Ücretsiz proxy güvenli mi? Beş risk ve ücretli eşiği

Ücretsiz proxy, giriş bilgisi, ödeme ya da kişisel veri taşıyan hiçbir iş için güvenli değildir. Neden tek cümleye sığar: trafiğiniz, kim olduğunu bilmediğiniz birinin sunucusundan geçer ve o kişiye karşı hiçbir sözleşmeniz, hiçbir yaptırımınız yoktur. Herkese açık bir sayfanın başka bir ülkeden nasıl göründüğüne bakmak gibi veri taşımayan işlerde kullanılabilir; bunun dışındaki kullanımlarda hangi riskin ne zaman gerçekleşeceği sizin elinizde değildir.

Sorunun kısa cevabı bu olsa da asıl mesele hangi riskin sizin işinizde gerçekleştiğini görebilmektir. Aşağıda ücretsiz adreslerin nereden geldiği, beş somut risk ve her birinin gözle görülür izi, adresin ne yaptığını on dakikada ortaya çıkaran bir test ve ücretsizden ücretliye geçilmesi gereken an anlatılıyor. Proxy’nin temel çalışma biçimini bilmiyorsanız önce proxy nedir rehberine bakmak, buradaki risklerin neden ortaya çıktığını anlamayı kolaylaştırır.

Ücretsiz proxy listelerindeki adreslerin üç ana kaynağı vardır. Birincisi, yanlış yapılandırıldığı için herkese açık kalmış sunuculardır: bir şirketin ya da kişinin kendi kullanımı için kurduğu, kimlik doğrulaması olmadan internete açılmış proxy’ler. Sahibi genelde bunun farkında değildir; adres, fark edildiği ya da tarayıcı botları tarafından bulunup listelere düştüğü ana kadar çalışır, sonra kapanır. Bu adreslerin ömrü saatlerle ya da günlerle ölçülür.

İkincisi, bilinçli olarak ücretsiz sunulan adreslerdir. Burada soru, işletenin masrafı neyle karşıladığıdır. Cevap çoğu zaman trafiğin kendisidir: geçen isteklerin kaydı tutulur, şifresiz içerik okunur, sayfalara reklam ya da izleme kodu eklenir ya da adres başka müşterilere satılan bir havuzun parçası olarak sizin cihazınız üzerinden de çıkış verir. İşletenin kimliği bilinmediği için bu ihtimallerden hangisinin geçerli olduğunu önceden bilmenin yolu yoktur.

Üçüncüsü, kötü amaçlı yazılımla ele geçirilmiş ev cihazlarıdır. Sahibinin haberi olmadan proxy olarak çalışan bir modem ya da bilgisayar, listelerde residential adres gibi görünür. Bu adresi kullanan kişi hem başkasının hattını izinsiz kullanmış olur hem de adresin diğer kullanıcılarının davranışlarından doğan engelleri devralır. Ücretli ürünlerdeki residential adres, sahibinin izniyle ve belirli bir sözleşme çerçevesinde sağlanır; iki şey dışarıdan aynı görünse de aynı değildir.

Birinci risk şifresiz trafiğin okunmasıdır. HTTP ile açılan her sayfa, gönderilen her form proxy sunucusundan düz metin olarak geçer; işleten isterse kullanıcı adı, şifre ve çerezleri doğrudan okur. İzi: adres çubuğunda kilit simgesi olmayan bir sayfada giriş yapıyorsanız risk zaten gerçekleşmiş sayılır. Günümüzde sitelerin çoğu HTTPS kullansa da eski paneller, yerel ağ arayüzleri ve bazı mobil uygulama uç noktaları hâlâ şifresiz çalışır.

İkinci risk HTTPS’te sertifika müdahalesidir. Proxy, şifreli bağlantıyı kendi sertifikasıyla araya girip çözmeye çalışabilir. İzi açıktır: tarayıcı sertifika uyarısı verir ya da sitenin sertifikasını açtığınızda düzenleyen kurum sitenin kendi sağlayıcısı değil, tanımadığınız bir addır. Uyarıyı geçip devam eden kullanıcı, şifreli trafiğini de okunabilir hale getirir. Bu uyarı hiçbir ücretsiz proxy için geçilmez.

Üçüncü risk içerik enjeksiyonudur. Şifresiz sayfalara reklam bandı, yönlendirme ya da izleme betiği eklenir. İzi: aynı sayfayı proxy’siz açtığınızda reklam yok, proxy’li açtığınızda var; ya da sayfa beklenmedik bir adrese yönleniyor. Enjekte edilen betik bazen yalnız reklam gösterir, bazen tarayıcıda kalıp sonraki sayfaları da izler.

Dördüncü risk paylaşılan ve engelli adrestir. Aynı ücretsiz adresi aynı anda yüzlerce kişi kullanır; hedef siteler bu adresleri çoktan tanımış ve çoğunu engellemiştir. İzi: sürekli captcha, 403 ve 429 cevapları, giriş denemesinde ek doğrulama. Bu belirtiler tek tek hata gibi görünse de kaynağı aynıdır; proxy bağlantı hataları rehberindeki kontrol listesi ücretsiz adreste çoğu zaman adresin kendisine çıkar.

Beşinci risk kararsızlıktır. Adres bir gün çalışır, ertesi gün kapanır; hız saatten saate değişir; bağlantı iş ortasında kopar. İzi: aynı testi üç ayrı günde yaptığınızda üç farklı sonuç almanız. Kararsızlık tek başına bir güvenlik sorunu değildir, ama tekrar eden bir işi ücretsiz adrese bağlayan herkes bir sabah işin durduğunu görür ve o anda yeni adres aramak, işin kendisinden daha uzun sürer.

Bir ücretsiz adresi mutlaka kullanacaksanız, önce ne yaptığını görün. Test, giriş bilgisi taşımayan sayfalarla yapılır ve on dakika sürer. Birinci adım, adresi tarayıcıya ya da bir eklentiye tanımlayıp herkese açık bir IP gösteren sayfayı açmaktır; görünen adres proxy’nin adresi olmalıdır. Kendi adresiniz görünüyorsa proxy hiç devrede değildir ve test burada biter.

İkinci adım, HTTPS kullanan bilinen bir siteyi açıp adres çubuğundaki kilit simgesinden sertifikayı incelemektir. Sertifikayı düzenleyen kurum, sitenin normalde kullandığı sağlayıcı olmalıdır; proxy’siz açıp karşılaştırmak en kesin yoldur. Fark varsa adres araya giriyor demektir; bu adres hiçbir iş için kullanılmaz.

Üçüncü adım, şifresiz bir test sayfasını proxy’li ve proxy’siz açıp kaynağını karşılaştırmaktır. Proxy’li sürümde fazladan betik, görsel ya da yönlendirme varsa içerik enjeksiyonu vardır. Dördüncü adım, DNS sorgusunun nereden çıktığına bakmaktır: alan adlarını kendi hattınız çözüyorsa ziyaret ettiğiniz sitelerin listesi servis sağlayıcınızda kalır ve proxy yarım çalışır; tarayıcıda proxy kullanımı rehberinde Firefox için bu ayarın nerede olduğu anlatılıyor.

Beşinci adım zaman testidir. Aynı dört adımı iki gün sonra tekrarlayın. Adres kapanmışsa, hız düşmüşse ya da sertifika davranışı değişmişse kararsızlık riski gerçekleşmiştir. Beş adımı da geçen ücretsiz adres bile yalnız veri taşımayan işler için uygundur; test adresin yalnız o günkü davranışını gösterir.

Ücretsiz proxy’nin yettiği işler kısa bir listedir ve ortak özellikleri aynıdır: giriş yok, ödeme yok, tekrar yok. Herkese açık bir sayfanın başka bir ülkeden nasıl göründüğünü bir kez kontrol etmek bu listededir. Proxy ayarının tarayıcıda, Windows’ta ya da telefonda nasıl yapıldığını öğrenmek için pratik yapmak da öyle; ayar ekranlarını tanımak için ücretsiz bir adres yeterlidir, tek şart o sırada hiçbir hesaba giriş yapmamaktır.

Listede olmayanlar daha önemlidir. Sosyal medya, e-posta, bankacılık ve alışveriş hesaplarına giriş; müşteri paneline ya da yönetim arayüzüne erişim; sıra takibi, fiyat izleme gibi her gün tekrarlanan toplama işleri; birden fazla hesabın yönetimi. Bu işlerin her biri ya veri taşır ya tekrar ister ya da adresin temiz olmasına bağlıdır ve ücretsiz adres üçünü de sağlamaz.

Ücretsiz deneme ile ücretsiz proxy de birbirinden ayrılır. Bir sağlayıcının deneme paketi, sözleşmesi ve kimliği belli bir hizmetin süreli ya da kotalı örneğidir; adresin kime ait olduğu ve trafiğin nasıl işlendiği yazılıdır. Liste sitelerinden toplanan adreslerde bunların hiçbiri yoktur. Deneme paketi, ücretli hizmetin işinize uyup uymadığını ölçmek için kullanılır; ücretsiz proxy ise yalnız ayar pratiği için.

Eşik, işin doğasıyla belirlenir ve dört işaretten biri göründüğünde geçilir. Birinci işaret giriş bilgisidir: proxy üzerinden bir hesaba girilecekse adres ücretli olur, çünkü yalnız ücretli hizmette trafiği kimin işlediği ve neyle yükümlü olduğu bellidir. İkinci işaret tekrardır: aynı iş haftada birden fazla yapılacaksa adresin yarın da çalışması gerekir. Üçüncü işaret adres temizliğidir: hedef site captcha ya da engel uyguluyorsa paylaşılan ücretsiz adres işi baştan kaybettirir. Dördüncü işaret ölçektir: birden fazla hesap ya da birden fazla ülke gerekiyorsa adresleri tek tek listeden toplamak işin kendisinden pahalıya gelir.

Ücretli hizmetle adresin yanında şunlar gelir. Adresin kime ait olduğu ve hangi sözleşmeyle sağlandığı bellidir; bağlantı kullanıcı adı ve şifre ya da IP izniyle korunur, yani adresi sizden başkası kullanamaz; SOCKS5 ve HTTP protokolleri birlikte sunulur; adres türü, ülkesi ve süresi yazılıdır; sorun çıktığında yazılacak bir destek hattı vardır. Hangi türün hangi işe uyduğu hangi proxy türü rehberinde, sağlayıcıyı değerlendirme ölçütleri güvenilir proxy sağlayıcı rehberinde anlatılıyor.

Başlangıç maliyeti çoğu kullanıcının sandığından düşüktür. Katalogda rotating residential IPv4 için GB bazlı, tek seferlik alınan ve 2 GB’tan başlayan paketler vardır; tek bir hesap ya da tek bir tarayıcı profili için Türkiye lokasyonlu statik residential IPv4 tek adetten satın alınabilir; çok sayıda adres gereken toplama işlerinde datacenter IPv4 yüz adetlik paketlerle gelir. Güncel fiyat ürün sayfalarında yazar; buradaki ölçek, ücretsiz adresle harcanan zamanın karşılığını hesaplamak için yeterlidir.

İşleten: ücretsizde bilinmez; ücretlide kimliği, adresi ve sözleşmesi belli bir sağlayıcı. Kimlik doğrulama: ücretsizde yok, adresi bulan herkes kullanır; ücretlide kullanıcı adı ve şifre ya da IP izni. Adres paylaşımı: ücretsizde aynı adres yüzlerce kişide; ücretlide statik adres yalnız size, rotating havuz sözleşmeli müşterilere ayrılmıştır. Protokol: ücretsizde çoğunlukla yalnız HTTP, bazen SOCKS; ücretlide SOCKS5 ve HTTP birlikte ve ürün sayfasında yazılı.

Süreklilik: ücretsizde ömür saatlerle ölçülür; ücretlide paket süresi boyunca aynı adres ya da aynı havuz. Trafiğin işlenmesi: ücretsizde ne kaydedildiği bilinmez; ücretlide gizlilik ve kabul edilebilir kullanım politikası yazılıdır. Sorun çıktığında: ücretsizde yeni adres aramak; ücretlide destek hattına yazmak. Yedi fark da adresin arkasında kimin olduğuyla ilgilidir; hız ve ülke sayısı bu listeye girmez.

Bu adres üzerinden herhangi bir hesaba girecek miyim? Cevap evetse ücretsiz adres elenir. Bu işi gelecek hafta da yapacak mıyım? Evetse yine elenir. Hedef site beni engellediğinde ya da adres kapandığında kaybedeceğim zaman, en küçük ücretli paketin bedelinden fazla mı? Çoğu işte üçüncü sorunun cevabı da evettir ve ücretsiz proxy’yi yalnız ayar pratiği için saklamak en ucuz seçenek olur.