Tarayıcı profili yalıtımı: Gerçekte neler ayrılır?

“Ayrı profil” ifadesi, bir iş akışı ona dayanana kadar kesin görünebilir. Bir ürün farklı klasörü kasteder. Başkası süreç gözetimi, profile özel ağ politikası, şifreleme, kilitler, yedekleme ve ekip izinleri ekleyebilir. Etiket tek başına bu sınırların belirli bir birleşimini garanti etmez.

Bu nedenle pratik soru şudur: Neyden, hangi hataya veya kişiye karşı ayrılıyor; bunu hangi kanıt gösteriyor?

Birbirine kolay karıştırılan dört sınır

Sınır	Neyi ayırır?	Neyi kanıtlamaz?
Web kökeni	Bir sitenin betiklerle okunabilen depolamasını başka kökenden	Tek profil içinde aynı sitedeki iki girişin ayrılmasını
Tarayıcı profili	Bir profile bağlı tarayıcı durumu kümesini	Aynı işletim sistemi hesabına erişebilen başka kişiye karşı korumayı
Site Isolation ve korumalı alan	Farklı sitelerin web içeriğini kısıtlı oluşturucu süreçlerde	Her profile özel tarayıcı kurulumu veya ağ yığınını
İşletim sistemi hesabı, kapsayıcı veya sanal makine	Dosyaları, süreçleri, kimlik bilgilerini ve bazen ağ politikasını sistem sınırında	Yapılandırma olmadan tarayıcı hesaplarının otomatik ayrılmasını

Bu katmanlar farklı sorunları çözer. Web’in aynı köken kuralları, bir kökendeki normal betiğin başka kökenin depolamasını okumasını engeller. Chromium’un Site Isolation güvenlik modeli, siteler arasında korumalı oluşturucu süreç sınırları ekler. Tarayıcı profili bir kişinin veya iş akışının tarayıcı durumunu gruplar. İşletim sistemi hesabı veya sanal makine ise daha güçlü bir yerel tehdit ya da ana makine yalıtımı sorununu ele alır.

Bir katman hakkındaki iddia, başka katmanın kanıtı olarak kullanılmamalıdır.

Kalıcı tarayıcı profili normalde neleri ayırır?

Chromium, kullanıcı veri dizininin geçmiş, yer işaretleri ve çerezler gibi profil verilerini içerdiğini ve her profilin bu dizin içinde bir alt dizin olduğunu belgeler. Chrome profil rehberi de profillerin yer işaretlerini, geçmişi, parolaları ve ayarları ayrı tuttuğunu belirtir.

Kalıcı bir çalışma profili için beklenen durum sınırı genellikle şunları kapsar:

Durum	Ayrımın pratik etkisi
Çerezler ve kimlik doğrulama durumu	A profilinde hizmete giriş yapmak, aynı çerez deposu üzerinden B profilinde de giriş yapmamalı
Yerel depolama ve site veritabanları	Web uygulamasının yerelde tuttuğu durum, onu oluşturan profile aittir
HTTP önbelleği ve Cache Storage	Yeniden kullanılabilir yanıtlar ve çevrimdışı uygulama verileri normalde başka profile geçmez
Geçmiş, yer işaretleri ve açık oturum durumu	Gezinme kayıtları ve kayıtlı hedefler ilgili iş akışına bağlı kalır
Site izinleri	Kamera, mikrofon, bildirim, konum ve benzeri kararlar profile göre farklılaşabilir
Uzantılar ve uzantı durumu	Kurulu uzantılar, ayarları ve erişim izinleri profil bazında yönetilebilir
Parola ve otomatik doldurma durumu	Yerelde tutulan kimlik bilgileri ve form verileri, etkin hesap eş zamanlaması koşulları dâhilinde seçili profilde kalır

Fiziksel konum platforma göre değişir. Chromium belgeleri, önbellek yolunun profil yolundan türetilebildiğini ve profilin geri kalanı yerine işletim sisteminin önbellek konumunda tutulabildiğini belirtir. Profil verilerini, kullanıcı veri dizinindeki diğer kurulum düzeyi yerel durumdan da ayırır. Güvenilir yalıtım tasarımı bu yüzden profile ait her yolu izler ve ortak kurulum durumunu belgeler; görünen tek profil klasörünü bütün sınır saymaz.

Dizin sınırı yine de yaşam döngüsü kontrolleri gerektirir

Benzersiz veri yolu, yalnızca her başlatmaya doğru yol verildiğinde yanlışlıkla durum yeniden kullanımını önler. Chromium, aynı kullanıcı veri dizininin çalışan iki Chrome örneği arasında güvenle paylaşılamayacağını da belirtir. Yönetilen profil sistemi yaşam döngüsü kurallarını açık hâle getirmeli:

• her profile benzersiz depolama kökü atamalı;
• aynı kalıcı durumu iki yazıcı sürecin açmasını önlemeli;
• hangi süreçlerin başlatmaya ait olduğunu belirlemeli;
• bu süreçleri tek yaşam döngüsü olarak durdurmalı veya kurtarmalı;
• yedekleme veya geçişten önce yazmaları tamamlamalı;
• sonraki başlatmadan önce eksik kapanışı saptamalı.

Bu kontroller olmadan “ayrı klasörler” de yanlış profille başlatmaya, eski kilitlere, eksik kopyalara veya kesinti sonrası bozulmaya yol açabilir.

Tarayıcı profili neleri kendiliğinden ayırmaz?

Yerel erişim

Chrome, cihaza erişebilen herkesin başka Chrome profiline geçip ziyaret edilen siteler gibi bilgileri görebileceği konusunda uyarır. Önerisi, cihazı yalnızca güvendiğiniz kişilerle paylaşmaktır. Normal profil seçici, güvenilen kullanıcıları düzenler. Aynı işletim sistemi hesabını kullanan başka kişiye karşı erişimi kontrol etmez.

Risk meraklı veya kötü niyetli yerel kişiyi içeriyorsa ayrı işletim sistemi hesapları, cihaz kontrolleri veya daha güçlü çalıştırma sınırı kullanın. Profil şifrelemesi ve kilit açma politikası, veri kullanılmıyorken ifşayı azaltabilir; ancak tasarımı, anahtar depolaması, kurtarma yolu ve kilidi açık durumdaki davranışı yine incelenmelidir.

Tarayıcı uygulaması ve güncelleme yolu

Bir Chromium kullanıcı veri dizininde birden fazla profil bulunabilir. Bunlar normalde aynı kurulu tarayıcıya ve güncelleyicisine dayanır. Ayrı profil durumu, ayrı güvenlik yaması davranışı oluşturmaz.

Ortak bileşen istenebilir; çünkü bakımı yapılan tek tarayıcıyı tutarlı güncellemek daha kolaydır. Ancak eski veya ele geçirilmiş bir tarayıcı derlemesinin onu kullanan bütün profilleri etkilediği anlamına da gelir. Tarayıcının güncelliği, imza doğrulaması ve güvenli geri dönüş, yalıtım değerlendirmesine dâhil edilmelidir.

Ağ kimliği

Yeni profil oluşturmak tek başına genel IP adresini, DNS yolunu, yerel ağı veya üst ağdaki proxy’yi değiştirmez. Tarayıcı, uzantı, işletim sistemi politikası veya profil yöneticisi farklı bir şey yapılandırmadıkça aynı cihazdaki profiller genellikle aynı ağ yolunu kullanır.

İş akışı profile özel proxy gerektiriyorsa yalnızca ayarlı adresi değil, daha fazlasını doğrulayın. Kimlik doğrulamayı, DNS işleyişini, WebSocket ve diğer protokol davranışlarını, hata sonrası alternatif bağlantıyı ve proxy hazır olmadan ne olduğunu test edin. Hata durumunda doğrudan bağlantıya izin verilmesi, kayıtlı proxy ayarı doğru olsa bile amaçlanan ağ sınırını bozabilir.

Cihaz ve ortam özellikleri

Profilin çerezleri ve ayarları farklı olabilir; buna rağmen aynı tarayıcının, işletim sisteminin, donanımın, ekranın, dil yapılandırmasının ve ağın özelliklerini açığa çıkarabilir. W3C, parmak izi oluşturmayı gözlemlenebilir özelliklerle yeniden tanıma olarak açıklar. Parmak izi rehberinde istek başlıklarını, IP adresini, pencere boyutunu, yazı tiplerini, bağlı cihazları, performansı, sensörleri ve grafik oluşturmayı olası girdiler arasında sayar.

Profil ayrımı, durumun yeniden kullanılmasını önleyebilir. Cihazı tanınmaz yapmaz, farklı parmak izi veya üçüncü taraf hizmete erişim garantisi vermez.

Profil dışındaki dosyalar

İndirilenler çoğu zaman profilin sahip olduğu tarayıcı depolamasından çıkar ve sıradan bir kullanıcı klasörüne gider. Chrome’un veri silme belgeleri farkı somutlaştırır: indirme geçmişini temizlemek indirilen dosyaları silmez.

Yüklemeler ters yönde risk yaratır. Dosya seçici, aynı ana makine dosya sistemini birden fazla profile açabilir. Pano içeriği, sürükle-bırak verisi, yazdırma çıktısı, ekran görüntüleri ve işletim sistemi bildirimleri de çevredeki ürün veya işletim sistemi sınırlamadıkça profil sınırını aşabilir.

Bir indirme politikası seçip belgeleyin. Profile özel klasör, geçici çalışma dizini, açık dışa aktarma veya daha güçlü kapsayıcı sınırı seçenekler arasındadır. Doğru tercih; amacın hata önlemek, sırları korumak veya birbirine güvenmeyen işleri yalıtmak olmasına bağlıdır.

Bulut hesapları ve eş zamanlama

Diskte ayrı olan tarayıcı durumu, etkin eş zamanlama hizmetiyle yine kopyalanabilir. Profil ilgili kategoriyi eş zamanlayan hesaba bağlıysa parola, yer işareti, ayar veya geçmiş öğesi başka yerde görünebilir. Örneğin Chrome, giriş yapmış kişinin hangi profil bilgilerinin Google Hesabı’na kaydedileceğini seçmesine izin verir.

Eş zamanlamayı başka bir güven sınırı olarak ele alın. Neyin yüklendiğini, nasıl şifrelendiğini, yeni cihaza kimin yetki verebildiğini, silmenin nasıl yayıldığını ve geri yüklemenin yanlış profil durumunu birleştirip birleştiremeyeceğini kaydedin.

Site Isolation farklı bir güvenlik kontrolüdür

Chromium’un Site Isolation özelliği, desteklenen platformlarda farklı sitelerin sayfalarını ayrı korumalı oluşturucu süreçlere yerleştirir. Bu, bir sitenin ele geçirilmiş oluşturucu sürecinin başka siteye ait hassas veriyi alma olasılığını azaltır.

Bu koruma bir tarayıcı oturumunun içinde çalışır. İki iş profilinin ayrı veri köklerine, özel yaşam döngüsü sahipliğine, farklı proxy’lere, bağımsız yedeklere veya farklı ekip izinlerine sahip olup olmadığını yanıtlamaz. Tersine, ürün ayrı veri dizinleri oluştururken zararlı web içeriğine karşı tarayıcının normal site korumalı alanına dayanabilir.

İki kontrol de önemlidir. Ayrı test edilmeli ve açıklanmalıdır.

Kalıcı profil, gizli oturum veya geçici profil?

Chrome’un Gizli modu, özel oturum açıkken çerezleri ve site verilerini geçici tutar; oturum sona erdiğinde bu site verilerini veya ziyaret edilen site kaydını saklamaz. Google, Gizli modun ziyaret edilen sitelerin ve hizmetlerinin veri toplama biçimini değiştirmediğini de belirtir.

Bu, güvenilen cihazda kısa süreli oturum için Gizli modu yararlı kılar. Tekrarlanabilir uzantılar, kurtarılabilir durum, atanmış sorumlu veya kontrollü devir gerektiğinde kalıcı çalışma profilinin iyi bir alternatifi değildir.

Geçici yönetilen profil; geçici durum politikasını açık başlatma, ağ ve temizleme kontrolleriyle birleştirebilir. Silinmesi de kanıt gerektirir. Yönetici, profile ait yolların ve kimlik bilgilerinin kaldırıldığını doğrulamalı; denetim veya hukuki nedenlerle profil dışında tutulan dosyaları ve kayıtları açıkça belirtmelidir.

Kurtarma, yalıtımın parçasıdır

Yalıtım, başlatma kadar geri yükleme sırasında da bozulabilir. Çalışan profili kopyalamak eski ve yeni veritabanı durumlarının karışımını yakalayabilir. Yanlış kimliğe geri yüklemek iki iş akışını birleştirebilir. Yeni tarayıcının yazdığı veriyi eski derlemeyle açmak uyumluluk sorunları yaratabilir; Chromium’un açık kullanıcı verisi sürüm düşürme ve uyumluluk kuralları vardır.

Kurtarma tasarımı şunları kanıtlamalı:

1. Yedek, tek ve değişmez bir profil kimliğine aittir.
2. Anlık görüntü, tutarlı bir yaşam döngüsü noktasında alınmıştır.
3. Sırlar arşivde ve geri yükleme sırasında korunur.
4. Tarayıcı sürümü geri yüklenen durumla uyumludur.
5. Geri yükleme, mevcut profille örtük biçimde birleşmez.
6. Kesintiden sonra çalıştığı bilinen son duruma dönülebilir.

Önbellek genellikle yeniden oluşturulabilir. Yer işaretleri, kullanıcının oluşturduğu yerel veriler, kimlik bilgileri, uzantı durumu ve denetim meta verileri her zaman yeniden oluşturulamaz. Kurtarma politikası bunları ayırmalıdır.

Pratik bir yalıtım testi

Aynı web uygulamasının iki kiracısını test eden yetkili kalite güvence ekibini düşünün. A kiracısı ve B kiracısı bağımsız kalmalı.

Ekip her profil için küçük bir test matrisi kaydedebilir:

1. A profilinde giriş yapın, tercih ayarlayın, site izni verin ve varsa çevrimdışı uygulama durumunu oluşturun.
2. B profilinde aynı kökeni açın; A’nın kimliği doğrulanmış ve yerel durumunun bulunmadığını doğrulayın.
3. B için hedeflenen ağ yolunu yapılandırın; kimlik bilgisi girmeden önce normal istekleri ve hata davranışını doğrulayın.
4. Her profilden zararsız işaret dosyası indirin; dosyaların nerede göründüğünü ve kimin okuyabildiğini doğrulayın.
5. Bir başlatmayı kesintiye uğratın, yeniden açın ve durumun diğer profile taşınmadığını doğrulayın.
6. A’yı yedekleyip yeni test kimliği altında geri yükleyin; B’nin değişmediğini doğrulayın.

Bu, gözlemlenebilir davranışı test eder. Farklı renkli iki pencerenin ekran görüntüsü etmez.

Yalıtıma güvenmeden önce sorulacak sorular

• Tam olarak hangi veri sınıfları profile aittir?
• Ana profil dizini dışında durum veya önbellek yolu var mı?
• İki başlatma aynı profile yazabilir mi; bu nasıl önlenir?
• Hangi tarayıcı süreçleri veya hizmetleri ortaktır?
• Ağ politikası ilk istekten önce bağlanıyor mu; hata durumunda bağlantı kapalı kalıyor mu?
• İndirmeler, yüklemeler, pano verisi ve bildirimler sınırı nerede aşıyor?
• Profili kim açabilir, dışa aktarabilir, kopyalayabilir, geri yükleyebilir veya silebilir?
• Şifreleme anahtarları nasıl saklanır ve kurtarılır?
• Eş zamanlama, profil veya cihazlar arasında durumu birleştirebilir mi?
• Çökme, yükseltme, yedekleme ve geri dönüş için hangi kanıtlar var?

Kararı sınır ihtiyacına göre verin

Ana amaç, güvendiğiniz kişilerin kontrolündeki cihazda düzen ve hesap ayrımıysa normal tarayıcı profili kullanın. Yanlış profille başlatma, eş zamanlı yazma, ağ hataları, kurtarma sorunları veya ekip devirleri önemli risk yaratıyorsa yönetilen yalıtılmış profil sistemi isteyin. Tehdit başka yerel kullanıcıyı, güvenilmeyen yerel kodu veya daha güçlü ana makine sınırı ihtiyacını içeriyorsa işletim sistemi hesabına, kapsayıcıya veya sanal makineye geçin.

“Yalıtılmış” kelimesi yalnızca başlangıçtır. Asıl değer, belgelenmiş sınır, hata davranışı ve sınırın günlük kullanımda korunduğunu gösteren kanıttır.

Sınırlamalar

Tarayıcı ve işletim sistemi davranışı zamanla değişir; platforma, politikaya, uzantılara ve ürün uygulamasına göre farklılaşır. Yukarıdaki kategoriler değerlendirme çerçevesidir; her profil yöneticisinin aynı veriyi ayırdığı iddiası değildir. Kullanmayı planladığınız tam tarayıcı sürümünü, cihazı, ağı, uzantıları, kimlik sağlayıcısını ve kurtarma akışını test edin.