Güvenlik açıklamaları

#Trafiğiniz nasıl korunur?

Colitu, cihazınız ile Colitu VPN sunucusu arasındaki trafiği şifreler. Şifreleme VPN sunucusunda biter: oradan web sitesine kadar olan kısımda trafiğiniz yalnızca sitenin kendi HTTPS bağlantısıyla korunur.

• Tüm bağlantı modları yerleşik protokolleri (Hysteria2, VLESS Reality ve XHTTP, Trojan, Shadowsocks 2022) bilinen uygulamalar üzerinden (Xray-core, sing-box, Hysteria) kullanır. Colitu'nun kendine ait bir şifreleme yöntemi yoktur.
• Sunucunun kimliği her bağlantıda doğrulanır (TLS sertifikası, Reality anahtarı veya önceden paylaşılan anahtarla); sahte bir sunucuya bağlanmanız engellenir.
• Sunucuların TLS sertifikaları otomatik olarak yenilenir.
• Bilinen sınırlar: Trojan TLS 1.2 veya 1.3 kabul eder (sunucu henüz 1.3'ü zorunlu kılmaz), Shadowsocks 2022'de ileriye dönük gizlilik (forward secrecy) yoktur.

Aynı Wi-Fi ağındaki kişiler, internet sağlayıcınız veya ağ yöneticisi tünelden hangi sitelere gittiğinizi ya da ne gönderdiğinizi göremez. Bir Colitu sunucusuna bağlı olduğunuzu, ne zaman bağlı olduğunuzu ve yaklaşık ne kadar veri kullandığınızı görebilirler. Uygulamaların tünel dışından gönderdiği trafik (yerleşik bir listedeki bazı bölgesel siteler, yerel ağ trafiği gibi) korunmaz; bkz. Bölünmüş tünel.

VPN sunucusu ise teknik olarak IP adresinizi ve trafiğinizin nereye gittiğini görür, HTTPS bağlantılarının içeriğini göremez. VPN sizi anonim yapmaz. Hangi tarafın neyi görebildiği Güvenlik Teknik Belgesi'nde anlatılır.

#Sunucu adresleri

Sunucu adresleri ve bağlantı ayarları uygulama içinde güvenli şekilde yönetilir ve herkese açık gösterilmez. Bu, sunuculara yönelik hedefli saldırı ve engelleme riskini azaltır.

#Hesabınızın korunması

• Parolalar yalnızca Argon2id özeti (hash) olarak saklanır; Colitu çalışanları dahil kimse parolanızı göremez.
• Başka hiçbir yerde kullanmadığınız güçlü bir parola seçin ve ek koruma için iki adımlı doğrulamayı açın.
• Her cihaz, her abonelik bağlantısı ve her elle yapılandırma dışa aktarımı sunucularda kendi bağlantı bilgisini alır. Cihaz yönetimi üzerinden bir cihazı kaldırdığınızda yaklaşık 15 saniye içinde bağlantısı kesilir; abonelik bağlantısını yenilediğinizde de eski bağlantının bilgisi geçersiz olur. Bir cihaz kaybolursa onu kaldırın ve parolanızı da değiştirin; bu, tüm cihazlardaki ve web'deki oturumları kapatır.
• Plan hakkınızdan fazla cihaz bağlanamaz; engellenen denemeler hesabınıza kaydedilir.
• Şüpheli girişleri fark etmek için hesap sayfanızdaki oturumları kontrol edin ve tanımadığınız oturumları kapatın; ayrıntılar için Hesap güvenliği ve Passkey ile giriş.

#İki adımlı doğrulama (2FA)

İki adımlı doğrulama, parolanıza ek olarak bir kimlik doğrulayıcı uygulamadan kod ister.

• Yalnızca web sitesinden açılır

  colitu.com/account/security sayfasına gidip bir kimlik doğrulayıcı uygulamayla (zamana dayalı tek kullanımlık kod, TOTP destekleyen herhangi bir uygulama) adımları izleyin. Uygulamaların içinden kurulamaz.

• Kurtarma kodları

  açtığınızda 10 adet tek kullanımlık kurtarma kodu alırsınız. Bunları telefonunuzdan ayrı, güvenli bir yerde saklayın. Kimlik doğrulayıcı uygulamanıza erişimi kaybederseniz her kod bir kez kullanılabilir.

• Uygulamalarda

  uygulamalar kodu yalnızca giriş yaparken, parola sıfırlandıktan sonra da sorar. Windows 2.6.0, Android 2.6.0, Linux 1.2.0 ve iOS 5.5.0 sürümlerinden itibaren desteklenir; daha eski bir sürüm, giriş yapabilmeniz için uygulamayı güncellemenizi söyler.

• Hesaba giremiyor musunuz?

  Destek ekibine yazın. Hesabın size ait olduğunu doğruladıktan sonra destek iki adımlı doğrulamayı sıfırlayabilir.

#Sizin dikkat etmeniz gerekenler

• Parolanızı veya doğrulama kodunuzu kimseyle paylaşmayın. Colitu çalışanları ve Colitu Bot bunları asla istemez.
• Uygulamaları yalnızca colitu.com/download üzerinden indirin.
• Hesabınızı birden fazla kişiyle paylaşmayın; her kişi için ayrı cihaz hakkı gerekir.

#Açık kaynak uygulamalar

Windows, Android, iOS ve Linux uygulamalarımızın kaynak kodu GPL-3.0 lisansıyla GitHub'da yayınlanır: colitu/windows, colitu/android, colitu/ios ve colitu/linux. Uygulamanın cihazınızda ne yaptığını herkes inceleyebilir ve kendisi derleyebilir. Sunucu yazılımı ve hesap sistemi açık kaynak değildir. Neden açık kaynak olduğumuzu ve kodda neleri doğrulayabileceğinizi Açık kaynak sayfasında anlatıyoruz.

#Denetim durumu

Colitu henüz bağımsız bir güvenlik denetiminden veya sızma testinden geçmedi. Mimarimiz, bilinen sınırlarımız ve kendi başınıza neleri kontrol edebileceğiniz Güvenlik Teknik Belgesi'nde anlatılır.

#Güvenlik açığı bildirme

Güvenlik açıklarını, nasıl tekrarlanacağını ve etkilenen sürümü yazarak gizli olarak [email protected] adresine gönderin. Bildirimleri 3 iş günü içinde onaylar, 10 iş günü içinde ilk değerlendirmeyi iletiriz. İyi niyetli araştırmalara karşı hukuki yola başvurmayız, isteyen araştırmacıların adını anarız; ücretli ödül programımız yoktur. Lütfen açığı kamuya duyurmadan önce düzeltmemiz için bize zaman tanıyın. Politikanın tamamı: Güvenlik açığı bildirimi.