AES-256 nedir?
AES (Advanced Encryption Standard), verileri şifrelemek için dünyada en yaygın kullanılan simetrik şifreleme algoritmasıdır. ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından 2001'de standart olarak yayımlanmış, bugün bankacılıktan mesajlaşma uygulamalarına, disk şifrelemeden yedekleme yazılımlarına kadar her yerde kullanılır.
"256" ise anahtar uzunluğunu (256 bit) gösterir. AES üç anahtar uzunluğuyla çalışır: 128, 192 ve 256 bit. Anahtar uzadıkça, anahtarı deneme yanılmayla bulmaya çalışmanın zorluğu üstel olarak artar.
Nasıl çalışır?
AES simetrik bir algoritmadır: veriyi şifrelemek ve çözmek için aynı anahtar kullanılır. Açık haldeki veri (düz metin), anahtar yardımıyla anlamsız bir veri yığınına (şifreli metin) dönüştürülür. Doğru anahtara sahip olmayan biri için bu yığın rastgele veriden ayırt edilemez.
Anahtarı olmayan için şifreli içerik anlamsızdır; anahtarla aynı veri eksiksiz geri döner. Veriler örnektir.
256 bit ne kadar güçlü?
256 bitlik bir anahtarın olası değer sayısı, günümüz bilgisayarlarının deneyebileceğinin çok ötesindedir. AES'e yönelik, anahtar uzunluğunu pratik olarak anlamsız kılan bilinen bir saldırı yoktur; anahtarı tahmin ederek kırmak pratikte mümkün değildir. Bu nedenle AES-256, pek çok kamu kurumu ve finans kuruluşu tarafından hassas veriler için tercih edilir.
Asıl zayıf halka algoritma değil, anahtardır. AES-256'yı kırmaya çalışmak yerine, saldırganlar zayıf bir parolayı tahmin etmeyi, anahtarı yedeğin yanında bulmayı ya da yedeği şifrelemeden önce ele geçirmeyi dener.
Yedekler için neden şifreleme gerekir?
Yedek dosyaları, işletmenizin tüm verisinin bir kopyasıdır. Kimin elinde, nerede durduğu önemlidir:
- Uzak sunucudaki yedeğe sunucu sağlayıcısının ya da sunucuyu ele geçiren birinin erişmesi,
- Harici diskin kaybolması ya da çalınması,
- Yanlışlıkla yanlış kişiyle paylaşılmış bir yedek,
- Eski bir diskin yeterince temizlenmeden elden çıkarılması...
Bu durumların her birinde yedek şifreliyse içerik okunamaz; bir veri ihlali olayı, "ele geçirildi ama anlamsız" olayına dönüşür. KVKK'nın öngördüğü teknik tedbirler arasında şifreleme de sayılır; kişisel veri içeren yedekler için şifreleme güçlü bir koruma katmanıdır.
Bekleyen veri, aktarılan veri
| Durum | Risk | Koruma |
|---|---|---|
| Bekleyen veri (at rest) | Diskteki ya da sunucudaki yedek dosyasının ele geçirilmesi | Yedek dosyasının AES-256 ile şifrelenmesi |
| Aktarılan veri (in transit) | Verinin ağda yakalanması | SFTP gibi şifreli protokol (bkz. FTP, SFTP, FTPS) |
İkisi birbirinin yerine geçmez. En sağlam yaklaşım, yedeği göndermeden önce şifrelemek ve ardından şifreli bir kanaldan aktarmaktır.
Parola ve anahtar yönetimi
Şifreleme ancak anahtarı korunduğu sürece güvenlidir. Yedek şifrelemesinde parola, yedeğin tek anahtarıdır. Kaybolursa şifreli yedek, kimse için açılabilir değildir.
- Uzun bir parola ifadesi kullanın. Kısa ve karmaşık görünen bir parolaya göre, uzun bir cümle (ör. 5-6 rastgele kelime) çok daha güçlüdür.
- Parolayı yedeğin yanında saklamayın. Aynı sunucuda ya da aynı klasörde duran bir not, şifrelemeyi anlamsız kılar.
- Parolanın en az bir yedeği olsun. Güvenli bir parola yöneticisi ve ayrıca fiziksel olarak kasada tutulan bir kopya, "tek kişi biliyor ve kaybetti" riskini ortadan kaldırır.
- Birden fazla yetkili kişi bilsin. Parolayı yalnızca bilgi işlem sorumlusu biliyorsa ve ayrılırsa ya da erişilemezse yedekleriniz erişilemez olur.
- Geri yüklemeyle test edin. Parolanın yazıldığı yerden alınarak yedeğin gerçekten çözülebildiğini görün. Bkz. geri yükleme testi.
- Parolayı yalnızca gerektiğinde değiştirin ve değişikliği kaydedin. Yeni parolayla alınan yedekleri eski parolayla açamazsınız; hangi yedek hangi parolayla şifrelendi bilinmeli.
Parolayı kaybederseniz geri dönüş yoktur. Güçlü şifreleme, kurtarma kapısı bırakmaz; bu hem güvenlik hem de risktir. Parolayı kaybeden bir işletme, yedeklerine kimsenin erişemediği bir duruma düşebilir.
Sık duyulan yanlışlar
- "Şifreleme yedeği bozulmaya karşı korur." Hayır. Şifreleme gizliliği korur; dosya bozulması, silinmesi ya da fidye yazılımı için ayrı önlemler (uzak kopya, sürümleme, test) gerekir.
- "AES-128 yetersizdir." AES-128 de güçlüdür. AES-256 daha geniş bir güvenlik marjı sunar ve hassas veriler için yaygın tercih olmuştur.
- "Şifreleme yedeği yavaşlatır." Modern işlemcilerde AES için donanım desteği (AES-NI) bulunur; çoğu durumda etkisi çok düşüktür.
- "Önce şifrele, sonra sıkıştır." Sıra yanlış: şifreli veri sıkışmaz. Doğru sıra önce sıkıştırmak, sonra şifrelemektir.
DenizBackup ile AES-256
DenizBackup yedeklerinizi AES-256 ile şifreler. Güvenlik yaklaşımı yalnızca yedek dosyasıyla sınırlı değildir: ayar dosyaları şifreli saklanır, FTP/SFTP erişim bilgileri için Windows Credential Manager desteği sunulur ve lisans doğrulaması kontrollü biçimde yapılır. Yedekler şifrelendikten sonra FTP/SFTP sunucusuna aktarılır.
Yapılacaklar listesi: Şifreleme parolanızı güvenli bir yöneticide saklayın, fiziksel bir kopyasını kasaya koyun ve bir sonraki geri yükleme testinde parolayı bu kayıtlardan kullanın.
