Bir uygulamanın açıklamasında “güvenli”, “özel” veya “korumalı” yazması kolaydır. Gerçek güven sinyalleri ise birbirini doğrulamak zorundadır: uygulamayı yayımlayan kişi veya şirket belli olmalı, istediği izinler işleviyle uyuşmalı, veri beyanı gizlilik politikasıyla çelişmemeli ve uygulama “hayır” yanıtınıza saygı göstermelidir.
Güvenlik tek bir rozetle anlaşılmaz
Hiçbir kontrol listesi bir uygulamanın gelecekte hiç hata yapmayacağını veya bir güncellemeden sonra değişmeyeceğini garanti edemez. Yapabileceğiniz şey, kalan riskin kullanacağınız özellik ve vereceğiniz veri için makul olup olmadığını değerlendirmektir. Parola yöneticisi, klavye, VPN, banka veya sağlık uygulamasında aradığınız güven seviyesi, çevrimdışı çalışan basit bir oyundan daha yüksek olmalıdır.
Bir örnek üzerinden düşünün
Aynı işi yapan iki belge tarama uygulaması bulduğunuzu varsayın. İlki, kimliği belli bir şirket tarafından yayımlanmış; kamera iznini yalnızca tarama başladığında istiyor; bulut işlemenin isteğe bağlı olduğunu açıklıyor ve hesap silme yolu sunuyor. İkincisinin sitesi açılmıyor, daha ilk ekranda kişi listesi ve konum izni istiyor, deneme aboneliğinin ücretini gizliyor. Burada kararı uygulama simgesi değil, sinyallerin oluşturduğu bütün belirler.
Geliştiricinin kimliği doğrulanabiliyor mu?
Mağazadaki geliştirici adı, internet sitesi, gizlilik politikası ve destek e-postası aynı kişi veya kurumu işaret etmelidir. Küçük ve bağımsız bir geliştirici de güvenilir olabilir; mesele şirketin büyüklüğü değil, gerektiğinde ulaşılabilir ve hesap verebilir olmasıdır.
Geliştiricinin diğer ürünlerine bakın. Aynı alanda çalışan birkaç uygulama mantıklıdır. Bir gün içinde yayımlanmış gibi görünen, isimleri popüler markalara benzeyen onlarca ilgisiz uygulama daha fazla araştırma gerektirir.
İzinler uygulamanın işiyle orantılı mı?
Her izni günlük dile çevirin. Mikrofon ses kaydı yapabilmek, kişi izni rehbere erişebilmek, bildirim erişimi gelen bildirimlerin içeriğini okuyabilmek demektir. Erişilebilirlik hizmeti ise ekrandaki içeriği görebilir ve kullanıcı adına işlem yapabilir. Bunların meşru kullanım alanları vardır; fakat “daha iyi deneyim için gerekli” açıklaması tek başına yeterli değildir.
İzin talebinin zamanına dikkat edin. Fotoğraf çekerken kamera izni istemek anlamlıdır. Duvar kâğıtlarına bakarken mikrofon talebi gelmesi bağlam dışıdır. Önce reddedin, hangi özelliğin çalışmadığını görün ve daha dar bir seçenek olup olmadığını kontrol edin.
Veri güvenliği ile gizlilik politikası aynı hikâyeyi mi anlatıyor?
Google Play’deki Veri güvenliği bölümü; geliştiricinin veri toplama, paylaşma, aktarım sırasında şifreleme ve silme seçenekleri hakkındaki beyanını gösterir. Gizlilik politikası bu özeti ayrıntılandırmalıdır. Örneğin konum verisinin hangi amaçla işlendiği, hangi hizmet sağlayıcılarla paylaşıldığı ve ne kadar süre saklandığı anlaşılmalıdır.
Google, beyanların doğruluğundan geliştiricinin sorumlu olduğunu açıkça belirtiyor. Bu nedenle tek bir satırı garanti olarak okumayın. İzinler, veri beyanı, politika ve uygulamanın gerçek davranışı aynı yönde oluyorsa güven güçlenir.
Bakım ve güncelleme izi var mı?
Son güncelleme tarihini uygulamanın türüyle birlikte değerlendirin. İletişim, finans, bulut depolama veya güvenlik aracı düzenli bakım gerektirir. Son yorumları güncelleme tarihleriyle karşılaştırın. Yeni sürümden sonra farklı kullanıcıların benzer şekilde açılır reklam, abonelik, oturum veya izin sorunu yaşaması dikkate alınmalıdır.
Ücretlendirme şeffaf mı?
Yanıltıcı abonelik kötü amaçlı yazılım olmayabilir ama kullanıcı güvenliğinin parçasıdır. Deneme süresi, yenileme aralığı, gerçek ücret ve iptal yöntemi ödeme onayından önce görülebilmelidir. Kapatma düğmesini saklayan, geri sayımla acele ettiren veya temel özelliği son anda ücretli yapan tasarımlar güveni azaltır.
Uygulama “hayır” yanıtına saygı gösteriyor mu?
İyi tasarlanmış bir uygulama, izni ilgili özellik açıldığında ister ve reddederseniz neyin çalışmayacağını söyler. Alakasız özellikleri kilitlemek, aynı talebi sürekli göstermek veya açıklama yapmadan kısıtlı ayarları açmaya zorlamak olumsuz sinyaldir. Android’in bazı güçlü ayarları özellikle dışarıdan yüklenen uygulamalarda kısıtlamasının nedeni, dolandırıcıların kullanıcıları bu yetkileri açmaya ikna etmeye çalışmasıdır.
Fazla değer verilen zayıf işaretler
- Yükleme sayısı: popülerlik görünürlük sağlar, güncel sürümün davranışını kanıtlamaz.
- Yıldız ortalaması: memnuniyeti gösterebilir, güvenlik testi değildir.
- Profesyonel ekran görüntüleri: iyi pazarlama, iyi veri yönetimi anlamına gelmez.
- Kilit veya kalkan simgesi: herkes tasarıma ekleyebilir.
- Tarama uyarısı çıkmaması: her gizlilik veya abonelik sorunu zararlı yazılım olarak sınıflandırılmaz.
Beş dakikalık değerlendirme yöntemi
�?u beş sorunun her “evet” yanıtına bir puan verin: Geliştirici kimliği tutarlı mı? İzinler özellikle eşleşiyor mu? Veri beyanı ile politika uyumlu mu? Güncelleme geçmişi inandırıcı mı? Ücret ve veri silme şartları anlaşılır mı?
Beş puan garanti oluşturmaz. Sıfır veya bir puan, alternatif aramak için güçlü nedendir. İki ya da üç puanda yapılacak işin hassasiyeti belirleyici olmalıdır. Bir fotoğraf filtresi için kabul ettiğiniz belirsizliği klavye veya banka uygulaması için kabul etmeyin.
Kurulumdan sonra sinyalleri yeniden okuyun
Uygulamanın ayarlar sayfasından izinleri, pil kullanımını ve mobil veri tüketimini inceleyin. Desteklenen telefonlarda Gizlilik kontrol paneli, kamera, mikrofon ve konumun yakın zamanda ne zaman kullanıldığını gösterir. Bir güncelleme yeni ve güçlü bir izin istiyorsa alışkanlıkla onaylamayın; uygulamayı yeniden değerlendirmeniz gerekir.
Aynı uygulama farklı kullanıcılar için farklı risk taşıyabilir
Bir yetişkinin kendi telefonunda kabul ettiği veri paylaşımı, çocuk hesabında veya iş telefonunda uygun olmayabilir. Çocukların kullandığı uygulamalarda reklam yönlendirmeleri, sohbet özellikleri, konum paylaşımı ve uygulama içi satın alma özellikle incelenmelidir. İş cihazında ise müşteri bilgileri, kurum hesabı ve dosya eşitleme politikaları devreye girer.
Aile içinde “mağazadaysa sorun yoktur” yaklaşımı yerine basit bir kural belirleyin: yeni uygulama kurulmadan önce yayımlayan hesap, izinler ve abonelik birlikte kontrol edilir. İş telefonlarında kişisel uygulama kurmadan önce kurumun yönetim politikasını okuyun. Güvenlik sinyalleri aynı kalsa bile korunacak verinin değeri ve cihazın kullanım amacı karar eşiğini değiştirir.
İlgili kontroller
Sinyalleri kurulum öncesi kontrol listesiyle uygulayın ve riskli uygulama belirtilerini inceleyin.