Aşı kimliği uygulamalarında veriler güvende mi?

Dünyanın dört bir yanında devletler Covid-19'un yayılmasını yavaşlatmak, aşı ve temas takibi yapabilmek için özel uygulamalar ve çözümler geliştiriyor. Ancak geçtiğimiz günlerde Avustralya hükümetinin geliştirdiği uygulamada saptanan bir güvenlik açığı ile aşı kimliğiuygulamalarının güvenilirliği ile ilgili kaygılar yeniden gündeme geldi.

DW'den Mehtap Demir'İn haberine göre, yazılım şirketi NordVPN'in Amerika'da bin kişiyle gerçekleştirdiği araştırmada, katılımcıların yüzde 38'i verilerinin çalınmasından endişe ederken; yüzde 35'i aşı kimliğiyerine çip kullanmayı tercih edeceğini belirtiyor. Uzmanlar da hassas verilerin depolandığı uygulamaları hedef alabilecek olası siber saldırıların geri dönüşü olmayan sonuçlarına karşı uyarıyor.

E-Nabız ve HES uygulamaları verilerimizi koruyor mu?
Türkiye'de e-Nabız ve Hayat Eve Sığar (HES) uygulaması üzerinden aşı sertifikası alınabiliyor. Uzmanlara göre, kişilerin hassas ve kritik bilgilerinin tutulduğu ve çalınmasının ciddi problemler yaratacağı bu sistemler ciddi bir gizlilik tehlikesi barındırıyor.

Bugüne dek uygulamaların zafiyetlerine ilişkin bir açıklama yapılmasa da ismini vermek istemeyen bir siber güvenlik uzmanına göre ufak bir araştırmayla bunları öngörmek mümkün. Zira, aşı kimliğialmanın mümkün olduğu e-Nabız sistemi birkaç kritik riski barındırıyor.

Birinci riski, e-Nabız'da aşı kimliğialmaya çalışırken iki faktörlü kimlik doğrulamasının olmaması oluşturuyor. E-Nabız üyeliğiyle giriş yapan bir kullanıcı istese de bu doğrulama özelliğini etkin duruma getiremiyor. Bu da parolayı veya o anki bağlantıyı, oturumu elde eden kişinin hesaba giriş yapabileceği manasına geliyor. Bir saldırganın parolayı ya da o anki bağlantıyı elde ederek bilgilere erişebilmesi mümkün.

Bir diğer açık, parola sıfırlama alanında olan SMS doğrulama olayının bypass edilebilmesi. Yani TC kimlik ve telefon numarası bilinen birinin