Fiziksel sunucu IPMI güvenliği: iDRAC ve iLO arayüzünü internete kapatma, Cipher 0'ı devre dışı bırakma ve firmware güncelleme

Fiziksel sunucu IPMI güvenliği, işletim sistemi ne kadar sıkı korunursa korunsun gözden kaçabilen bir alandır. IPMI, iDRAC ya da iLO arayüzü sunucunun gücünü kapatabilir, sanal konsol açabilir ve ISO bağlayabilir. Yani bu arayüzü ele geçiren kişi işletim sistemindeki her korumayı atlayabilir. Bu rehber dedicated sunucu kiralayan ya da kendi fiziksel sunucusunu yöneten sistem yöneticileri için hazırlandı. Adımlar şunlar: dışarıdan kontrol, kullanıcı düzeltme, Cipher 0 ve IPMI over LAN'ı kapatma, erişimi daraltma ve firmware takibi.

Fiziksel sunucu IPMI güvenliği neden ayrı bir konu

Sunucunun anakartında BMC (Baseboard Management Controller) adlı ayrı bir yönetim işlemcisi bulunur. Bu işlemcinin kendi ağ arayüzü, kendi işletim sistemi ve kendi kullanıcı listesi vardır. Üreticiler bu bileşene farklı adlar verir. Dell'de iDRAC, HPE'de iLO, Supermicro ve diğer çoğu üreticide doğrudan IPMI ya da BMC adı geçer.

BMC'yi kritik yapan üç özellik var:

• Sunucu kapalıyken bile çalışır. Güç kablosu takılıysa BMC ağdadır.
• İşletim sisteminin güvenlik duvarı ona dokunmaz. UFW ya da Windows Firewall yalnız ana işletim sistemini korur. BMC'nin portları bu kuralların dışındadır.
• Yetkisi tamdır. Sanal konsol, sanal medya, BIOS ayarı, güç döngüsü ve çoğu modelde firmware yükleme bu arayüzden yapılır.

IPMI 2.0 protokolünün yapısal zayıflıkları da vardır. RAKP kimlik doğrulama adımında BMC, geçerli bir kullanıcı adı soran herkese o kullanıcının parolasından türetilmiş bir özet döndürür. Saldırgan bu özeti alıp çevrimdışı kırmayı deneyebilir. Bu protokolün kendi tasarımından gelir ve yamayla tamamen kapatılamaz. Tek kesin önlem UDP 623 portunu güvenilmeyen ağlara hiç göstermemektir. Cipher 0 ise bazı BMC'lerde parola kontrolü yapılmadan oturum açılmasına izin veren şifresiz bir kiptir.

BMC arayüzü internete açık mı: dışarıdan kontrol

İlk adım durumu ölçmektir. Kontrolü sunucunun kendisinden değil, internetteki başka bir makineden yapın. Örneğin evinizdeki bağlantı ya da ayrı bir VPS uygun olur. Amaç saldırganın gördüğünü görmektir.

BMC'nin IP adresini bilmiyorsanız sağlayıcınızın panelinden ya da sunucu üzerinde ipmitool lan print 1 çıktısından alabilirsiniz (aşağıdaki iç denetim betiği bunu da gösterir).

Aşağıdaki betik Ubuntu 24.04 ve Debian 12 için hazırlandı. Hiçbir ayarı değiştirmez, yalnız tarar. Bu yüzden geri alınacak bir şey yoktur. Yalnız size ait ya da tarama izniniz olan adresleri tarayın.

#!/usr/bin/env bash
# bmc-dis-kontrol.sh
# BMC adresini DISARIDAN tarar; hicbir ayari degistirmez.
# Kullanim: ./bmc-dis-kontrol.sh 192.0.2.10 [ORNEK_KULLANICI]
# Gereken paketler: sudo apt install nmap ipmitool
set -u

HEDEF="${1:?BMC IP adresini verin, ornek: 192.0.2.10}"
KULLANICI="${2:-ADMIN}"   # iDRAC icin root, iLO icin Administrator deneyin

for arac in nmap ipmitool; do
  command -v "$arac" >/dev/null 2>&1 || { echo "$arac kurulu degil: sudo apt install $arac"; exit 1; }
done

echo "== 1) TCP: web arayuzu, SSH ve sanal konsol portlari =="
nmap -Pn -p 22,80,443,5900,17990 "$HEDEF"

echo "== 2) UDP 623: IPMI over LAN ve Cipher 0 betigi =="
# UDP taramasi root ister
sudo nmap -Pn -sU -p 623 --script ipmi-version,ipmi-cipher-zero "$HEDEF"

echo "== 3) Cipher 0 ile bilerek YANLIS parolayla giris denemesi =="
if timeout 15 ipmitool -I lanplus -C 0 -H "$HEDEF" -U "$KULLANICI" \
     -P 'kesinlikle-yanlis-parola' chassis power status 2>/dev/null; then
  echo "SONUC: ACIK. Cipher 0 yanlis parolayla bile komut calistirdi."
else
  echo "SONUC: Cipher 0 girisi reddedildi ya da 623 erisilemiyor."
fi

Çıktıyı şöyle yorumlayın:

• TCP 80/443 open: BMC'nin web arayüzü internete açık. Bu tek başına ciddi bir bulgu.
• 5900 ya da 17990 open: Sanal konsol portu dışarıdan erişilebilir. 5900 birçok üreticide KVM için, 17990 iLO uzak konsolu için kullanılır. Port numaraları modele göre değişebilir.
• 623/udp open ve Version: IPMI-2_0 satırı: IPMI over LAN dışarıdan konuşuyor. RAKP özeti alınabilir demektir.
• ipmi-cipher-zero betiğinin VULNERABLE demesi ya da üçüncü adımda Chassis Power is on yazması: Parolasız giriş mümkün. Bunu en acil iş olarak ele alın.

Hedef durum şudur: bu betik internetten çalıştırıldığında tüm portlar filtered ya da closed dönmeli.

Varsayılan kullanıcıyı ve parolayı değiştirme: ipmitool ile kullanıcı yönetimi

BMC'nin internete kapalı olması parolayı önemsiz yapmaz. Aynı yönetim ağındaki başka bir sunucu ele geçirilirse BMC'ler sıradaki hedef olur.

Eski modellerde bilinen varsayılan parolalar yaygındı. Örneğin eski iDRAC'larda root/calvin, eski Supermicro kartlarında ADMIN/ADMIN kullanılıyordu. Yeni nesil donanımlarda üreticiler genellikle her cihaza özel, etiket üzerinde yazan bir parola verir. Yine de etiketteki parola teslimatta ya da kurulumda birçok kişinin eline geçmiş olabilir, bu yüzden değiştirin.

ipmitool'u sunucunun kendi işletim sisteminde, yani in-band kullanmak en güvenli yoldur. Komutlar ağa çıkmadan doğrudan BMC'ye gider.

# Ubuntu 24.04 / Debian 12: ipmitool ve cekirdek modulleri
sudo apt install -y ipmitool
sudo modprobe ipmi_devintf
sudo modprobe ipmi_si 2>/dev/null || true

# Kanal 1 uzerindeki kullanicilari listele (cogu sunucuda LAN kanali 1'dir)
sudo ipmitool user list 1

Beklenen çıktı aşağıdakine benzer. ID, ad, kanal yetkisi ve yetki seviyesi sütunları görünür:

ID  Name             Callin  Link Auth  IPMI Msg   Channel Priv Limit
1                    true    false      false      NO ACCESS
2   ADMIN            false   false      true       ADMINISTRATOR
3   ORNEK_KULLANICI  true    false      true       USER

Parolayı komut satırına açık yazmamak için read -s kullanın. Böylece parola kabuk geçmişine düşmez. Aşağıdaki adımlar Ubuntu 24.04 ve Debian 12 için hazırlandı. Geri almak için aynı komutla eski parolayı yeniden atayabilirsiniz. Ama eski parolayı bir yerde saklamak yerine yenisini parola yöneticinize kaydetmek daha doğrudur.

# 2 numarali kullanicinin parolasini degistir (ID'yi user list ciktisindan alin)
read -rsp "Yeni BMC parolasi (en fazla 20 karakter): " BMC_PAROLA; echo
sudo ipmitool user set password 2 "$BMC_PAROLA" 20
unset BMC_PAROLA

# Kullanilmayan hesabi devre disi birak (ornek: ID 3)
sudo ipmitool user disable 3

# Gunluk izleme icin ayri, yalniz USER yetkili hesap (seviye 2 = USER, kanal 1)
sudo ipmitool user priv 3 2 1

Karar ölçütleri:

• IPMI 2.0'da parola en fazla 20 karakterdir. Bu sınırın tamamını rastgele karakterle doldurun. RAKP özetinin kırılmasını zorlaştıran tek şey parolanın uzunluğu ve rastgeleliğidir.
• Her sunucuya ayrı parola verin. Tek parolanın sızması tüm filoyu açmasın.
• İzleme aracı yalnız sensör okuyacaksa ona ADMINISTRATOR değil USER yetkisi verin.
• Web arayüzü kullanıcıları (iDRAC ve iLO'da) ayrıca yönetilir. ipmitool listesiyle aynı olduğunu varsaymayın, arayüzden de kontrol edin.

IPMI Cipher 0 kapatma ve IPMI over LAN'ı devre dışı bırakma

Cipher suite'ler IPMI oturumunun hangi kimlik doğrulama, bütünlük ve şifreleme algoritmalarıyla kurulacağını belirler. Cipher 0'da hiçbir algoritma yoktur. Bazı uygulamalarda bu kip, doğru kullanıcı adını bilen birinin parolasız komut çalıştırmasına izin verir. Güncel iDRAC ve iLO sürümlerinde Cipher 0 çoğunlukla sunulmaz, ama bunu varsaymak yerine doğrulayın.

ipmitool'da hangi cipher suite'in hangi yetkiyle kullanılabileceği Cipher Suite Priv Max satırındaki 15 karakterlik dizgede tutulur. Her karakter sırayla 0'dan 14'e kadar bir cipher suite'e karşılık gelir. X kullanılmıyor, u USER, o OPERATOR, a ADMINISTRATOR anlamına gelir. Cipher 0'ı kapatmak, dizgenin ilk karakterini X yapmak demektir.

Aşağıdaki betik Ubuntu 24.04 ve Debian 12 için hazırlandı. Varsayılan olarak yalnız rapor verir (UYGULA=0). UYGULA=1 ile çalıştırırsanız mevcut dizgeyi /root altına yedekler ve yalnız ilk karakteri değiştirir. Tekrar çalıştırmak güvenlidir: Cipher 0 zaten kapalıysa hiçbir şey yapmaz. Geri almak için yedek dosyadaki dizgeyi sudo ipmitool lan set 1 cipher_privs YEDEKTEKI_DIZGE ile yeniden yazın.

#!/usr/bin/env bash
# bmc-ic-denetim.sh
# Sunucunun KENDI isletim sisteminde (in-band) calisir.
# Kullanim:  sudo ./bmc-ic-denetim.sh            -> yalniz rapor
#            sudo UYGULA=1 ./bmc-ic-denetim.sh   -> Cipher 0'i kapatir
set -euo pipefail

KANAL="${KANAL:-1}"      # LAN kanali; farkliysa KANAL=2 gibi verin
UYGULA="${UYGULA:-0}"
YEDEK="/root/bmc-cipher-yedek-$(date +%Y%m%d-%H%M%S).txt"

[ "$(id -u)" -eq 0 ] || { echo "Bu betigi root ile calistirin."; exit 1; }
command -v ipmitool >/dev/null 2>&1 || apt-get install -y ipmitool

# BMC'ye yerel erisim icin cekirdek modulleri (zaten yukluyse sorun olmaz)
for m in ipmi_devintf ipmi_si; do modprobe "$m" 2>/dev/null || true; done

echo "== BMC ve firmware bilgisi =="
ipmitool mc info | grep -E 'Firmware Revision|Manufacturer Name|Product Name' || true

echo "== LAN ayarlari (kanal $KANAL) =="
ipmitool lan print "$KANAL" | grep -E '^(IP Address Source|IP Address|Subnet Mask|Default Gateway IP|MAC Address|RMCP\+ Cipher Suites|Cipher Suite Priv Max)' || true

echo "== Kullanicilar =="
ipmitool user list "$KANAL" || true

# Cipher yetki dizgesini oku (ornek: aaaaXXaaaXXaaXX)
MEVCUT=$(ipmitool lan print "$KANAL" | awk -F': ' '/Cipher Suite Priv Max/{gsub(/ /,"",$2); print $2; exit}')

if [ "${#MEVCUT}" -ne 15 ]; then
  echo "Cipher dizgesi okunamadi ('$MEVCUT'). Bu BMC ipmitool ile ayarlanamiyor olabilir; uretici arayuzunu kullanin."
  exit 0
fi

if [ "${MEVCUT:0:1}" = "X" ]; then
  echo "TAMAM: Cipher 0 zaten kapali ($MEVCUT)."
  exit 0
fi

echo "UYARI: Cipher 0 acik ($MEVCUT)."
YENI="X${MEVCUT:1}"

if [ "$UYGULA" = "1" ]; then
  echo "$MEVCUT" > "$YEDEK"
  ipmitool lan set "$KANAL" cipher_privs "$YENI"
  echo "Eski dizge $YEDEK dosyasina yedeklendi."
  echo "Yeni dizge: $(ipmitool lan print "$KANAL" | awk -F': ' '/Cipher Suite Priv Max/{print $2; exit}')"
else
  echo "Degisiklik yapilmadi. Kapatmak icin: sudo UYGULA=1 $0"
  echo "Uygulanacak dizge: $YENI"
fi

Doğrulama için betiği yeniden çalıştırın. TAMAM: Cipher 0 zaten kapali satırını görmelisiniz. Ardından dış kontrol betiğinin üçüncü adımı bu kez reddetmeli. Dizgenin geri kalanını kendiliğinden değiştirmeyin. Cipher 3 ve modeliniz destekliyorsa Cipher 17 açık kalmalı, yoksa izleme ve yönetim araçlarınız bağlanamayabilir.

IPMI over LAN'a gerçekten ihtiyacınız var mı?

Sensör okuma ve güç yönetimini web arayüzü, Redfish API ya da in-band ipmitool üzerinden yapıyorsanız ağ üzerinden IPMI'ya ihtiyacınız yoktur. Dell'in iDRAC9 güvenlik yapılandırma kılavuzu da kullanılmıyorsa IPMI over LAN'ın kapatılmasını önerir. Kapatmak RAKP sorununu kökten çözer, çünkü UDP 623 artık hiç yanıt vermez.

# Genel yontem (Supermicro ve cogu IPMI uygulamasi), kanal 1:
sudo ipmitool lan set 1 access off
# Geri almak icin:  sudo ipmitool lan set 1 access on

# Dell iDRAC (racadm kuruluysa, sunucunun uzerinden):
sudo racadm set iDRAC.IPMILan.Enable Disabled
# Geri almak icin:  sudo racadm set iDRAC.IPMILan.Enable Enabled

Bu ayar web arayüzünü ve sanal konsolu kapatmaz. Yalnız UDP 623 üzerinden ağ IPMI'sını kapatır. Değişiklikten sonra dış kontrol betiğini çalıştırın. 623/udp satırının artık open dönmemesi gerekir.

Yönetim arayüzünü VPN ya da izinli IP arkasına alma

Hedeflenen düzen şudur: BMC'nin herkese açık bir IP adresi olmaz. BMC ayrı bir yönetim VLAN'ındadır ve bu ağa yalnız VPN üzerinden ulaşılır. Bu düzeni kurmak için üç seçenek vardır. Önerilen sıra şöyledir:

1. Ayrı yönetim ağı ve VPN. BMC portu özel bir alt ağa bağlanır. Yöneticiler önce VPN'e, sonra BMC'ye bağlanır. Kendi VPN altyapınız yoksa yalnız sunucularınıza erişim veren bir kurumsal VPN çözümü bu katmanı sağlar.
2. Ağ cihazında izin listesi. BMC'nin önündeki güvenlik duvarı ya da switch ACL'i yalnız ofis veya VPN çıkış adreslerinden gelen trafiğe izin verir.
3. BMC'nin kendi IP filtresi. İlk iki seçenek mümkün değilse son çare olarak kullanılır. iDRAC'ta tek bir izinli aralık tanımlanabilir:

Kendinizi kilitlemeyin. IP filtresi ya da güvenlik duvarı kuralı uygulamadan önce bağlandığınız adresin izinli aralıkta olduğundan emin olun. Yanlış aralık girerseniz BMC'ye ağdan erişimi kaybedersiniz. Bu nedenle değişikliği sunucuya SSH ile bağlıyken ve racadm ya da ipmitool'un sunucu üzerinde (in-band) çalıştığını doğruladıktan sonra yapın. SSH de kapanırsa sağlayıcınızın konsol erişimini ya da veri merkezindeki fiziksel erişimi önceden ayarlayın.

# Dell iDRAC: yalniz 198.51.100.0/24 araligindan erisime izin ver
# (sunucu uzerinde, SSH oturumundayken calistirin)
sudo racadm set iDRAC.IPBlocking.RangeAddr 198.51.100.0
sudo racadm set iDRAC.IPBlocking.RangeMask 255.255.255.0
sudo racadm set iDRAC.IPBlocking.RangeEnable Enabled

# Geri almak icin:
# sudo racadm set iDRAC.IPBlocking.RangeEnable Disabled

Kuralı uyguladıktan sonra iki yönden test edin. İzinli adresten web arayüzü açılmalı, izinli olmayan bir adresten dış kontrol betiği tüm portları filtered göstermelidir.

BMC firmware güncellemesi ve güncel açıkları takip etme

BMC firmware'i ana işletim sisteminin paket yöneticisiyle güncellenmez. apt upgrade ya da Windows Update BMC'ye dokunmaz. Bu yüzden birçok sunucuda BMC yıllarca ilk sürümünde kalır. Oysa farklı üreticilerin BMC yazılımlarında, web arayüzünden kimlik doğrulamasız kod çalıştırmaya kadar varan açıklar zaman zaman yayımlanır.

Sürümü öğrenmek için:

# Tum ureticiler: BMC firmware surumu
sudo ipmitool mc info | grep -E 'Firmware Revision|Manufacturer Name'

# Dell iDRAC: tum bilesen surumleri
sudo racadm getversion

Uygulanabilir bir güncelleme süreci:

• Envanter tutun. Her sunucu için model, BMC türü ve firmware sürümünü bir tabloya yazın. İç denetim betiğinin ilk bölümü bu bilgiyi verir.
• Üreticinin güvenlik bildirimlerini izleyin. Dell, HPE ve Supermicro'nun güvenlik duyuru sayfalarını ayda bir kontrol edin ya da e-posta aboneliği açın. Model numaranızla arama yapın.
• Sırayı koruyun. Bazı üreticiler ara sürümlerin atlanmamasını ister. Sürüm notlarındaki ön koşulları okuyun.
• Bakım penceresi ayırın. BMC güncellemesi çoğunlukla ana sistemi yeniden başlatmaz, ama güncelleme sırasında uzaktan yönetim kesilir. BIOS ile birlikte yapılıyorsa yeniden başlatma gerekebilir.
• Güncellemeden sonra ayarları yeniden doğrulayın. Bazı güncellemeler varsayılanları geri getirebilir. İç denetim betiğini ve dış kontrolü tekrar çalıştırın.

Sensör değerlerini, BMC olay günlüğünü (ipmitool sel list) ve erişilebilirliği sürekli izlemek isterseniz bu verileri bir sunucu izleme sistemine bağlayabilirsiniz. Böylece beklenmedik bir oturum açma ya da güç olayı gözden kaçmaz.

Kiralık dedicated sunucuda kim neyi yönetir

Kendi kabininizdeki sunucuda bu adımların hepsi sizin sorumluluğunuzdadır. Kiralık bir fiziksel sunucu söz konusu olduğunda ise sorumluluk sağlayıcıyla paylaşılır. Bu paylaşımın yazılı olarak netleşmesi gerekir. Sağlayıcıya şu soruları sorun:

• BMC herkese açık bir IP adresinde mi, yoksa sağlayıcının yönetim ağında mı?
• Müşteriye BMC kullanıcısı veriliyor mu? Veriliyorsa yönetici yetkisinde mi, kısıtlı yetkide mi?
• Sağlayıcının BMC'de kendi hesabı var mı? Bu hesabın parolası sunucu başına farklı mı?
• Sanal konsol müşteri paneli üzerinden mi açılıyor, doğrudan BMC'ye mi bağlanılıyor?
• BMC firmware güncellemesini kim yapıyor ve hangi sıklıkla?
• Sunucu iade edildiğinde BMC kullanıcıları ve ayarları sıfırlanıyor mu?

Sağlayıcı BMC'yi kendi yönetim ağında tutuyor ve size yalnız panel üzerinden konsol veriyorsa dış kontrol betiği zaten kapalı sonuç döndürür. Bu durumda size düşen iş, panel hesabınızı iki adımlı doğrulamayla korumaktır. BMC'ye doğrudan erişim verildiyse bu rehberdeki tüm adımlar sizin işinizdir.

Sık yapılan hatalar

• Yalnız sunucu içinden taramak. Sunucudan kendi BMC'nize bakmak, internetten görüneni göstermez. Dış kontrolü mutlaka ayrı bir ağdan yapın.
• İşletim sistemi güvenlik duvarına güvenmek. UFW ya da iptables kuralları BMC trafiğini etkilemez, çünkü BMC ayrı bir ağ arayüzüdür. Paylaşımlı NIC kullanılan modellerde bile BMC paketleri işletim sistemine uğramaz.
• Parolayı değiştirip 623'ü açık bırakmak. RAKP özeti yine alınabilir. Güçlü parola süre kazandırır ama portu kapatmanın yerini tutmaz.
• Cipher dizgesini tamamen X yapmak. Bu durumda ağ IPMI'sı tümden kilitlenir. Amaç buysa doğrudan IPMI over LAN'ı kapatın. Dizgede yalnız gerekeni değiştirin.
• Güncellemeden sonra kontrolü atlamak. Firmware güncellemesi ayarları varsayılana döndürebilir. Her güncellemeden sonra iki betiği yeniden çalıştırın.

Sık sorulan sorular

IPMI, iDRAC ve iLO arasındaki fark nedir?

IPMI, sunucu yönetimi için standart bir protokoldür. iDRAC Dell'in, iLO ise HPE'nin BMC ürünlerinin adıdır. İkisi de IPMI'yı destekler ama web arayüzü, Redfish API ve kendi komut satırı araçları (racadm gibi) gibi ek özellikler sunar. Bu rehberdeki ipmitool adımları üçünde de çalışır. Üreticiye özel ayarlar için ilgili aracı kullanmanız gerekir.

BMC'nin internete açık olduğunu nasıl anlarım?

Başka bir ağdaki makineden BMC IP adresine nmap -Pn -p 80,443,5900 ve sudo nmap -sU -p 623 taraması yapın. Herhangi bir portun open dönmesi BMC'nin dışarıdan erişilebilir olduğunu gösterir. Yukarıdaki dış kontrol betiği bu iki taramayı ve Cipher 0 testini birlikte yapar.

Cipher 0'ı kapatınca izleme aracım bağlanamaz mı?

Çoğu güncel araç Cipher 3 ya da Cipher 17 kullanır, bu yüzden Cipher 0'ın kapanması onları etkilemez. Emin olmak için değişiklikten sonra aracınızın bağlantı testini çalıştırın. Bağlanamıyorsa yedek dosyadaki dizgeyi geri yükleyip aracın hangi cipher suite'i istediğini kontrol edin.

IPMI over LAN'ı kapatırsam uzaktan yeniden başlatabilir miyim?

Evet. Web arayüzü, sanal konsol ve Redfish API çalışmaya devam eder. Kapanan yalnız UDP 623 üzerinden ağ IPMI'sıdır. Sunucu içinden in-band ipmitool da çalışmayı sürdürür.

Kiralık sunucuda BMC firmware'ini kendim güncelleyebilir miyim?

Bu, sözleşmeye ve size verilen yetkiye bağlıdır. Yanlış ya da yarım kalan bir güncelleme BMC'yi kullanılamaz hale getirebilir. Güncellemeyi yapmadan önce sağlayıcıyla konuşun. Sağlayıcının güncellemeyi kendisinin yapıp yapmadığını öğrenin.

Sonuç

Fiziksel sunucu IPMI güvenliği beş adımda özetlenir. Önce BMC'nin internetten görünüp görünmediğini dışarıdan ölçün. Varsayılan ve kullanılmayan hesapları kapatıp her sunucuya ayrı, uzun parola verin. Cipher 0'ı kapatın, ihtiyacınız yoksa IPMI over LAN'ı tamamen devre dışı bırakın. Arayüzü VPN ya da izinli IP arkasına alın. Firmware sürümünü envanterde tutup üretici duyurularını izleyin. İki betiği her değişiklikten ve her firmware güncellemesinden sonra yeniden çalıştırırsanız ayarların zamanla eski haline dönüp dönmediğini fark edersiniz.