve daha hızlı performans göstermesi sayesinde bugün kullanılmakta olan en yaygın şifreleme yöntemi.

Kriptografinin temel prensipleri

Kriptografi sistemleri birkaç temel prensip ve sürece dayanır. Şimdi bunları kısaca ele alalım.

Gizlilik, bütünlük ve kimlik doğrulama

Kriptografi, bilgi güvenliğinin üç temel hedefini destekler: gizlilik, bütünlük ve kimlik doğrulama.

• Gizlilik (ya da veri gizliliği) bilginin yalnızca yetkili kişiler tarafından erişilebilir olacak şekilde gizli tutulması anlamına gelir.
• Bütünlük, bilginin depolama veya iletim sırasında değiştirilmediğini, silinmediğini ya da tahrif edilmediğini garanti eder.
• Kimlik doğrulama, iletişime katılan tarafların kimliklerini doğrular. Başka bir deyişle, bir sahtekârla değil, doğru kişi ya da sistemle etkileşimde olduğunuzdan emin olmayı sağlar.

Şifreleme ve deşifre etme

Kriptografinin merkezinde iki temel süreç yer alır: şifreleme ve şifre çözme.

Şifreleme, verileri kilit altına almak gibidir. Okunabilir olan bilgiyi, yetkisiz bir kişinin ele geçirmesi durumunda bile işe yaramayacak, anlamsız bir biçime (şifreli metin) dönüştürür.

Deşifre etme işlemi ise bu kilidin anahtarıdır. Okunamaz hale getirilmiş bilgiyi tersine çevirerek yeniden anlaşılabilir bir formata dönüştürür.

Çoğu kriptografik sistemde, deşifre anahtarına yalnızca hizmet sağlayıcı (örneğin bir e-posta sağlayıcısı ya da anlık mesajlaşma servisi) ve hedeflenen alıcı sahiptir. Bazı sistemler ise bir adım daha ileri gider ve hizmet sağlayıcının bile mesaja erişmesini engeller. Buna uçtan uca şifreleme (E2EE) denir.

Kriptografi türleri ve çalışma prensipleri

Güçlü yanları ve kullanım amaçları farklı olan çeşitli kriptografi türleri vardır. Bazıları veri şifreleme ve deşifre etmeye odaklanırken, bir kısmı da bilgilerin değiştirilmediğini doğrulamaya yardımcı olur. Şimdi de kriptografi nasıl çözülür sorusuna cevap verelim ve başlıca kriptografi türlerinden bahsedelim.

Simetrik anahtarlı kriptografi

Simetrik anahtarlı kriptografide, veriyi hem şifrelemek hem de deşifre etmek için aynı anahtar kullanılır. Süreç basit olduğu ve asimetrik anahtarlı kriptografiye kıyasla daha az işlem gücü gerektirdiği için hızlı ve verimlidir. Bu nedenle dosyalar, veritabanları veya güvenilir bir ağ içindeki iletişimler gibi büyük miktardaki verilerin şifrelenmesinde sıklıkla tercih edilir.

Bu süreçte yalnızca tek bir anahtar bulunduğundan, üçüncü tarafların bu anahtarı ele geçirerek verilere yetkisiz erişim sağlamasını önlemek için güvenli bir anahtar paylaşım mekanizması hayati önem taşır.

AES yaygın olarak kullanılan bir simetrik şifreleme algoritmasına örnektir. Uzmanları tarafından güvenilir kabul edilen bu algoritma ExpressVPN’in şifreleme teknolojisinin de temelini oluşturur.

Asimetrik anahtarlı kriptografi

Asimetrik anahtarlı kriptografi (ya da PKC) iki ayrı kriptografi anahtarı kullanır: serbestçe paylaşılabilen açık anahtar ve gizli tutulması gereken özel anahtar. E2EE yönteminde mesaj gönderici tarafından alıcının açık anahtarı ile şifrelenir ve bunu yalnızca alıcı kendi özel anahtarını kullanarak deşifre edebilir.

Asimetrik anahtarlı kriptografinin simetrik olana göre en önemli avantajlarından biri, deşifre etmek için kullanılan anahtarın paylaşılmamasıdır.

Asimetrik şifreleme, bir mektup üzerindeki "mühür” gibi özelliği ile kimlik doğrulama ve mesaj bütünlüğünü de sağlar. Gönderici mesajı özel anahtarı ile dijital olarak mühürlediğinde, mesajın kimden geldiği ve yolda kimsenin bu mesajı açmadığı ve değiştirmediği de onaylanmış olur. Göndericinin elindeki açık anahtara sahip olan herkes mührü kontrol ederek bu durumu doğrulayabilir.

RSA ve eliptik eğri kriptografisi (ECC) en çok kullanılan asimetrik algoritmalardır.

Hash fonksiyonları

Hash fonksiyonları herhangi bir veri parçasını alır ve onu hash adı verilen sabit uzunlukta bir karakter dizisine dönüştürür. Bu, şifrelemeden farklıdır çünkü tek yönlü bir işlemdir; veri bir kez hash’e dönüştürüldüğünde, orijinal veriyi geri elde etmek pratik olarak imkansızdır.

Hash işlemi, veri bütünlüğünü doğrulamak ve parolalar gibi hassas bilgileri güvenli şekilde saklamak için değerlidir. Sistemler, hash’leri karşılaştırarak verinin değiştirilip değiştirilmediğini hızlıca kontrol edebilir veya gerçek parolayı açığa çıkarmadan bir kullanıcının parolasını doğrulayabilir.

Yaygın olarak kullanılan hash fonksiyonları arasında Secure Hash Algorithm-256 (SHA-256) yer alır.

Kriptografik anahtar yönetimi

Bir şifreleme yöntemi ne kadar güçlü olursa olsun, kriptografik anahtarlar doğru şekilde yönetilmediği sürece etkili olmaz. Kriptografik anahtar yönetimi; bu anahtarların güvenli biçimde oluşturulması, saklanması, dağıtılması ve zamanı geldiğinde imha edilmesi sürecidir. İyi bir anahtar yönetimi, anahtarlara yalnızca yetkili kişi veya sistemlerin erişmesini sağlar ve böylece yetkisiz kullanım veya hırsızlığı önler.

Kriptografik algoritmalar

Kriptografi; simetrik ve asimetrik şifreleme gibi genel ilkelere dayansa da güvenlik, bu ilkeleri hayata geçiren algoritmalara bağlıdır. Günümüzde en yaygın kullanılan üç kriptografik algoritmaya kısaca göz atalım.

• AES: AES; dosyaların saklanması, sabit disklerin korunması ve VPN bağlantıları gibi internet trafiği türlerinin güvenliğinin sağlanması için ideal olan, hızlı ve güvenilir bir simetrik şifreleme yöntemidir. Güçlü güvenliği ve yüksek performansı nedeniyle dünya genelinde bankalar, devlet kurumları ve teknoloji şirketleri tarafından tercih edilmektedir.
• RSA: RSA, yerleşik ve yaygın olarak kullanılan bir asimetrik şifreleme yöntemidir. Dijital imzalar, güvenli e-posta ve web sitesi şifrelemesi (örneğin HTTPS) gibi alanlarda yaygın biçimde kullanılmaktadır.
• ECC: ECC, RSA’ya benzer düzeyde koruma sağlayan ancak çok daha kısa anahtarlar kullanan daha yeni bir asimetrik şifreleme yöntemidir. Bu sayede özellikle akıllı telefonlar, Nesnelerin İnterneti (IoT) cihazları ve işlem gücü sınırlı diğer sistemlerde daha hızlı ve verimli çalışır. ECC, modern uygulama ve platformlarda giderek RSA’nın yerini almaktadır.

Siber güvenlikte kriptografiden nasıl yararlanılır

Kriptografi, siber güvenlikte birçok önemli işlevi yerine getirir. Örneğin:

• Veri koruma ve gizlilik: Kriptografi, hassas bilgileri şifreleyerek veri güvenliğini artırır; yetkisiz erişimi engeller ve kişisel bilgiler, finansal veriler ile ticari sırların gizli ve güvenli kalmasını sağlar.
• Dijital imza ve bağlayıcı delil: Dijital imzalar, mesajların veya belgelerin gerçekliğini doğrulamak için kriptografik anahtarlar kullanır ve gönderenin işlemi gerçekleştirdiğini sonradan inkar etmesini engeller.
• Kimlik doğrulama ve güvenli oturumlar: Kriptografik protokoller, kullanıcıların veya cihazların kimliğini doğrular ve güvenli iletişim kanalları oluşturur; böylece kimliğe bürünme ve dinleme saldırılarına karşı koruma sağlar.
• VPN’ler: ExpressVPN gibi VPN’ler genel ağlar üzerinde şifreli tüneller oluşturmak için kriptografi kullanır; bu sayede kullanıcılar verilerini üçüncü taraflardan koruyabilir. Farklı şifreleme yöntemleri ve güvenlik özelliklerine sahip çeşitli VPN protokolleri, bu bağlantıların gücünü ve güvenilirliğini sağlamaya yardımcı olur.
• E-posta ve web güvenliği: Kriptografi, e-posta iletişimini ve web trafiğini şifreleme ile Transport Layer Security (TLS) ve Secure Sockets Layer (SSL) gibi protokoller aracılığıyla güvence altına alır; bilgilerin ele geçirilmesini ve değiştirilmesini önler.

Gerçek hayatta kriptografi uygulamaları

Kriptografi, hassas bilgilerin korunmasında ve günlük hayatın birçok önemli alanında güvenli etkileşimlerin sağlanmasında kritik bir rol oynar. Örneğin:

• E-ticaret ve çevrim içi bankacılık: Kriptografi, müşteriler ile bankalar veya çevrim içi mağazalar arasında paylaşılan verileri şifreleyerek finansal işlemleri ve kişisel bilgileri korur. HTTPS gibi güvenli protokoller, kredi kartı bilgilerini, giriş kimlik bilgilerini ve satın alma geçmişlerini korumak için kriptografik yöntemlere dayanır; böylece gizlilik sağlanır ve dolandırıcılık önlenir.
• Devlet kurumları ve orduda iletişim: Devletler, gizli bilgileri korumak ve askerî birlikler, istihbarat kurumları ile diplomatik misyonlar arasındaki iletişim kanallarını güvence altına almak için kriptografi kullanır. Güçlü şifreleme, casusluğu önlemeye yardımcı olur, mesajların doğruluğunu garanti eder ve ulusal güvenlik çıkarlarını korur.
• Fikri mülkiyet ve dijital haklar: Kriptografik teknikler, yazılım, müzik, video ve e-kitap gibi dijital içeriklerin dijital haklar yönetimi (DRM) yoluyla korunmasına yardımcı olur. Şifreleme, erişim ve kullanım haklarını kontrol eder; yetkisiz kopyalama ve dağıtımı engelleyerek içerik üreticilerinin fikri mülkiyetini güvence altına alır.
• Sağlık hizmetleri ve güvenli hasta verileri: Sağlık kuruluşları, hassas hasta kayıtlarını korumak ve Sağlık Sigortası Taşınabilirliği ve Hesap Verebilirliği Yasası (HIPAA) gibi gizlilik düzenlemelerine uyum sağlamak için kriptografiden yararlanır. Şifreleme, verileri hem depolama sırasında hem de doktorlar, hastaneler ve sigorta şirketleri arasındaki iletim sürecinde korur; hasta mahremiyetini korur ve veri ihlallerini önler.

Kriptografi standartları ve düzenlemeleri

Kriptografi, siber güvenliğin ve dijital altyapının temel bir unsurudur; bu nedenle şifreleme yöntemlerinin güvenli, birlikte çalışabilir ve gelecekteki tehditlere hazır olmasını sağlamak amacıyla uluslararası standartlar ile çeşitli ülkelerin mevzuatları bulunmaktadır.

NIST yönergeleri ve global standartlar

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) kriptografinin dijital bilgilerin korunmasında nasıl kullanılacağını belirlemede merkezi bir rol oynamaktadır. AES’in seçilme sürecine liderlik eden ve RSA gibi yaygın olarak kullanılan açık anahtarlı yöntemleri resmi standartlara dahil eden NIST, kriptografiyi geliştirmedeki liderliği uluslararası düzeyde tanınmakta olup, açık ve denetlenmiş süreçleri hem ABD kurumları hem de küresel paydaşlar tarafından güvenilir kabul edilmektedir.

NIST ile birlikte Uluslararası Standardizasyon Örgütü (ISO), İnternet Mühendisliği Görev Gücü (IETF) ve Avrupa Birliği Siber Güvenlik Ajansı (ENISA) gibi uluslararası kuruluşlar, kriptografik araçların farklı ülkeler ve sektörlerde birlikte çalışabilir ve güvenli olmasını sağlayan küresel standartlar geliştirmektedir. Bu çalışmalar, birbirine bağlı bir dünyada tutarlı ve güvenilir koruma mekanizmalarının oluşturulmasına katkı sağlar.

Sektörel düzenlemelere uyum

Bankacılık, sağlık ve çevrim içi kimlik hizmetleri gibi hassas bilgilerle çalışan sektörler, bu verileri güçlü ve standartlaştırılmış kriptografik yöntemlerle korumakla yükümlüdür. Örneğin ABD’de sağlık hizmeti sunucuları HIPAA’ya, finansal kuruluşlar Gramm-Leach-Bliley Yasası’na uymak zorundadır; kamu kurumları ise Federal Bilgi Güvenliği Modernizasyon Yasası (FISMA) kapsamındadır.

Bu gereklilikleri karşılamayan kuruluşlar; denetimler, para cezaları ve diğer düzenleyici yaptırımlarla karşı karşıya kalabilir.

Kuantum tehditlerine erken hazırlık

Kuantum bilgisayarlar, kuantum fiziğinin ilkelerini kullanarak problemleri klasik bilgisayarlardan temelde farklı biçimlerde çözebilen yeni bir teknolojidir. Yapılan araştırmalar, yeterince güçlü bir kuantum bilgisayarın RSA ve ECC gibi yaygın olarak kullanılan şifreleme yöntemlerini kırabileceğini göstermektedir.

Günümüzde bu yetkinliğe sahip kuantum bilgisayarlar henüz bulunmasa da uzmanlar bunun yakın zamanda gerçekleşebileceği konusunda hemfikir. Bu nedenle NIST, kuantum dirençli algoritmalar geliştirme amaçlı küresel çabaya liderlik etmektedir. İlk resmî standartlar 2024 yılında yayımlanmış ve kuantum sonrası kriptografi (PQC) yönünde küresel bir geçiş süreci başlamıştır.

Devletler, bankalar ve diğer kuruluşlar, gelecekteki tehditlere hazırlanmak ve uzun vadeli veri güvenliğini sağlamak amacıyla PQC’yi benimsemeye teşvik edilmektedir.

ExpressVPN NIST tarafından onaylanan Modül-Kafes Tabanlı Kapsülleme Mekanizması (ML-KEM) adlı kuantum sonrası standardı kendi Lightway protokolüne entegre ederek kullanıcıları için gelecekte de dayanıklı olacak veri güvenliğini şimdiden sağladı.

Kriptografi hakkında doğru bilinen yanlışlar

Güvenlik alanındaki kritik rolüne rağmen, kriptografi zaman zaman yanlış anlaşılmaktadır. Bu konuda bazı yanlış inanışlara değinelim.

Şifreleri kırmak mümkün değildir

Teknik olarak bakıldığında, şifreler hiçbir zaman tamamen kırılamaz olmamıştır. Bununla birlikte, modern şifreleme yöntemleri; mevcut teknolojiyle kırılmalarının pratikte mümkün olmayacak kadar uzun zaman alacak şekilde tasarlanmıştır. Bu süre çoğu zaman milyonlarca, hatta milyarlarca yılı bulabilir. Bu da, doğru şekilde kullanıldıkları sürece, pratikte son derece güvenli oldukları anlamına gelir.

Ancak kuantum bilişim gibi gelişmeler, gelecekteki tehditlere karşı güvenliğin sürdürülebilmesi için kriptografik standartların sürekli olarak gelişmesini zorunlu kılmaktadır.

Yalnızca siber suçlular kriptografi ile ilgilenir

Gizliliği ve güvenliği korumak için kullanılan temel bir araç olan kriptografiyi kamu kurumları, şirketler ve sıradan insanlar her gün aktif olarak kullanmaktadır. Online bankacılık işlemleriniz, mesajlaşma uygulamalarınız ve hatta ziyaret ettiğiniz web siteleri bile kriptografi sayesinde güvence altındadır. Dolayısıyla kriptografi, yalnızca suçluların kullandığı bir araç değil; modern dijital yaşamı güvenli kılan temel unsurlardan biridir.

Kriptografi ve siber güvenlik aynı şeydir

Geniş bir alanı kapsayan siber güvenlik ağların ve cihazların korunmasından kullanıcı erişimlerinin yönetimine, tehditlerin tespit edilmesine ve saldırılara müdahale edilmesine çok çeşitli yöntemleri içerir. Kriptografi ise bu geniş siber güvenlik araç setinin yalnızca bir bileşenidir.