Tim Cook’a e-posta atınca çözülen MacBook Activation Lock

• Kaybolduktan sonra geri dönen MacBook, Activation Lock’a takıldı; Apple Store faturası sunulmasına rağmen normal destek sürecinde kilidin kaldırılması reddedildi
• Hacker News’te 1. sıraya çıkmasına rağmen Apple’dan bir dönüş olmadı; Japonya’daki İngilizce konuşan geliştiricilerin bulunduğu bir Discord’da önerilen [e-mail] yolu ise gerçekten çözüme ulaştırdı
• E-posta gönderildikten 4 iş günü sonra Tim Cook’un Japonya’daki yönetici asistanı yanıt verdi; yaklaşık 2 hafta süren inceleme sonucunda MacBook’un ağustos ortasında sıfırlandığı ve yeni bir iCloud hesabıyla kayıp olarak bildirildiği ortaya çıktı
• Apple, kayıp olarak bildirilen cihazlarda orijinal satın alma kanıtı olsa bile kilidi kaldırmama politikası uyguladı; ancak ek belgeleri inceledikten sonra yazarın mülkiyetinde olduğuna karar verip kilidi kaldırdı
• Apple Security Research bunu bir güvenlik sorunu olarak görmedi; bu olay ise ilk kurulum akışında Find My ayarının kolayca atlanabilmesini ve kilit kaldırma politikasındaki açıkları ortaya koyuyor

---

Tim Cook’a e-postayla eskale edilen kilit kaldırma süreci

• Kaybolan MacBook geri geldi ama Activation Lock açıktı; Apple, Apple Store faturası sunulmasına rağmen kilidin kaldırılmasını reddetti
• Önceki deneyimi anlatan yazı Hacker News’ün üst sıralarına çıktı, ancak Apple’dan doğrudan bir iletişim gelmedi
• Japonya’daki İngilizce konuşan yazılım geliştiricilerinin bulunduğu bir Discord’da bir moderatör, [e-mail] adresine e-posta gönderilirse yönetici asistanlarının konuyu çözebilecek sorumlu kişilere eskale edebildiğini söyledi
• Tüm normal yollar denendikten sonra gönderilen e-postada şunlar yer aldı
  • MacBook’un kaybolduktan sonra geri geldiği ama Activation Lock’un açık olduğu
  • Apple Store faturası sunulmasına rağmen kilit kaldırma talebinin reddedildiği
  • Bu deneyimi anlatan yazının Hacker News’ün üst sıralarına çıktığı ve can sıkıcı hikâyenin iyi bir sonla bitmesinin istendiği
• 4 iş günü sonra Tim Cook’un Japonya’daki yönetici asistanı yanıt verdi; ardından yaklaşık 2 hafta boyunca e-posta ve telefonla doğrulamalar sürdü
• Doğrulanan süreç şöyleydi
  • MacBook, yazarın onu kaybetmesinden sonra ağustos ortasında sıfırlandı
  • Yeni oluşturulmuş bir iCloud hesabına bağlandı
  • E-posta adresi p ile başlayan bir hesap bu MacBook’u kayıp olarak bildirdi
• Apple, kayıp olarak bildirilen cihazlarda orijinal satın alma kanıtı olsa bile kilidi kaldırmama politikası nedeniyle önceki talebi reddetti
• Yönetici asistanları, sunulan belgelere dayanarak bu MacBook’un yazara ait olduğuna ikna oldu ve bunun sonucunda kilit kaldırıldı
• Hacker News’te yayılmasının belirleyici olup olmadığı net değil, ancak yazar yönetici asistanlarına önceki Activation Lock kaldırma talebinden daha fazla kanıt sunmadığını belirtiyor

MacBook’ta gerçekte ne oldu ve geriye kalan sorular

• Kilit kaldırıldığında çoktan yedek bir MacBook satın alınmıştı; bu kaldırma işlemi pratik kullanımdan çok ilke ve olayın nasıl geliştiğini anlama meselesiydi
• Apple, MacBook’un “nasıl” kilitlendiğini anlattı ama bunun “neden” yaşandığını açıklamadı
• MacBook’u geri veren kişiyle yapılan e-posta yazışmalarından çıkarılan süreç şöyle
  • Bu kişi cihazı kendisi sıfırlamadı
  • Kilidin kaldırılmasını istemek için bir dükkâna götürdü
  • Dükkân kilidi kaldıramadı ama MacBook’u sıfırladı
  • Dükkâna verilmeden önce yazarın giriş profili bilgilerinin göründüğü, sonrasında ise görünmediği söylendi
  • Dükkân kilidi kaldıramamasına rağmen para talep etti
  • Neden para istedikleri sorgulanınca bu kişi yanıt vermeyi bıraktı
• Yazar, dükkânın yeni bir Apple ID ile MacBook’u sıfırlayıp kayıp bildirimi yaparak para koparmaya çalışmış olabileceğinden şüpheleniyor
  • Önce cihazı “kilidi açılmış” gibi geri verip daha sonra yeniden kayıp bildirimiyle kilitleyerek ek ücret istemeyi planlamış olabilirler
  • Ya da kilidi yalnızca kendilerinin açabileceği bir duruma getirip daha yüksek ücret talep etmeyi hedeflemiş olabilirler
  • iCloud adresinin p ile başlaması, giriş ekranında görünen “Paul McMahon” adından hareketle makul bir e-posta adresi üretmelerinden kaynaklanmış olabilir
• MacBook ilk kurulumunda Apple, Find My ayarının kolayca atlanmasına izin veriyor
• Find My kurulmadığında sonuçlar ciddi olabildiği için Apple’ın ilk kurulum akışında bu riski daha açık biçimde göstermesi veya kilit kaldırma politikasını yeniden gözden geçirmesi gerekiyor
• Bu olay Apple Security Research’e bildirildi, ancak Apple “raporda bir güvenlik sorunu tespit edilemediği” yanıtını verdi

[GN⁺]

Hacker News yorumları

• Daha önce çalınan dizüstü bilgisayarımın polis tarafından bulunduğu haberini almıştım, ama kanıt torbasının içinde paramparça olmuş bir kabuk olarak geri dönünce büyük hayal kırıklığı yaşamıştım.
  Bu örnekte cihazın yeniden kullanılabilir hâle gelmesi sevindirici, ancak temelde bunun satın alınan şirketin dayattığı yapay bir sorun olduğunu düşünüyorum.
  Kendi cihazınızın özel anahtarına sahip olmamak, nihayetinde kullanım hakkınızın çok zengin ve kayıtsız başkalarının iyi niyetine bağlı olduğu anlamına geliyor; bu vakadaki gibi iyi sonuç almak ise istisnaya yakın görünüyor.

  • Hırsızlık önleme özelliğini korurken daha iyi çözümün ne olacağını merak ediyorum.
    Activation Lock uygulanmış bir iPhone veya Mac’in değeri genellikle yurt dışı pazarlarda parçalara ayrılıp satılacak kadar oluyor; şanssızsanız cihazı iCloud’dan kaldırmanız için tehdit mesajları da alabiliyorsunuz.
    Hırsızın yeni firmware yükleyip cihazı yeniymiş gibi kullanamaması temel satış noktalarından biri ve bazı alıcılar için daha yüksek fiyatı haklı gösterebilir.
    0: https://old.reddit.com/r/applehelp/comments/13yn1o0/phone_st...
    1: https://old.reddit.com/r/applehelp/comments/16fcd4c/recently...
  • “Kendi cihazınızın özel anahtarına sahip olmamak” kısmı yanlış anlama.
    Zaten bir Apple bilgisayarına sahip olmanın kendisinin imkânsız olduğunu düşünüyorum.
  • Asıl yazı Activation Lock’u överken kurulumun atlanabilmesini eleştiriyor; siz bunu Activation Lock’un kendisinin kötü olduğu iddiasına çeviriyorsunuz.
    Bu sitede sık görülen Apple’ı koşulsuz kötülemeden ibaret; sıkıcı, pek anlamlı değil ve ilginç de değil.
  • Bu şirketin dayattığı bir sorun değil, tamamen kullanıcının kendi başına açtığı bir sorun.
    2023’te uzaktan ölçüm/telemetri, onarılamayan donanım, “ne hâlin varsa gör” tarzı hata bildirimi ve müşteri hizmetleri ile artık kendi makinenize sahip olmadığınız gerçeği herkesin malumu.
    Apple, daha geniş anlamda Microsoft satın alan kişi, kendi cihazına erişim hakkı vermeyeceklerini bile bile ve daha iyi açık kaynak seçenekler olduğunu da bile bile satın alıyorsa sonuçlarına katlanmalı.
  • Artık donanımın bile gerçek anlamda sahibi olamıyoruz.

• Ürünle ilgili bir sorunu müşteri desteği çözemediğinde ya da çözmediğinde, iletişim bilgisi satan sitelerden CEO’nun e-posta adresini ve telefon numarasını satın alıp doğrudan ulaşıyorum.
  Yakın zamanda Google toplu dava uzlaşma ödemesini alma sorununu da böyle çözdüm ve çekimi ekspres olarak aldım.
  Ancak Cash App’te ters tepti; “destek sistemi dışında bir çalışanla iletişime geçtiğiniz için hesabınız kapatıldı” yanıtını aldım.
  Şimdi Sundar Pichai’nin cep telefonu numarası ne kadardır merak ediyorum. Kullanıcı adım, parolam ve kurtarma e-postam var ama eski telefon numaram olmadığı için Google hesabıma giremiyorum.

  • Cash App konusu için Consumer Financial Protection Bureau’ya şikâyet ederseniz kısa sürede çözülür.
  • Paylaşabiliyorsanız Cash App hikâyesini duymak isterim.
    Kendi hizmetleriyle ilgili bir sorunu çözmeye çalıştığınız için hesabı kapatmaları hakaret gibi görünüyor.
  • Avustralya’da tüketicilere yardımcı olmak için ACCC var ve tüketici hukuku da oldukça güçlü.
    Bu nedenle bazı şirketler devletle uğraşmamak için Avustralya’ya girmekten kaçınıyor, ancak Avustralyalı tüketiciler çok para harcadığı için sonunda o kurallara uymak zorunda kalıyorlar.
  • Destek talebi için kişisel telefon numarasını satın alıp iletişime geçmek taciz olarak da görülebilir.
  • Başka bir yol olarak yatırımcı ilişkileri birimiyle iletişime geçilebilir.
    Hissedar olmanız daha iyi olur ama şart değil; standart prosedür işlemediğinde standart dışı yollar kullanmanın etiği herkesin kendi değerlendirmesine kalmış.
    Bu tür gelen kutularına genelde yetkin kişiler bakar ve en azından içeride açılan vakayı kapatmak için doğru sorumluya iletirler.
    Patio11 de https://www.kalzumeus.com/2017/09/09/identity-theft-credit-r... yazısındaki “Where exactly should I address letters?” bölümünde bu yöntemi ve hukuk ekibiyle iletişimi ele alıyor.
    Adresi bulamazsanız genel merkeze “ATTN LEGAL DEPARTMENT” diye mektup gönderebilirsiniz; bu tür postaları pahalı insanlar açar.
    Geçmişte piyasa değeri yaklaşık 2 milyar dolar olan, elimde hisseleri bulunan bir şirketin yıllık raporuyla ilgili sorumu yatırımcı ilişkileri birimine göndermiştim; takip e-postama rağmen yanıt gelmeyince hisselerin yarısını sattım ve sonuçtan gayet memnun kaldım.

• Kişisel kullanım için artık MacBook almamamın bir nedeni var.
  2019’da o dönemin en üst donanımlı 15 inç MacBook’una 3 bin avrodan fazla harcadım; bu, Avrupa’daki ülkemde ortalama iki aylık maaştan fazlaydı.
  1 yıllık garanti bitmeden 2 hafta önce boşluk tuşu bozuldu; tasarım sorunu olduğu için yerel servis merkezinde garanti kapsamında birkaç gün içinde değiştirildi.
  Bir yıl sonra pil ölmek üzereydi, yetkili tamirciye gittim; pili değiştirmek için klavye ve trackpad’in tamamının değiştirilmesi gerektiğini, bunun da yaklaşık 750 avro tutacağını söylediler.
  Bir PC tamircisi birkaç yüz avroya yapabileceğini söyleyince ona bıraktım ve düzgün çalıştı, ancak 3 ay sonra dizüstü bilgisayar aniden kapandı.
  Apple, resmi olmayan pil kullanıldığı gerekçesiyle ücretli onarımı bile reddetti ve Mac tuğlaya döndü.
  Sonuçta kişisel kullanım için 2,5 yıl kullanmanın maliyeti 3.500 avro oldu; ucuz bir ikinci el arabadan daha pahalıya geldi.

  • Garanti süresi bitmiş bir Apple dizüstü bilgisayarın pilinin 1.000 avronun altında değiştirilemeyeceği anlamına geliyor gibi.
    Bu doğruysa, kimsenin bir daha Apple dizüstü bilgisayar alma hatasına düşmemesi için birinci sayfa haberi yapılacak kadar inanılmaz.
  • 2013’te alınan 400 dolarlık Toshiba dizüstü bilgisayar hâlâ sapasağlam, 2015 modeli de iyi dayanıyor.
  • Öte yandan 3 yıllık AppleCare’i 140 dolara almak da mümkündü.

• Apple’dan AirPods Max’i geri aldım; yenilenmiş bir ürünle değiştirilmiş gibiydi.
  Birkaç gün kullanmadıktan sonra bir ses duyup çıkarıp baktığımda, iPhone’da bu AirPods Max’in bir iCloud hesabına bağlı olduğuna dair bildirim belirdi.
  Apple’ın verdiği takip edilebilir kulaklık fikri rahatsız edici olduğu için Tim’e e-posta gönderip durumu anlattım.
  Ertesi gün Apple yönetici hizmetleri ekibinden arayıp ayrıntıları sordular; yenilenmiş değil yeni bir kulaklık istediğimi ve gerçekten takip edilip edilemediğinin doğrulanmasını istediğimi söyledim.
  Bir sonraki gün iki konuda da yanıt geldi: yeni ürünle değişim yoktu, Find My’a bağlı hesap üzerinden gerçekten takip edilebiliyordu ve üzgünlerdi.

  • En başta yenilenmiş ürünle değiştirmeleri zaten mantıklı değil.
  • Böyle bir sonuç beklemiyordum.
    Kulaklık sorunuyla ilgili “buna katlanın” diye yanıt vermiş olmalarına inanmak zor.

• Tim’in yönetici ekibinin sorunu çözmüş olması sevindirici, ama geniş açıdan bakınca bu, gerçek dünyadaki kimlik ile dijital kimliği ve cihazları birbirine bağlayan bir mekanizmaya ihtiyaç olduğu anlamına geliyor gibi görünüyor.
  Satın alma kanıtı yerine hesaba veya cihaza bağlanmış devlet kimliğini sunmak; kimlik doğrulama süreci güvenilir kabul edilebilirse, o kimliğin cihazla ilişkilendirilmiş kişi olduğu doğrulanıp cihaza ya da hesaba erişimin geri alınması gibi bir yöntem.
  Tim’e e-posta göndermek ölçeklenebilir bir yöntem değil.
  Hesap kurtarmadaki düzenleyici boşluk hakkında FTC’ye görüş sunmuştum; kimlik de finansal hizmetler odaklı bilgi güvenliği çalışmalarında ele alınan bir unsur.

  • Gerçek dünyadaki kimliği makineye bağlamak bu sorun için çok kötü bir çözüm; sorunun kendisini doğru anlamamaktan kaynaklanan bir fikir.
    Esas mesele, cihazı kurmak için kullanılan özel anahtarın mülkiyetine alıcının sahip olmadan cihazın satılması.
    Anahtar benim değilse cihaz da benim değildir.
  • Gerçek dünyadaki kimliği dijital kimliğe ve cihazlara bağlamak, çözdüğünden daha fazla sorun yaratır.
  • Estonya’da buna biraz benzeyen bir sistem var: https://e-estonia.com/solutions/e-identity/id-card/.
  • Kimliğimin donanıma bağlanmasını kesinlikle istemem.
    Bir kez bu olursa sektör, çevrimiçi hesapları da bağlayalım diye kampanya başlatacaktır.
    Devlete ve sektöre o kadar güvenmiyorum.
  • Bu durumu engellemek için gerçek kimliği işin içine katmadan dijital kimlik ile cihaz sahipliği arasındaki bağlantı yeterli olurdu.
    Orijinal yazının yazarı bu bağlantıyı kurma fırsatına sahipti ama bunu seçmedi.
    Apple hizmetlerini seviyorum, ama birinin kendi bilgisayarının sürekli büyük teknoloji şirketleriyle iletişim kurmasını istememesini anlayabiliyorum.
    Ancak Apple’la iletişim kurmasını istemeyen birinin devletle iletişim kurmasını neden sorun etmeyeceğini anlamak zor.

• Her şirket müşterileriyle insan insana muhatap olabilmeli.
  “Biz insan müşterilerin bir insanla konuşamayacağı kadar büyüğüz” tavrı normalleşiyor; bu tersine çevrilmesi gereken bir eğilim.
  Gelir kaynaklarını büyütürken, o gelir kaynaklarının ihtiyaç duyduğu desteğe yatırım yapmamak kötü bir iş uygulaması.

  • İronik şekilde, Apple ürünleri kullanma nedenlerimden biri Londra’da yaşarken erişebildiğim insan destek personeliydi.
    Dell, HP, Lenovo sorunlarında cihazı gönderip dua etmek gerekiyordu; Apple sorunlarında ise Covent Garden mağazasına yürüyerek girip sorabiliyordum.
    Apple destek deneyimi genel olarak çok iyiydi; tek istisna, iş için AppleCare ve AppleCare+’ı yanlış sipariş ettiğim bir vakaydı.
  • Geçenlerde yerel banka şubesinde 30 dakika bekledikten sonra görüştüğüm çalışan, sorunu çözmek için telefon hattını aramamı söyledi.
    Ya doğrudan işlem yapamıyordu ya da yapmak istemiyordu.
  • Deneyimlerime göre Apple’da bir yetkiliden oldukça hızlı şekilde telefonla dönüş alınabiliyor.
    https://support.apple.com/contact
  • Ahlaki açıdan kötü bir uygulama olabilir, ama “maliyet departmanına” mümkün olduğunca az harcamak iş açısından iyi görülebilir.
  • İşe yaramaz bir insanın chatbot’tan daha fazla zaman harcattığı bir deneyiminiz hiç olmadı mı, merak ediyorum.

• İlk MacBook etkinleştirmesinde Apple, Find My kurulumunu kolayca atlamaya izin veriyor; ancak bunu yapmamanın sonuçları ciddiyse kurulum akışının değiştirilmesi gerektiği önerisi makul görünüyor.
  O adımı atlamanın sonuçları açıkça uyarılmalı ya da kilit açma politikasının kendisi yeniden gözden geçirilmeli.

  • Böyle yapılırsa hemen, kullanıcıları hesap oluşturmaya zorlamak için korkutuyorlar diye kamuoyu önünde suçlanacaklar.
    Burada herkesi memnun edecek bir pozisyon yok.
  • Find My hesabına cihaz eklenmezse başka birinin kendi hesabına ekleyip cihazı kilitleyebileceği anlamına geliyorsa, uyarı metni tam olarak bunu söylemeli.
    “Bu adımı atlarsanız biri bu cihazı kendi Find My hesabına ekleyip sizi cihazdan kilitleyebilir. Böyle bir şey olursa Apple hiçbir koşulda size yardım etmez. Az önce satın aldığınız bu pahalı şeye erişmeye devam etmek için bu cihazı Find My hesabınıza eklemenizi öneririz” gibi olmalı.
  • OS güncellemesiyle tuğlaya dönen 2019 model MacBook’ta firmware kilidine takılmış durumdayım.
    Yalnızca OS açılacaksa firmware parolasına gerek yok; sadece silerken gerekiyor. Ben silmek istemiyorum, açılmasını istiyorum.
    Grand Central’da nakit aldım; çıkış haftasından kalma “Welcome to your New Mac” e-postası da var ve hâlâ Find My içinde görünüyor.
    Ancak nakit fişini saklamadım; yurt dışı seyahati öncesinde firmware parolası koymuştum ve şimdi hatırlamıyorum.
    Apple, Find My’da görünmesine ve baştan sona benim mülkiyetimde olmasına rağmen kilidi açmıyor.
    Kilidi açıp, bozuk OS güncellemesini düzeltip, sonra tekrar kilitleme yoluna da gitmiyor.
    Benim açımdan Apple makinemin bozulmasına neden oldu ve sonra tekrar tamir etmemi engelliyor.
    Yani Find My bile insanı kendisinden kurtaramıyor.

• Biraz farklı bir konu ama Activation Lock gibi mekanizmalarda 2–3 yıllık bir son kullanma tarihi olması gerektiğini düşünüyorum.
  Birinin çıkış yapmamış olması yüzünden sapasağlam bilgisayarların çöpe gitmesiyle oluşan anlamsız elektronik atığı ciddi ölçüde azaltabilir.

  • Eskiden bir otomobil bayisinde çalışmıştım; zamanla kimsenin giriş yapamaz hale gelmesi nedeniyle sonunda atılan 10'dan fazla iPad'i bizzat gördüm.
    Yaklaşık 1 yıl geçince aşağı yukarı üçte biri böyle oluyordu.
  • Geçen yıl bir bar sahibinin geride bıraktığı bir kutu iPhone'u aldım; çoğu neredeyse yeniydi ama yaklaşık 24 cihaz içinde kurtarılabilen yalnızca bir iPhone 7 vardı, geri kalanı elektronik atığa dönüştü.
  • Kurumsal bir MacBook söz konusuysa böyle bir endişe yok.
  • Elektronik atık bir sorun, ama cihazı tuğlaya çevirmek gerçekten güçlü tek hırsızlık caydırıcısı.
    Birçok suçlu, yeni bir iPhone'u çalıp 3 yıl sonra satabilecekse bunu seve seve yapar.

• Bu politika, birinin dizüstü bilgisayarını satıp yeni alıcının Find My Mac hesabını kurmasından sonra, satıcının cihazı tekrar çalıp Apple'dan onu kendi cihazı haline getirmesini istemesini önlemek için var.

  • Apple hangi politikayı oluşturursa oluştursun, gerçek yasal mülkiyet tanımıyla birebir örtüşmeyecek.
    Birçok yargı alanında belirli koşullar altında çalıntı mallar bile yasal olarak satın alınabilir; alıcının dikkatli olması ilkesiyle ilgili bir mesele var, ama kilit satın alma işleminden sonra devreye girdiyse teoride Apple'ın yeni sahip için kilidi açmaya zorlanması mümkün olabilir.
    Bunun dışında çok daha az şüpheli mülkiyet devirleri de çok ve hukuk ikinci el piyasasını tanırken Apple tüm bunlarda hakemlik yapacak konumda değil.
  • Bu senaryo, MacBook ile bir nükleer santrali hackleyip patlatma senaryosundan ancak çok az daha makul geliyor.
    Üstelik MacBook'ta böyle bir senaryoya karşı da hiçbir koruma yok.
  • Satıp sonra geri çalma olaylarının bu politikayı haklı çıkaracak kadar sık yaşanması mümkün değil, değil mi?

• Tim Cook'a gönderdiğim mektubun da işe yaradığına inanıyorum.
  macOS Big Sur, Intel Mac'lerde yüksek yenileme hızlı harici ekran desteğini bozmuştu.
  Sorun HDMI/DisplayPort'un DSC özelliğiyle ilgiliydi; 4 yıl önce Catalina'da 4K@144Hz'i sorunsuz kullananlar Big Sur'dan sonra yalnızca 60Hz kullanabilir hale geldi.
  Apple destek ve mühendislik ekibi, Catalina'yı kurup 4K@144Hz'in gerçekten çalıştığını göstermemi istedi; bir yığın tanılama verisi aldıktan sonra da “çözüm olarak Catalina'ya geri dönebilirsiniz” diye yanıt verdi.
  Vaka numarasıyla birlikte Tim Cook'a bir mektup gönderdim ve şaşırtıcı biçimde macOS Sonoma'da düzeltildi.