Pano Yöneticileri Şifrelerinizi Görebilir mi?

Evet, teknik olarak görebilir. macOS panosunu okuyan her uygulama kopyaladığınız bir şifreyi de okuyabilir ve pano yöneticisi tam olarak böyle bir uygulamadır. Pratikte ise düzgün çalışan pano yöneticileri, şifre yöneticisinin “gizli” (concealed) olarak işaretlediği içerikleri atlar. Maccy gibi yerel öncelikli (local-first) ve açık kaynaklı bir araç ise yakaladığı hiçbir şeyi Mac’inizin dışına göndermez.

Efsane: “Pano özeldir”

Değildir. macOS pasteboard’u, tüm sistemin paylaştığı ortak bir not kağıdıdır. Cmd+C’ye bastığınızda veri, diğer uygulamaların da okuyabildiği genel bir pasteboard’a yazılır. “Bunu yalnızca yapıştırdığım uygulama görebilsin” diyen, öğe bazında bir erişim denetimi yoktur.

Pano yöneticilerini mümkün kılan da bu tasarımdır. Dolayısıyla asıl soru, bir pano yöneticisinin şifrelerinizi görüp göremeyeceği değil, gördükten sonra onlarla ne yaptığıdır. Bu da üç şeye bağlıdır: kopyalanan içeriğin hassas olarak işaretlenip işaretlenmediği, uygulamanın bu işarete uyup uymadığı ve geçmişin nerede saklandığı.

Pano yöneticisi kopyaladığınız şeyi nasıl “görür”?

Pano yöneticileri genellikle pasteboard’u değişiklik için izler. Değişiklik sayacı arttığında uygulama yeni içeriği okur ve kurallarına göre, daha sonra yapıştırabilmeniz için geçmişine bir kopya kaydeder.

Bu süreçte bir şifre ile bir market listesi arasında hiçbir fark gözetilmez. Metin yalnızca bir string’dir. İkisini ayıran şey, kaynak uygulamanın içeriğe eklediği meta veridir.

Concealed ve transient pasteboard türleri

Topluluk tarafından benimsenmiş gayriresmî bir kural (nspasteboard.org’da belgelenmiştir), uygulamaların pano içeriğini ek pasteboard türleriyle etiketlemesine olanak tanır:

1Password ve Bitwarden gibi büyük şifre yöneticilerinin bir kimlik bilgisini kopyaladığınızda concealed bayrağını koyduğu genel olarak bilinir . Bu kurala uyan bir pano yöneticisi bayrağı görür ve öğeyi atlar. Kural gönüllülük esasına dayandığı için iki tarafın da iş birliği yapması gerekir.

Maccy şifreleri kaydeder mi?

Maccy App varsayılan olarak concealed, transient veya otomatik üretilmiş olarak işaretlenen pano öğelerini yok sayar. Yani iş birliği yapan bir şifre yöneticisinden kopyaladığınız şifre geçmişinizde görünmemelidir.

Umut etmek yerine emin olmak istiyorsanız bilmeniz gereken birkaç ayrıntı var:

• Yerel öncelikli çalışır. Maccy geçmişinizi Mac’inizde tutar. Bulut senkronizasyonu, hesap veya panonuzu alan bir sunucu yoktur. Güncelleme denetimleri pano verisinden ayrı bir konudur .
• Açık kaynaktır. Kod GitHub‘da herkese açıktır; yukarıdaki iddialara körü körüne güvenmek yerine denetleyebilirsiniz.
• Yapılandırılabilir. Neyin atlanacağını kendiniz belirleyebilirsiniz; bir sonraki bölümde anlatıyorum.

Açık: Bayrağı olmayan şifreler

Koruma yalnızca kaynak uygulamanın işaretlediği içerikleri kapsar. Bir şifreyi düz metin notundan, bir elektronik tablodan, terminalden, e-postadan veya sohbet mesajından kopyalarsanız, pano yöneticisine bunun hassas olduğunu söyleyen hiçbir şey yoktur. Sıradan bir string gibi görünür ve kaydedilir.

Bayrak yaklaşımının dürüst sınırı budur. Uygulama kadar sizin alışkanlıklarınız da önemlidir.

Maccy’yi şifreler için nasıl sıkılaştırırsınız?

Maccy Mac‘nin ayarlarını açın ve Ignore (Yok Say) sekmesine bakın. Etiketler sürümler arasında değişebilir, bu yüzden kurulu sürümünüzle karşılaştırın .

1. Belirli uygulamaları yok sayın. Şifre yöneticinizi (ve SSH ya da API anahtarı aracı gibi sırlarla uğraşan diğer uygulamaları) ekleyin. Bu uygulamalar ön plandayken yapılan kopyalamalar, concealed bayrağını koymayı unutsalar bile atlanır.
2. Yok sayılan pasteboard türlerini gözden geçirin. Concealed ve transient türlerinin hâlâ listede olduğunu doğrulayın. Bir nedeniniz yoksa kaldırmayın.
3. Düzenli ifade (regex) filtresi kullanın. Maccy, bir regex ile eşleşen kopyalanmış metni yok saymayı destekler; bu, biçimi öngörülebilir sırlarda işe yarar. Örneğin ^sk-[A-Za-z0-9]{20,}$ birçok API anahtarına benzeyen string’leri atlar. Herhangi bir kalıbı kendi biçimlerinize karşı test etmeden güvenmeyin; fazla geniş bir regex saklamak istediğiniz şeyleri de gizleyebilir.
4. Hassas oturumlardan sonra geçmişi temizleyin. Maccy’nin menüsünde Clear (Temizle) seçeneği var. Bayrak koymayan kaynaklardan kimlik bilgileriyle çalıştığınız bir oturumun ardından kullanın .
5. Belirli işler için geçmişi kapatın. Bir dizi sırrı art arda yapıştıracaksanız, yakalamayı duraklatmak veya ilgili uygulamayı yok saymak, sonradan temizlik yapmaktan daha düzgün bir yoldur.

Hangi pano yöneticileri daha risklidir?

Risk kategoriden değil, mimariden gelir. Önemli olan soruları karşılaştıralım:

Senkronize edilen bir pano geçmişi, yakalanan şifrelerinizin artık başkasının sunucularında durduğu anlamına gelir. Aktarım sırasında şifrelenmiş olsa bile bu, yalnızca yerel çalışan bir aracın hiç taşımadığı bir saldırı yüzeyi ekler. Bu, belirli bir rakibin verileri kötü yönettiği iddiası değildir. Herhangi bir pano yöneticisinde ilk kontrol etmeniz gereken şeyin, geçmişin cihazınızdan çıkıp çıkmadığı olmasının nedeni budur.

Zararlı yazılımlar ve diğer uygulamalar ne olacak?

Asıl tehdit modeli bu ve pano yöneticileriyle ilgisi yok. Pasteboard, sizin yetkinizle çalışan her süreç tarafından okunabildiği için, kötü amaçlı bir yazılım da onu aynı kolaylıkla yoklayabilir. Özellikle kripto para adreslerini hedef alan, panoyu ele geçiren zararlı yazılımlar gerçekten vardır.

Apple bu konuda önlemleri sıkılaştırıyor. Son macOS sürümleri, bir uygulama kullanıcı eylemi olmadan pasteboard’u programatik olarak okuduğunda uyarılar veya denetimler getirdi; davranış sürüme göre değişiyor . Bu uyarılarda pano yöneticinizin adı da geçebilir, çünkü pasteboard’u sürekli okur. Bu tür bir uygulama için beklenen bir durumdur, bir şeylerin ters gittiğinin işareti değildir.

İki nokta daha:

• Evrensel Pano (Universal Clipboard). Handoff açıksa, kopyalanan içerik Apple cihazlarınız arasında iCloud‘un şifreli aktarımıyla dolaşabilir. Bu, herhangi bir pano yöneticisinden bağımsız, Apple’ın kendi özelliğidir.
• Şifre yöneticilerinde otomatik temizleme. Birçok şifre yöneticisi, kısa bir süre sonra panoyu siler. Bu, panoyu daha sonra okumaya çalışan birine karşı işe yarar; ancak öğeyi daha önce yakalamış bir pano yöneticisini etkilemez. Concealed bayrağının önemi de buradan gelir.

Mantıklı bir şifre yönetimi rutini

Güvende kalmak için pano geçmişinden vazgeçmeniz gerekmez. Birkaç alışkanlık riskin büyük kısmını karşılar:

1. Mümkün olduğunda kopyala-yapıştır yerine şifre yöneticinizin otomatik doldurmasını tercih edin. Otomatik doldurma çoğu zaman panoyu tamamen devre dışı bırakır.
2. Şifre yöneticinizi pano yöneticisinin yok sayma listesine ekleyin.
3. Sırları düz metin dosyalarından, sohbetlerden veya notlardan kopyalamaktan kaçının. Zorunluysanız, sonrasında geçmişi temizleyin.
4. Verileri yerel olarak saklayan ve kodunu okuyabildiğiniz bir pano yöneticisi seçin.
5. macOS’u güncel tutun; pasteboard gizlilik korumaları hâlâ gelişiyor.

Sık sorulan sorular

Bir pano yöneticisi şifrelerimi çalabilir mi?

Güvenilir bir yönetici çalmaz, ama panoyu okuyan her uygulama kopyaladığınız şeyi görme yeteneğine sahiptir. Kodunu inceleyebileceğiniz, yerel öncelikli ve açık kaynaklı bir araç en güvenli seçimdir; çünkü verinin gidebileceği bir yer yoktur.

Maccy, 1Password veya Bitwarden’dan gelen şifreleri kaydeder mi?

Varsayılan olarak concealed işaretli öğeleri atlar; bu şifre yöneticileri genellikle bu işareti koyar . Daha fazla emin olmak için onları Maccy Clipboard‘nin yok sayılan uygulamalar listesine ekleyin.

Pano geçmişim şifreli mi?

Bu, uygulamaya ve sisteminize bağlıdır. FileVault açık bir Mac’te, durağan veriler diskin geri kalanıyla birlikte korunur. Belirli bir pano yöneticisinin kendi şifrelemesini ekleyip eklemediği uygulama bazında doğrulanması gereken bir konudur .

Mac’te kopyaladığım şeyi başka uygulamalar okuyabilir mi?

Evet. Pasteboard sistem genelinde paylaşılır; son macOS sürümleri programatik okumalar etrafında bildirimler veya denetimler eklemeye başladı, ancak davranış sürümünüze göre değişir.

İçinde şifre bulunan pano geçmişini nasıl silerim?

Pano yöneticinizin temizleme işlevini kullanın ve destekleniyorsa tek tek girdileri silin. Maccy’de bu, menüdeki Clear seçeneğidir. Ardından zararsız bir şey kopyalayın ki canlı pano artık sırrı barındırmasın.

Sonuç

Pano yöneticileri şifrelerinizi, diğer tüm uygulamaların görebildiği nedenle görebilir: macOS panosu paylaşımlıdır. Sizi koruyan şey katmanlı bir düzendir: şifre yöneticinizin concealed türü bayrağı, bir yok sayma listesi, yalnızca yerel depolama ve riskli oturumlardan sonra geçmişi temizleme alışkanlığı. Denetleyebildiğiniz ve asla dışarıya veri göndermeyen bir araç, en büyük belirsizliği ortadan kaldırır.

Kendi kurulumunuzu hızlıca denemek isterseniz, şifre yöneticinizden bir şifre kopyalayın, ardından pano geçmişinizi açın. Orada yoksa bayrak çalışıyor demektir. Peki siz hassas metni hangi kaynaklardan kopyalıyorsunuz ve bunlar bu bayrağı koymuyor olabilir mi?