BlindLock: Şifrelerinizi Sıradan Bir PNG Fotoğrafında Saklayan Yeni Güvenlik Uygulaması

Bağımsız geliştirici David Domingo'nun tek başına hayata geçirdiği BlindLock, klasik şifre yöneticilerinden tamamen farklı bir yaklaşım sunuyor: şifrelerinizi, notlarınızı ve hassas dosyalarınızı bulutta değil, tatil fotoğrafınız ya da kedi resminiz gibi görünen sıradan bir PNG dosyasının içinde saklıyor. Uygulama hiçbir merkezi sunucuya bağlı çalışmıyor, tüm veriler tamamen yerel kalıyor ve isteğe bağlı olarak TPM 2.0, Secure Enclave veya StrongBox gibi donanımsal güvenlik çiplerine kilitlenebiliyor.

LastPass Skandalı BlindLock'un Çıkış Noktası Oldu

Domingo, projeyi başlatma sebebinin 2022 sonunda yaşanan LastPass veri ihlali olduğunu belirtiyor. O olayda saldırganlar, müşterilerin şifrelenmiş kasa yedeklerini ele geçirmişti. Geliştiriciye göre bu tür bir felaket sadece LastPass'e özgü değil; 1Password, Dashlane hatta Proton Pass gibi bulut tabanlı çözümler de teorik olarak aynı riski taşıyor. "Kasanız birinin sunucusunda durduğunda, o sunucunun taşıdığı her riski de devralırsınız: çalışan erişimi, altyapı zafiyetleri, mahkeme celpleri, tedarik zinciri saldırıları ve on milyonlarca kasayı barındıran bir sunucunun sizin dizüstü bilgisayarınızdan çok daha cazip bir hedef olması gerçeği" diyor Domingo.

Üç Katmanlı Koruma Mantığı

BlindLock'un güvenlik felsefesi üç bağımsız katmana dayanıyor. İlk katman, verinin şifrelenmiş olmasının ötesinde tamamen görünmez hale getirilmesi; yani veri, sıradan bir görsel dosyasının içine gizleniyor. İkinci katman, merkezi bir kasa veritabanının bulunmaması; bu sayede saldırganların çalıp sonradan kırmaya çalışacağı tek bir hedef sunucu ortadan kalkıyor. Üçüncü katman ise cihaz bağımlılığı: kasa yalnızca taşıyıcı dosya, ana şifre ve yetkili cihaz aynı anda eşleştiğinde açılabiliyor. Geliştiricinin ifadesiyle "kopyalanmış bir dosya tek başına erişim sağlamak için yeterli değil." Dinlenme halindeki kasa dosyası 256 bit doğrulamalı şifreleme kullanıyor ve NIST'in kuantum sonrası kriptografi bileşenlerini de içeriyor.

Şifre Yöneticisinden Fazlası: Notlar, 2FA ve Kripto Cüzdanı

Yeni bir ürün olmasına rağmen BlindLock'un özellik listesi oldukça geniş. Seçtiğiniz PNG dosyasının içine gizlenmiş şekilde bir şifre yöneticisi, Markdown destekli gizli notlar, dahili iki faktörlü kimlik doğrulama (2FA) aracı ve her türlü dosyayı saklayabilen şifreli bir dosya kasası bulunuyor. Ayrıca kripto para adresleri için ayrı bir adres defteri de mevcut. Güvenliği bir adım daha ileri taşımak isteyenler, YubiKey veya Google Titan gibi donanımsal güvenlik anahtarlarını dördüncü faktör olarak ekleyebiliyor.

Büyük dosyaların ana PNG dosyasını şişirmemesi için BlindLock, VeraCrypt'e benzer bir gizli hacim sistemi kullanıyor; bu ek konteynerler Argon2id ile sertleştirilmiş ve 256 bit şifrelemeyle korunuyor. Domingo bu konteynerlerin "sihirli biçimde bulunamaz" olmadığını ama fark edilmesinin son derece zor olduğunu vurguluyor. Cihaz kaybı ya da değişimi durumları için kullanıcıların ayrıca şifreli bir yedek oluşturup kurtarma ifadesini güvenli bir yerde saklaması gerekiyor.

Fiyatlandırma ve Erişim

BlindLock şu an için tek seferlik 49 dolarlık ömür boyu lisans fiyatıyla satışa sunuluyor, ancak bu fiyat yalnızca ilk 1000 lisans için geçerli. Domingo'nun planına göre ilk 100 lisans 49 dolar, sonraki 350 lisans 89 dolar, son 550 lisans ise 109 dolardan satılacak; bu kotalar dolduktan sonra uygulama yalnızca abonelik modeliyle sunulacak. Geliştirici, bu yaklaşımı projenin gelişimini sürdürebilmek için sağlam bir finansal temel oluşturma isteğiyle açıklıyor. İlgilenenler için hem tarayıcı üzerinden çalışan interaktif bir demo hem de 7 günlük tam sürüm indirme seçeneği bulunuyor.

Türkiye'deki Kullanıcılar İçin Ne Anlama Geliyor?

Türkiye'de LastPass, 1Password ve Bitwarden gibi bulut tabanlı şifre yöneticileri hâlâ en yaygın tercihler; ancak son yıllarda veri ihlalleri ve KVKK gibi düzenlemelerin gündeme gelmesiyle "verim nerede saklanıyor" sorusu yerli kullanıcılar için de önem kazanıyor. BlindLock'un tamamen yerel çalışan, bulut hesabı gerektirmeyen yapısı, özellikle hassas kurumsal veya kişisel bilgilerini üçüncü taraf sunuculardan uzak tutmak isteyen kullanıcılar için ilgi çekici bir alternatif olabilir. Öte yandan tek geliştiricili bağımsız bir projenin uzun vadeli desteği, olası güvenlik denetimlerinin bağımsız uzmanlarca doğrulanması ve Türkçe dil desteğinin olup olmayacağı gibi konular hâlâ belirsiz. Bu tarz niş güvenlik araçlarını üretim ortamında kullanmadan önce demo sürümüyle detaylı test yapmak, özellikle kurtarma mekanizmasının güvenilirliğini kontrol etmek büyük önem taşıyor.