BetPixel Art'a iki kapıdan girilir. Üyeler Telegram ile giriş yapar. Bayiler, yönetimin verdiği kullanıcı adı ve kendi belirledikleri şifreyle bayi girişinden girer. İki kapının da en zayıf noktası aynı: kapının önünde duran kişi.
Bu yazı, iki tarafta da hesabını başkasına kaptırmamak için bilmen gerekenleri topluyor. Hiçbiri teknik bilgi gerektirmiyor; hepsi birkaç alışkanlık.
Bayi şifresi
Şifreni kimse bilmemeli — biz dahil
Sistemde bayi şifrelerinin kendisi saklanmaz, yalnızca geri çevrilemeyen bir özeti tutulur. Yönetimin senin şifreni görebileceği bir ekran yok. Buradan çıkan kural basit: şifreni isteyen herkes, kim olduğunu söylerse söylesin, şifreni bilmesi gerekmeyen biridir.
Geçici bir şifre sana yalnızca iki durumda gönderilir: bayi hesabın açıldığında ve yönetim şifreni sıfırladığında. Bot bu bilgileri yolladığında mesajın sonunda "Bu bilgileri kimseyle paylaşma." yazar ve girişte yeni bir şifre belirlemen istenir.
Somut olarak:
- Şifreni ortak bir sohbet grubuna, bir tabloya ya da bir ekran görüntüsüne koyma.
- Aynı şifreyi başka bir sitede kullanma. Başka bir yerde sızan bir şifre, burada ilk denenen şifre olur.
- Bir şifre yöneticisi kullan; uzun ve rastgele bir şifreyi ezberlemek zorunda kalmazsın.
- Bottan gelen geçici şifreyi ilk girişte değiştir. Zaten değiştirmeden hesapta hiçbir işlem yapamazsın.
Bot sana şifre sormaz
Botun gönderdiği mesajlar arasında senden şifre, geçici şifre ya da Telegram'ın giriş kodunu isteyen bir mesaj yok. Bot şifre gönderir — yalnızca yukarıdaki iki durumda — ama şifre istemez.
Botun senden isteyebileceği tek kişisel bilgi telefon numarandır. O da isteğe bağlıdır, yalnızca Telegram'ın kendi "Numaramı paylaş" düğmesiyle paylaşılır ve "Şimdi değil" diyerek geçebilirsin. Girişin buna bağlı değildir.
Telegram'da bizim adımızı taşıyan ama şifreni ya da Telegram'ın sana gönderdiği giriş kodunu isteyen bir hesapla karşılaşırsan konuşmayı orada bitir. Telegram'ın giriş kodu, hiçbir hizmetin senden isteyeceği bir şey değildir.
Şifreni değiştirmek
Şifreni istediğin zaman Şifreni değiştir sayfasından değiştirebilirsin: mevcut şifre, yeni şifre ve tekrarı. Yeni şifre en az 10 karakter olmalı, harf ve rakam içermeli, kullanıcı adını içermemeli ve mevcut şifreyle aynı olmamalı.
Değişikliğin önemli bir yan etkisi var: hesabının bütün açık oturumları kapatılır, yalnızca şifreyi değiştirdiğin tarayıcı yeni bir oturumla devam eder. Başka bir cihazda açık kalmış bir oturumdan şüpheleniyorsan, şifreni değiştirmek o oturumu da sonlandırır.
Sitede bir "şifremi unuttum" bağlantısı yok. Şifreni unutursan yönetim şifreni sıfırlar. Yeni geçici şifre, bot Telegram hesabına ulaşabiliyorsa bot üzerinden gönderilir ve girişte yine değiştirmen istenir.
Hatalı denemeler
Yanlış kullanıcı adı da yanlış şifre de aynı cevabı verir: "Kullanıcı adı veya şifre hatalı." Böylece giriş ekranı, dışarıdan birine hangi kullanıcı adlarının var olduğunu söylemez.
Aynı kullanıcı adıyla aynı internet bağlantısından art arda hatalı denemeler yapılırsa o bağlantıdan girişler bir süre durdurulur ve "Çok fazla hatalı deneme. Bir süre sonra tekrar dene." yazar. Bu sınır hesabın tamamını kilitlemez. Kullanıcı adını tahmin eden biri kendi bağlantısından deneme yaparak seni hesabından kilitleyemez; sen doğru şifreyle kendi bağlantından girmeye devam edersin.
Telegram ile giriş: sayı eşleştirme
Üyelerin girişi Telegram botu üzerinden çalışır. Giriş sayfasında "Telegram ile giriş yap"a bastığında:
- Tarayıcında büyük, iki basamaklı bir sayı belirir: "Telegram'da bu sayıya bas". Altında kalan süre yazar; istek 2 dakika geçerlidir.
- Telegram açılır ve bot sana bir giriş isteği gönderir. Mesajda isteğin hangi tarayıcı ve işletim sisteminden geldiği ve saati yazar. Altında üç sayı ve bir Reddet düğmesi durur. Telegram kanalımıza henüz katılmadıysan bot önce kanala katılmanı isteyebilir; sayılar ondan sonra gelir.
- Tarayıcında gördüğün sayıya basarsın; tarayıcın giriş yapar.
Yalnızca kendi ekranında gördüğün sayıya bas
Sayı eşleştirmenin var olma sebebi bir saldırı türü. Biri kendi tarayıcısında bir giriş başlatır ve oluşan Telegram bağlantısını sana gönderir, yanına da "şuna bir bak" gibi masum bir cümle ekler. Bağlantıyı açıp girişi onaylarsan, giriş onun tarayıcısında, senin hesabınla gerçekleşir.
Sayı eşleştirme bunu zorlaştırır, çünkü o girişi sen başlatmadıysan senin ekranında bakacağın bir sayı yoktur. Kural tek cümle:
Kendi tarayıcında, kendi başlattığın bir giriş ekranında gördüğün sayı yoksa, bottaki hiçbir sayıya basma.
Birinin sana "ekranımda 47 yazıyor, sen de 47'ye bas" demesi, tam olarak bu saldırının kendisidir. Yanlış sayıya basmak girişi iptal eder: bot "Yanlış sayı. Bu giriş iptal edildi" der ve aynı istek için ikinci bir deneme hakkı yoktur.
Başlatmadığın bir girişi reddet
Bot sana bir giriş isteği gönderdiyse ve o anda sen giriş yapmıyorsan Reddete bas. Bot "Giriş reddedildi." der, isteği başlatan tarayıcı da girişin reddedildiğini görür. Reddetmek yeni bir hesap açmaz ve hesabında hiçbir şeyi değiştirmez; yalnızca o isteği bitirir.
Mesajdaki tarayıcı ve işletim sistemi bilgisine de bak. Telefonundan giriş yapıyorsan ve istek bir masaüstü tarayıcısından geliyorsa, o istek senin değildir.
Arka planda işleyen başka korumalar da var:
- Bağlantıyı ilk açan Telegram hesabı isteğin sahibi olur. Başka bir hesap aynı bağlantıyı açarsa bağlantının süresi dolmuş sayılır.
- Oturum yalnızca girişi başlatan tarayıcıya verilir. Bir ekran görüntüsünde ya da bir kayıtta görünen bağlantı, onu gören kimseyi giriş yaptırmaz.
- Her istek tek kullanımlıktır.
- Bu yol yalnızca üye hesapları içindir. Site yöneticileri ve bayiler bu yolla giriş yapamaz; bot onları diğer giriş yollarına yönlendirir.
Giriş bağlantısını paylaşma
Girişin başında oluşan Telegram bağlantısı yalnızca senin içindir. Kimseye gönderme, kimseden gelenini açma. Sitedeki sohbet, içinde bot giriş bağlantısı bulunan mesajları zaten kabul etmez; Telegram grup davet bağlantıları da sohbette reddedilir.
Telegram hesabını da koru
Üye girişinde tek anahtar Telegram hesabın. Telegram'ın iki adımlı doğrulamasını aç ve Telegram'ın sana gönderdiği giriş kodunu kimseyle paylaşma. Telegram ile girişin arkasındaki mantık ayrı bir yazıda anlatılıyor.
Sahte sayfaları tanımak
Şifre çalmanın en kolay yolu, gerçeğine benzeyen bir giriş sayfasıdır. Sahte sayfa şifreni ister, sen yazarsın, sayfa seni gerçek siteye yönlendirir ve bir şey olduğunu fark etmezsin.
Korunmanın yolu adrese bakmak:
- Sitenin adresi betpixel.art. Bayi girişi
betpixel.art/bayi-girisi, şifre değişikliğibetpixel.art/bayi/sifreadresindedir. - Adres çubuğunda alan adının son iki parçasına bak.
betpixel.art.giris-guvenli.comadresinin sahibigiris-guvenli.com'dur; baştaki kısım yalnızca bir alt alan adıdır. - Tire eklenmiş ya da harfi değiştirilmiş benzerlerine dikkat et:
bet-pixel.art,betpixelart.comgibi. - Bazı harfler başka alfabelerdeki eşleriyle gözle ayırt edilemez. Bu tür adreslerin nasıl tanınacağını punycode ve homograf alan adları yazısında anlattık.
- Şifreni bir mesajdaki bağlantıdan açılan sayfaya değil, kendi yer iminden ya da adresi kendin yazarak açtığın sayfaya gir.
Bir de şunu bil: tuvaldeki bir reklamdan "Siteye git" ile ulaştığın site, bir reklam verenin sitesidir. Orada BetPixel Art şifreni isteyen bir form varsa, o form bizim değildir.
Bir sayfa şifreni istiyor ve adresinden emin değilsen sayfayı kapat, adresi kendin yaz.
Paylaşılan bir bilgisayardaysan
- İşin bitince Çıkış yap.
- Tarayıcının şifreni kaydetmesine izin verme.
- Bir şeyden şüphelendiğin anda şifreni değiştir; diğer bütün oturumlar kapanır.
Kısa özet
- Bayi şifreni kimse bilmemeli; sistemde şifrenin kendisi saklanmıyor.
- Bot şifre ister gibi yazıyorsa o mesaj bizden değildir.
- Telegram girişinde yalnızca kendi ekranında gördüğün sayıya bas; başlatmadığın isteği Reddet.
- Giriş bağlantısını kimseyle paylaşma, kimseden gelenini açma.
- Şifreni yalnızca adres çubuğunda betpixel.art yazan sayfaya gir.