Temel sorun: aracıya güvenmek zorundasınız#
Bir proxy, trafiğinizin yolundaki bir duraktır. Düz HTTP ile giden her şeyi okuyabilir, değiştirebilir ve kaydedebilir. Ücretsiz bir proxy’nin kim tarafından, hangi amaçla işletildiği çoğu zaman bilinmez. Bazıları gönüllü ya da yanlışlıkla açık bırakılmış sunucular olabilir; bazıları ise bilinçli olarak veri toplamak için açılmıştır. Hangisiyle karşılaştığınızı dışarıdan anlamanın güvenilir bir yolu yoktur.
Başlıca riskler#
| Risk | Nasıl ortaya çıkar? | Ne kadar ciddi? |
|---|---|---|
| Veri okunması | Düz HTTP trafiği, form verisi ve çerezler proxy tarafından görülebilir | Yüksek: oturum ve parola sızabilir |
| İçerik değiştirme | Proxy sayfaya reklam, betik ya da zararlı bağlantı ekleyebilir | Yüksek: HTTP sitelerde |
| Sertifika müdahalesi | Proxy kendi sertifikasını yüklemenizi isteyip HTTPS’i çözebilir | Çok yüksek: yüklenirse tüm HTTPS görünür olur |
| Kararsızlık | Adresler kısa sürede kapanır, hız sürekli değişir | Orta: işlerin kesilmesine yol açar |
| Kayıt tutma | Hangi sitelere gittiğiniz sunucuda kaydedilebilir | Orta: gizlilik beklentisini boşa çıkarır |
| Suç ortamı riski | Kötü niyetli kişiler başkalarına ait trafiği sizin IP’nizden yönlendirebilir | Değişken |
Düz HTTP trafiği tamamen açıktır
HTTP bağlantısında proxy her isteği ve yanıtı okuyabilir. Giriş formu HTTP üzerinden gönderiliyorsa kullanıcı adı ve parola proxy’nin görebileceği biçimde taşınır. Günümüzde pek çok site HTTPS kullanır, fakat HTTPS bile proxy’nin hangi siteye bağlandığınızı görmesini engellemez. Bkz. HTTPS proxy nedir.
Sertifika yüklemeniz istenirse durun
Meşru kurumsal ağlar bazen trafiği denetlemek için cihazlara kök sertifika yükletir. Herkese açık bir proxy’nin sizden sertifika kurmanızı istemesi ise ciddi bir uyarı işaretidir. Böyle bir sertifika yüklendiğinde proxy HTTPS içeriğini de okuyabilir. Tarayıcı bir sertifika hatası veriyorsa bağlantıyı kesin.
Güvenilirlik ve süreklilik#
Güvenlik dışında bir de pratik sorun vardır: ücretsiz proxy’lerin çoğu kalıcı değildir. Adres bir gün çalışır, ertesi gün yanıt vermez. Hız da aynı sunucuyu paylaşan kişilerin sayısına göre değişir. Bu yüzden ücretsiz bir adresi düzenli iş akışına bağlamak sorun çıkarır. Doğrulayıcımız yalnızca kaydın o an ulaşılabilir olup olmadığını sınar; güvenli, hızlı ya da kalıcı olduğunu iddia etmez.
Kötü niyetli bir proxy nasıl fark edilir?#
Kesin bir tespit yöntemi yoktur, ancak bazı belirtiler dikkat çekicidir: bilinen bir sitede beklenmedik reklamlar veya açılır pencereler, sayfa içeriğinde farklılık, sürekli çıkan sertifika uyarıları ya da sizi başka bir adrese yönlendiren bağlantılar. Bu belirtilerden biriyle karşılaşırsanız proxy ayarını hemen kaldırın ve o oturumda girilen bilgilerin tehlikede olduğunu varsayarak ilgili parolaları değiştirin.
Tersi de doğrudur: hiçbir belirti görmemeniz proxy’nin güvenli olduğunu kanıtlamaz. Pasif bir kayıt tutma, görünür hiçbir iz bırakmadan gerçekleşebilir. Bu yüzden önlem, belirti beklemek değil, baştan hassas veri geçirmemektir.
Hukuki ve etik boyut#
Bir proxy’yi kullanmak başlı başına yasa dışı değildir, ama proxy üzerinden yapılan işlemler yine sizin sorumluluğunuzdadır. Bir sitenin kullanım koşullarını ihlal etmek, başkasının hesabına yetkisiz erişmek ya da yasaklı faaliyetleri gizlemek proxy kullanılsa da sorumluluğu ortadan kaldırmaz. Ayrıca bilmeden açık bir proxy’nin çıkış noktası olursanız, IP adresiniz başka kişilerin eylemleriyle ilişkilendirilebilir. Bu nedenle proxy’yi yalnızca izinli ve meşru işler için kullanın.
Kullanacaksanız alınacak önlemler#
- Hassas olmayan işler seçin: sayfanın başka bir ülkeden görünümünü incelemek, bir aracın proxy ayarını denemek gibi.
- Yalnızca HTTPS sitelerde ve içeriğin zaten herkese açık olduğu durumlarda kullanın.
- Hiçbir hesaba giriş yapmayın; parola, çerez veya ödeme bilgisi girmeyin.
- Hiçbir sertifika yüklemeyin ve tarayıcı uyarılarını yok saymayın.
- Önce proxy kontrol aracı ile adresin gerçekten yanıt verdiğini sınayın.
- İşiniz bitince proxy ayarını kaldırın; böylece tüm trafiğiniz farkında olmadan o sunucudan geçmeye devam etmez.
Tarayıcıda proxy’yi yanlışlıkla açık bırakmak yaygın bir hatadır. Aşağıdaki komut, bir isteğin proxy dışında kalmasını sağlayarak yalnızca tek bir komutta deneme yapmanızı kolaylaştırır; ortam değişkenlerine kalıcı ayar yazmak yerine komuta özel --proxy bayrağını kullanın.
# Yalnızca bu komut için proxy kullan, sistem ayarına dokunma
curl --proxy http://203.0.113.10:8080 --max-time 10 https://api.ipify.org
# Bir komutta proxy’yi bilerek devre dışı bırak
curl --noproxy "*" https://api.ipify.orgKendi cihazınızı korumak#
Riskin bir yönü de proxy kullanıcısı olmak değil, bilmeden proxy sunucusu olmaktır. Güvenmediğiniz kaynaklardan indirilen “hız artırıcı” ya da “ücretsiz VPN” gibi yazılımlar cihazınızı başkalarının trafiği için çıkış noktasına çevirebilir. Bilmediğiniz yazılımları kurmamak, yönlendiricinizde gereksiz port yönlendirmelerini kapatmak ve güvenlik güncellemelerini yapmak bu riski azaltır.
Ne zaman ücretli çözüm düşünmeli?#
Hesaplarla çalışıyorsanız, sürekli erişim gerekiyorsa veya sorumluluk alacak bir sağlayıcı istiyorsanız ücretsiz liste yerine tanımlı bir hizmet daha makuldür. Bu, ücretli bir hizmetin her riski ortadan kaldırdığı anlamına gelmez; ancak kullanım koşulları, kimlik doğrulama ve bir muhatap bulunur. Seçenekler için ürünlerimize bakabilir, genel çerçeve için ücretsiz proxy listesi nedir rehberini okuyabilirsiniz.