Ücretsiz proxy kullanmanın riskleri ve güvenli kullanım sınırları

Ücretsiz proxy riskleri tek cümleyle şöyle özetlenir: sunucuyu kimin işlettiğini bilmiyorsunuz ve trafiğiniz o sunucudan geçiyor. Herkese açık listelerdeki adreslerin çoğu bilinçli olarak açılmış hizmetler değil; yanlış yapılandırılmış sunucular, ele geçirilmiş cihazlar ya da amacı belirsiz kişilerin işlettiği düğümler. Bir proxy'nin yanıt vermesi, onun güvenilir olduğunu göstermez; yalnızca portun açık olduğunu ve protokolü konuştuğunu gösterir.

Bu rehber, ücretsiz proxy'yi tamamen yasaklamıyor. Nerede makul bir deney aracı olduğunu, nerede doğrudan zarar verebileceğini ve listeden bir adres alırken neleri kendi başınıza doğrulayabileceğinizi ayırıyor.

Proxy trafiğinizin hangi kısmını görür?

Proxy'nin görebildiği şey, kullandığınız protokole ve hedefin HTTPS olup olmadığına bağlıdır. Düz HTTP'de istek proxy'ye tam adresiyle gider (GET http://hedef.example/yol HTTP/1.1); proxy yolu, başlıkları, çerezleri ve gövdeyi okuyabilir, değiştirebilir. HTTPS hedeflerde istemci CONNECT hedef.example:443 gönderir ve proxy bağlantıyı kör bir tünele çevirir; içerik uçtan uca TLS ile korunur ama hedef ana makine adı ve bağlantı zamanları proxy tarafından görülür.

Gerçekten karşılaşılan beş risk

1. Parola ve oturum çerezi sızması

Ücretsiz bir HTTP proxy üzerinden http:// ile açılan bir giriş formu, kullanıcı adınızı ve parolanızı işletmeciye düz metin olarak teslim eder. HTTPS sitelerinde bile, tarayıcıda proxy'nin sunduğu bir sertifikayı onaylamak ya da sertifika uyarılarını geçmek aynı sonuca götürür. Kural basit: ücretsiz proxy üzerinden hiçbir hesaba giriş yapmayın.

2. İçerik enjeksiyonu

Düz HTTP yanıtlarına proxy tarafında reklam, kripto madenci betiği ya da yönlendirme eklenebilir. Sayfa sizin açtığınız adresten gelmiş görünür ama gövde değiştirilmiştir. HTTPS'te bu mümkün değildir; bu yüzden ücretsiz proxy kullanacaksanız yalnızca HTTPS hedefler seçin ve tarayıcı sertifika uyarısını asla geçmeyin.

3. Kimliğinizin yanlış kişiye bağlanması

Çıkış IP'sini yüzlerce kişi paylaşıyor olabilir. Biri aynı IP'den spam, tarama ya da dolandırıcılık denemesi yaptığında, hedef sitenin kayıtlarında o IP'nin kullanımı sizin işleminizle yan yana durur. Hesaplarınızı bu tür adreslere bağlamak, hesap kilitlenmesine yol açabilir.

4. Kararsızlık ve tutarsız davranış

Ücretsiz uçlar günler, bazen dakikalar içinde kapanır; yanıt süreleri dalgalanır; aynı adres bir istekte çalışıp sonrakinde bağlantıyı sıfırlayabilir. Bugün başarılı bir kontrol, yarınki davranış hakkında hiçbir şey söylemez. Üretimde çalışan bir iş akışını bu uçlara bağlamak bu yüzden hatalı bir tasarımdır.

5. Gizli kayıt tutma ve yanlış anonimlik varsayımı

Ücretsiz bir işletmecinin bağlantı kaydı tutmadığına dair elinizde bir güvence yoktur. Ayrıca proxy X-Forwarded-For ya da Via başlığı ekleyerek gerçek IP'nizi hedefe iletebilir; ücretsiz listelerdeki "elite" etiketi bile güvenlik değil, yalnızca başlık davranışının bir sınıflandırmasıdır.

Listeden bir adres alırken kendiniz doğrulayın

Bir listede "çalışıyor" yazması yalnızca kontrol anında bağlantı kurulduğu anlamına gelir. Kullanmadan önce üç şeyi sınayın: proxy gerçekten sizin IP'nizi gizliyor mu, bir kimlik doğrulama istemeden mi çalışıyor ve yanıtlar değiştirilmiş mi.

curl -sS -x http://203.0.113.10:8080 --max-time 15 https://ifconfig.example/ip
curl -sS -x http://203.0.113.10:8080 --max-time 15 -I http://example.com/

1. 1Çıkış IP'si kendi adresinizden farklı mı? Farklı değilse proxy sizi gizlemiyor ya da istek proxy'ye hiç gitmedi.
2. 2Düz HTTP yanıtında beklemediğiniz başlık, betik ya da yönlendirme var mı? Aynı sayfayı proxy'siz çekip gövdeleri karşılaştırın.
3. 3HTTPS bir adreste sertifika zinciri doğru mu? curl sertifika hatası veriyorsa devam etmeyin; -k ile sessizce geçmek riski ortadan kaldırmaz.

Ücretsiz proxy ne işe yarar, ne işe yaramaz?

Ücretsiz listeler, bir proxy'nin nasıl çalıştığını öğrenmek için iyi bir laboratuvardır. Hesap, para ya da süreklilik söz konusu olduğunda ise sorumlusu belli, kimlik doğrulaması olan ve sözleşmeyle sunulan bir hizmete geçmek gerekir. Bu geçiş yalnızca bir performans meselesi değil; trafiğinizi kimin işlettiğini bilmenin meselesidir.

Güvenli deneme için kontrol listesi

• Tarayıcınızda ayrı, boş bir profil kullanın; kayıtlı oturumlarınız o profilde olmasın.
• Yalnızca https:// adreslere gidin ve sertifika uyarısını asla geçmeyin.
• Hiçbir hesaba giriş yapmayın, form doldurmayın, dosya indirip çalıştırmayın.
• Sistem genelinde proxy ayarlamak yerine tek komut ya da tek uygulama için kullanın; işiniz bitince kaldırın.
• Aynı adresi tekrar kullanmaya güvenmeyin; her seferinde yeniden kontrol edin.