- ABD federal soruşturma kurumlarının iki ayrı mahkeme emriyle Google'dan belirli YouTube video ve canlı yayın izleyicilerine ait bilgileri talep etmesi, masum izleyicilerin de soruşturma ağına takılabileceği yönündeki endişeleri büyüttü
- Kentucky vakasında, “elonmuskwhm” kullanıcısını bulmak için gönderilen bir YouTube eğitim videosunu izleyenlerin Google hesap bilgileri ile giriş yapmadan izleyenlerin IP adresleri istendi
- New Hampshire vakasında, patlayıcı tehdidinin ardından polisin YouTube canlı yayını üzerinden izlendiğini düşünmesi üzerine, belirli bir zaman aralığında 8 yayını izleyen veya etkileşime giren hesapların listesi talep edildi
- Google, tüm kolluk kuvveti taleplerinde yasal geçerliliği ve kullanıcı gizliliğini incelediğini, aşırı veya uygunsuz veri taleplerine itiraz ettiğini belirtti
- Çevrimiçi izleme geçmişi siyasi eğilimler, ilgi alanları ve dini inançlar gibi hassas bilgileri ortaya çıkarabildiği için, bu tür mahkeme emirlerinin dijital ağ atarak soruşturma yöntemine dönüşme riski bulunuyor
Belirli YouTube izleyici bilgilerini talep eden iki mahkeme emri
- ABD federal soruşturma kurumları, mahkeme emirleriyle Google'dan belirli YouTube videolarını ve canlı yayınlarını izleyen kişilere ait bilgileri teslim etmesini istedi
- Sivil haklar kuruluşlarındaki gizlilik uzmanları, bu yöntemin masum YouTube izleyicilerine suç şüphelisi muamelesi yapabileceği ve anayasaya aykırı aşırı soruşturmaya yakın olduğu konusunda uyarıyor
- Mahkeme kayıtlarından, Google'ın verileri gerçekten teslim edip etmediği anlaşılamıyor
Kentucky vakası: “elonmuskwhm” izini sürmek için izleyici bilgisi talebi
- Kamuya açılan Kentucky vakasında, gizli soruşturmacılar “elonmuskwhm” takma adını kullanan bir kişiyi tespit etmeye çalıştı
- Soruşturmacılar, bu kullanıcının nakit karşılığı Bitcoin satın aldığını ve kara para aklamayla mücadele yasaları ile lisanssız para transferine ilişkin düzenlemeleri ihlal etmiş olabileceğini düşündü
- Ocak başındaki bir görüşmede gizli soruşturmacılar, kullanıcıya drone haritalama ve artırılmış gerçeklik yazılımıyla ilgili YouTube eğitim bağlantıları gönderdi
- Ardından soruşturma kurumu, Google'dan söz konusu videoları izleyen kişilere ait bilgileri talep etti
- Bu videoların toplam izlenme sayısı 30 bini aştı
- Talep edilen dönem 1 Ocak 2023 ile 8 Ocak 2023 arasındaydı
- Google hesabıyla izleyen kullanıcılar için ad, adres, telefon numarası ve kullanıcı etkinlikleri istendi
- Giriş yapmadan izleyenler için ise IP adresleri talep edildi
- Soruşturma kurumu, bu kayıtların devam eden ceza soruşturmasında failin tespitine yardımcı olacağını değerlendirdi
New Hampshire vakası: patlayıcı tehdidi ve YouTube canlı yayını
- New Hampshire eyaletinin Portsmouth kentindeki polis, bir erkekten kamusal alandaki bir çöp kutusuna patlayıcı yerleştirildiğine dair tehdit aldı
- Olay yerinde yapılan aramanın ardından polis, yerel bir işletmeyle bağlantılı YouTube canlı yayın kamerası üzerinden izlendiğini fark etti
- Federal soruşturma kurumları, ABD genelinde benzer olayların yaşandığını ve bunlarda bomba tehdidinin yapılıp polisin YouTube üzerinden gözlemlendiğini düşündü
- Soruşturma kurumu, Google'dan belirli bir zaman aralığında 8 YouTube canlı yayınını “izleyen ve/veya etkileşime giren” hesapların listesi ile ilgili kimlik bilgilerini talep etti
- Buna, 130 bin abonesi olan Boston and Maine Live tarafından yüklenen yayın da dahildi
- Hesabın arkasındaki IP Time Lapse şirketinin kurucusu Mike McCormack, bu emirden haberdar olduğunu ve bunun o dönemde kamera görüntüsünü hedef alan bir swatting vakasıyla bağlantılı olduğunu söyledi
Google'ın tutumu ve açıklığa kavuşmayan noktalar
- Google sözcüsü Matt Bryant, kolluk kuvvetlerinin tüm talepleri için kullanıcı gizliliğini ve anayasal hakları korurken kolluk faaliyetlerini desteklemeye yönelik sıkı süreçler bulunduğunu söyledi
- Google'a göre şirket, her talebin yasal geçerliliğini inceliyor ve gelişmekte olan içtihatlarla uyumlu karar veriyor
- Şirket, aşırı veya uygunsuz kullanıcı verisi taleplerine karşı çıktığını ve bazı taleplere tamamen itiraz ettiğini belirtti
- Mahkeme kayıtlarından, Google'ın iki vakada gerçekten veri sağlayıp sağlamadığı anlaşılmıyor
- Adalet Bakanlığı, haber yayımlandığı sırada yorum talebine yanıt vermedi
Gizlilik uzmanlarının anayasaya aykırılık endişesi
- Gizlilik uzmanları, bu emirlerin ifade özgürlüğünü ve makul olmayan aramalara karşı korunmayı güvence altına alan Birinci ve Dördüncü Değişiklik kapsamındaki korumaları zayıflatabileceğini düşünüyor
- Surveillance Technology Oversight Project'ten Albert Fox-Cahn, devlet kurumlarının arama emirlerini dijital ağ taramasına dönüştürme eğilimi gösterdiğini, bunun da anayasaya aykırı ve korkutucu olduğunu söyledi
- Fox-Cahn, insanların yalnızca YouTube algoritmasının karşılarına çıkardığı içerikleri izledikleri için polisin kapılarına gelmesinden korkmaması gerektiğini belirtti
- Ona göre bu emir, suç mahalli çevresindeki kullanıcı verilerini talep eden geofence warrant kadar güçlü bir caydırıcı etki yaratıyor
- Google, Aralık güncellemesiyle geofence emirlerine yanıt olarak konum verisi sağlamayı teknik olarak imkânsız hâle getireceğini duyurdu
- Bundan önce Kaliforniya'da bir mahkeme, Los Angeles'ın nüfus yoğunluğu yüksek çeşitli bölgelerini kapsayan bir geofence warrant'ın anayasaya aykırı olduğuna hükmetmişti
- Electronic Privacy Information Center'dan John Davisson, internette ne izlendiğinin siyasi görüşler, tutkular ve dini inançlar gibi hassas bilgileri açığa çıkarabileceğini söyledi
- Davisson'a göre, kolluk kuvvetlerinin güçlü bir gerekçe olmadan bu tür bilgilere erişemeyeceği beklentisi makuldür; ancak bu emirler o varsayımı tersine çeviriyor
1 yorum
Hacker News yorumları
Burada farklı olaylar birbirine karışmış durumda
İlk örnekteki gibi polisin bir video yükleyip izleyici bilgilerini istemesi gerçekten ciddi bir mesele; mahkemenin böyle bir şeye nasıl izin verebildiğini merak ediyorum
Sonrakini tam anlamadım ama swatting olayının failinin belirli bir kameranın canlı yayınını izlediğinden şüphelenildiği ve polisin zaman aralığı ya da başka özellikler gibi oldukça daraltılmış koşullar sunduğu anlaşılıyor; bu çok daha meşru görünüyor
30 bin kez izlenmiş bir video hakkında bilgi istenmiş; herkesin o videoyu 10’ar kez izlediğini ve hedef kişinin gerçekten izleyicilerden biri olduğunu varsaysak bile — ki bu da net değil — bir kişiyi bulmak için 2.999 kişinin hakları ihlal edilmiş oluyor
Blackstone’un bu konuda söyleyecekleri olurdu gibi geliyor[0]. Kurucu Babalar üzerinde büyük etkisi olan Blackstone oranının kelimenin tam anlamıyla 30 katı
Böyle bir şey meşru görünmüyor
Düzenleme: yazım hatası
[0] https://en.wikipedia.org/wiki/Blackstone%27s_ratio
Bunun yerine hedef kişiyle açık bir iletişim kanalı vardı ve onlara birkaç YouTube bağlantısı gönderebiliyorlardı
Polisin hipotezi, bu bağlantıların tamamına ya da çoğuna tıklayan kullanıcıyı bulurlarsa bunun muhtemelen hedef kişi olacağı yönünde. Rastgele bir kullanıcının tesadüfen o videoların hepsini izlemiş olma ihtimali düşük olduğu için
Yine de tüm izleyicilerin ham listesini istemek anayasaya aykırı görünüyor. Çok geniş kapsamlı ve yalnızca tek bir videoyu izlemiş kullanıcılar hakkında bile polise gereğinden fazla bilgi veriyor
Ancak Google’ın hedef kullanıcıyı tespit edip yalnızca o kullanıcının bilgilerini iletmesini isteyen çok daha dar kapsamlı bir talep olsaydı, anayasal açıdan mümkün olabilirmiş gibi görünüyor
Öte yandan, çok sayıda kişinin bilgisini açığa çıkaran dar kapsamlı arama emirleri de anayasal olarak kabul edilegeldi. Klasik örnek, belirli bir tarihte check-in yapmış ya da kayıtlı olan tüm konukların adlarını motelden isteyen arama emri; bu birden fazla kez geçerli sayıldı
İlk olay tuhaf görünüyor
Google’ın az da olsa karşı koyması iyi. Ama ABD’li olmayan bir Britanyalı için de bunu yapar mı, emin değilim; muhtemelen yapmaz
“Mahkeme kararına göre hükümet, Google’a söz konusu YouTube videosunu izleyen tüm Google hesabı kullanıcılarının adını, adresini, telefon numarasını ve kullanıcı etkinliğini sağlaması talimatını verdi”
Büyük teknoloji/sosyal medya şirketlerinin SIM swapping saldırıları bu kadar yaygınken “güvenlik için iki aşamalı doğrulama” diyerek telefon numarasında ısrar etmesinin nedeni umarım bununla biraz daha netleşmiştir
VPN kullanıyor olabilirsiniz; adres ya da ad Google hesabınızda bulunmayabilir ama telefon numarası neredeyse kesin vardır. Android kullanıyorsanız durum daha da kötü; uygulama/tarama geçmişini bile çıkarma ihtimalleri yüksek
Büyük sağlayıcılar için credential stuffing ciddi bir sorun ve iki aşamalı doğrulama zorunluluğu büyük bir hafifletici önlem. Hedefli bir saldırıda SIM swapping yaparlar, ama bu genel credential stuffing’e kıyasla zorluğu ciddi ölçüde artırır
Şu anda Google’ın YouTube’daki tüm kullanıcı telefon numaralarını elinde bulundurmasını gerektiren yasal bir yükümlülük de yok; Sundar da bu yüzden hapse girecek değil
“10 yıl önce Google’daki bir ürün yöneticisi, ‘Bir gün gelebilecek kolluk kuvvetlerinin toplu gözetim talebine hazırlık olarak kullanıcı telefon numaralarından oluşan bir veritabanı oluşturalım ve kullanıcılara bunun güvenlik için olduğunu söyleyelim’ diye karar verdi” tarzı bir iddia, düşününce epey saçma bir komplo teorisi
— Böyle biri olmadı
Lütfen biraz düşünün. Daha küçük bir kuruluş olup normalde yalnızca ad ve e-posta gibi şeylere sahip olsalar bile, neden telefon numarası istesinler? Kimlik tespitiyle ilgilenmiyorlar. İlgilenseler bile zaten e-posta ve ad ellerinde
Alüminyum folyo şapkayı çıkarmakta fayda var
“Mahkeme kararına göre hükümet, Google’a 1 Ocak 2023’ten 8 Ocak’a kadar söz konusu YouTube videosunu izleyen tüm Google hesabı kullanıcılarının adını, adresini, telefon numarasını ve kullanıcı etkinliğini sağlaması talimatını verdi”
İlginç bir dipnot olarak, Viacom da 2008’de YouTube’u erken dönemlerinde neredeyse batıracak olan davada benzer bir geniş kapsamlı talep kullanmıştı[1]
Bu kez talebi hükümet yapıyor ve Google’ın potansiyel olarak sağlayabileceği veri çok daha fazla
[1]: https://web.archive.org/web/20100702111029/http://afp.google...
Giderek anonimliğin garanti edilmediği görüşüne kayıyorum. Herkesin ne yaptığımı ve kim olduğumu bildiğini varsaymak gerekiyor gibi.
Bu yüzden sadece gerçek ad kullanıp çevrimiçi etkinliği çok daha azaltmak daha iyi olabilir.
Bunu henüz tamamen kabullenmiş değilim ama kaçınılmaz gibi geliyor.
Bana göre tek seçenek gizlilik ve anonimliği son derece kolay hale getirmek. Teknoloji insanları için değil, teknolojiye aşina olmayan büyükanne ve büyükbabaların bile kullanabileceği kadar.
Signal gibi, kullanıcı şifrelemenin farkında olmasa bile şifrelemeye kavuştuğu araçları güçlü biçimde desteklemeliyiz. İnsanlar gizlilik ve güvenlik istiyor ama nasıl yapacaklarını bilmiyor ya da neyin veri sızdırdığını anlamıyor.
İronik olan, bu sorunu üreten sektörün tam da bizim merkezinde yer aldığımız alan olması.
Ben o hapı yutmaya henüz hazır değilim ve bunu mutlaka yapmamız gerektiğine de ikna olmuş değilim. Kesinlikle bir şeyler yapabiliriz. Bu tür şeyleri yapmayarak ya da savunma araçları geliştirerek bile mümkün.
Kayıtsızlık, bu tür otoriter aşınmayı desteklemekten farklı değil. Çünkü gerçekte olan bu.
JavaScript kapalı bir tarayıcıda yalnızca Tor üzerinden erişilen bir HN hesabı oluşturur, yazıları da bir yapay zeka düzenleme servisinden geçirirsen geriye doğru izini sürmek epey zor olur.
Buna karşılık her gün 16 saat kendini yayınlıyorsan takma adın pek faydası olmaz. Birinin “Aa, ben bu kişiyi tanıyorum” dediği anda sır biter.
Nihayetinde her şey gibi bu da bir denge meselesi. Kimin seni hedef aldığına ve çevrimiçi bir şeyler yapmayı ne kadar sevdiğine bağlı.
Ormandaki bir kulübeye çekilip bütün gün sadece roman yazmadan önce kendine soracağın soru bu. Elbette yayımlarken takma ad kullanmak gerekir.
Yani en kötü duruma göre plan yapabilirsin ama bunun fazlasıyla yaygın, yanlış ve anormal olduğuna dair yargıyı ve toplumsal değeri bırakmamak gerekir.
Takip ve bunu yapan şirketler inanılmaz derecede geniş kapsamlı ve yenilmesi zor. Örneğin yalnızca kaydırıp geçtiğin tarayıcı reklamları bile parmak izi çıkarmaya yeterli olabilir.
“Kimsenin bilmesini istemediğiniz bir şey varsa, belki de en başta onu yapmamalısınız.”
Bu söz korkunç bir “saklayacak bir şeyin yoksa korkacak bir şeyin de yoktur” ifadesi olarak da okunabilir, mevcut duruma dair makul bir uyarı olarak da.
Henüz bilmiyorsanız Invidious’a göz atmaya değer: https://invidious.io/
Kimliğinizin belirlenmesinden endişe ediyorsanız muhtemelen herkese açık bir instance kullanmak istersiniz; liste burada: https://docs.invidious.io/instances/
Birkaç yıl öncesinden bir ölçüde ilgili bir makale:
Adalet Bakanlığı, USA Today’in okurları tanımlayan kayıtları için FBI celbini geri çekti - https://news.ycombinator.com/item?id=27408647 - Haziran 2021, 174 yorum
Polis, bir şüpheliyi bulmak için Google aramalarını taradı ve ilk hukuki itirazla karşılaştı
2022-06-30 https://news.ycombinator.com/item?id=31938350
O emir neredeyse sadece nezaket düzeyindeydi. ABD federal hükümeti gerçekten bir şey istediğinde, herhangi bir şirketin buna karşı çıkıp başarılı olabileceğini hayal etmek zor.
Diğer büyük ulus-devletler için de benzer olması çok muhtemel. Çin hükümeti de Google’a her an tüm verilere erişebileceğini gösterip işbirliği sağlamış olmalı; ABD’nin ise herhangi bir nedenle, herhangi bir zamanda tam erişim aldığını düşünüyorum.
Yine de hakkını teslim etmek gerek: https://en.wikipedia.org/wiki/Apple%E2%80%93FBI_encryption_d...
Temelde Google, NSA’e sürekli defolup gitmesini söyledi; bunun üzerine NSA bir delik açıp fiber optiği dinleyerek veri merkezleri arasındaki düz metin iletişimi çekip aldı. O dönemde bunun içinde epey önemli şeyler varmış gibi görünüyor.
MUSCULAR sızıntılarından birkaç hafta sonra tüm Google veri merkezleri birbirleriyle uygun SSL sonlandırması üzerinden iletişim kurar hale geldi.
Aurora’yı da biliyor musun? 2009’da Çin ordusuna bağlı bir grubun Google’a sızıp bilinen muhalifler hakkındaki bilgileri karıştırdığı olaydı. Hızla dışarı atıldılar ve sonrasında Google’ın güvenlik seviyesini yükseltme derecesi bilgi güvenliği tarihinde neredeyse eşi görülmemişti.
NSA veya çeşitli kolluk kuvvetleri yasal süreçleri izlerse Google’dan bilgi alabilir; istihbarat paylaşımı anlaşmalarının bir parçası olarak zaman zaman Google içinden veri aktaran az sayıda istihbarat kurumu mensubu da olabilir.
Ama NSA’in istediği her şeye Google’dan serbestçe eriştiği fikri saçma.
Düzenleme: Üstelik bu federal hükümet bile değil; eyalet ve yerel yönetimler, federal hükümetin sahip olduğu sınırlı etkiden bile daha zayıf.
Dürüst olmak gerekirse yukarıdaki doğruysa buna sevinebilirim. Hırsızlardan ve gaspçılardan gerçekten nefret ettiğim için taraflı bir konumdayım