Ottawa, gözetim için ağlarda gizli arka kapılar oluşturma yetkisi istiyor

 (theglobeandmail.com)
1 puan yazan GN⁺ 2024-05-30 | 1 yorum | WhatsApp'ta paylaş

Kanada siber güvenlik yasa tasarısının sorunları

C-26 yasa tasarısının ana içeriği

  • C-26 yasa tasarısı, Kanada hükümetine telekom şirketlerine şifrelenmiş ağlara gizlice arka kapı yerleştirmelerini emretme yetkisi veriyor.
  • Bu, hükümet gözetimini kolaylaştırmak için 5G şifreleme standartlarının değiştirilmesine yol açabilir.

Mevcut ağların zayıflıkları

  • Mevcut ağlarda zaten çok sayıda zayıflık bulunuyor.
  • Örneğin, 1975'te geliştirilen Signalling System No.7, cep telefonu güvenliğindeki başlıca zayıflıklardan biri.
  • Citizen Lab'in 2023 tarihli raporuna göre, dünya genelindeki mobil ağların çekirdeğinde yaygın zayıflıklar bulunuyor.

Yasa tasarısının sorunları

  • Hükümet, yeni zayıflıklar yaratmak yerine mevcut zayıflıkları gidermeli.
  • C-26 yasa tasarısı, Kanada'nın telekom hizmetlerinin "gizliliğine, bütünlüğüne ve kullanılabilirliğine" zarar verebilecek teknik değişiklikleri zorunlu kılabilecek geniş yetkiler veriyor.
  • Hükümet, bu yasa tasarısı aracılığıyla Kanadalıların en gizli iletişimlerinin ne kadar güvenli olacağına karar veren tek hakem haline geliyor.

Şifrelemeyi zayıflatmanın riskleri

  • 5G teknolojisindeki şifreleme, mobil iletişimi korur ve kullanıcı verilerini ortadaki adam saldırılarına karşı savunur.
  • Yasa tasarısı, buluta bağlı akıllı cihazları ve uydu tabanlı hizmetleri de etkileyebilir.
  • Tarihsel olarak, hükümet arka kapıları siber güvenlik açısından ciddi tehditler doğurmuştur.

Hükümetin siber güvenlik stratejisindeki çelişki

  • Kanada 2022'de Huawei ve ZTE'nin telekom ekipmanlarını engelledi, ancak C-26 yasa tasarısı Kanada'ya gizli emirlerle şifrelemeyi zayıflatma yetkisi veriyor.
  • Bu, Kanada'nın şifreleme yanlısı politikaları ve uzman rehberliğiyle çelişiyor.

Güvenli arka kapı diye bir şey yok

  • GCHQ raporuna göre, ticari hackleme şirketlerinden kaynaklanan tehdit siber ortam üzerinde büyük etki yaratacak.
  • Kanada hükümeti telekom şirketlerini güvenlik özelliklerini zayıflatmaya zorlarsa, siber casusluk şirketleri ve diğer düşmanlar iletişime erişmenin daha fazla yolunu arayacaktır.

GN⁺ görüşü

  • Şifrelemenin önemi: Şifreleme siber güvenliğin çekirdeğidir ve bunu zayıflatmak tüm sistemin güvenliğini tehdit eder.
  • Hükümetin çelişkili politikaları: Kanada hükümetinin politikaları tutarlı değil ve bu durum uluslararası düzeyde de olumsuz etki yaratabilir.
  • Teknik zayıflıklar: Yasa tasarısı geçerse yeni teknik zayıflıkların ortaya çıkma ihtimali yüksektir.
  • Alternatif ihtiyacı: Kanada, şifrelemeyi koruyup güçlendirecek yönde siber güvenlik yasa tasarısını yeniden değerlendirmeli.
  • Uluslararası etki: Kanada'nın yasa tasarısı, diğer ülkelerde benzer baskıcı yasa tasarılarını meşrulaştırmak için dayanak olabilir.

İlgili okumalar

1 yorum

 
GN⁺ 2024-05-30
Hacker News yorumları

  • Kanada’nın gözetim amacıyla iletişim ağlarına arka kapı yerleştirme yetkisi zaten var. Her egemen devlet, RAN mimarisinin bir parçası olarak kendi altyapısında bunu yapar
    https://en.wikipedia.org/wiki/Lawful_interception
    Kanada’nın aslında istediği şey, bunu arama kararı gibi geleneksel hukuki eşikler ya da yasal denetim olmadan yapmanın bir yolu gibi görünüyor

    • Kişisel mahremiyetin hızla zayıfladığı bir ortamda, bu tür yetki genişlemelerinden söz ederken hangi kurumun hangi bağlamda kullanacağını somut olarak görmek gerekir
      Örneğin bugünlerde NSA benzeri istihbarat kurumlarının istedikleri elektronik iletişimi zaten neredeyse hiçbir sürtünme olmadan alabildiğini varsaymak doğal. ABD’de kendi vatandaşlarının yurt içi gözetimine karşı korumalar olduğu söylense de, bunların Five Eyes ortak kurumları ya da ticari veri brokerları üzerinden ne kadar hızlı ve kolay aşıldığını zaten gördük
      Daha korkutucu olan, yurt içi kolluk kuvvetlerinin arama kararı şartı ya da tekil talep prosedürleri gibi sürtünmeleri ortadan kaldıran yeni yöntemler edinmesi. Bu tür talepler teoride izlenip incelenerek kötüye kullanım yakalanabilir; ama yerel soruşturma kurumlarının her şeyi içeren bir full take feed erişimi kazanıp sonradan devasa metadata bağlantı grafikleri oluşturup arama yapabilmesi gerçekten dehşet verici
    • Kanada’da 1982 sonrası Şart içinde bir notwithstanding clause var; bu yüzden parlamentonun haklar bildirgesi niteliğindeki içeriği göz ardı edebilmesi nedeniyle fiilen gerçek bir anayasası olmadığı da söylenebilir
    • Genelde fark, dinlemenin nerede gerçekleştiğinde yatıyor
      Çoğu devlet, sinyal var olduğundan beri sinyali ele geçirme kabiliyetine sahipti
      Şimdi istenen şey, işletim sistemi ya da uygulamaları ele geçirip şifrelemeden önce veya çözme işleminden sonra mesajların düz metnini ülke içine göndermelerini sağlamak
      Ancak şirketlerin içine öylece girip bunu yapmalarını emredemezsiniz; bu yüzden şirketleri bu değişiklikleri uygulamaya zorlayacak yetki gerekir. Bu nedenle bu tür yasalar çoğu zaman çok muğlak biçimde sonuçlanır
    • Bunun nasıl mümkün olduğunu merak ediyorum. HTTPS uçtan uca dinlemeyi engellemiyor mu?
      Bunun kırılabildiğini mi söylüyorlar, yoksa yalnızca iletişim kurduğum uç noktanın sahibinden bilgiyi vermesini isteyebiliyorlar, emin değilim
    • Bunu sadece telekom operatörleri yapmıyor. Ekipman tedarikçileri cihazların içine yasal dinleme işlevi koyuyor ve operatörlerin yapması gereken tek şey erişimi yapılandırmak oluyor
      Şu an doğrulayamıyorum ama bunun açık standartların bir parçası da olduğunu hatırlıyorum

  • Bana paranoyak diyebilirsiniz ama Recall gibi istemci tarafı tarayıcıların, matematiği ya da donanımı kırmadan uçtan uca şifrelemeyi aşma amacı taşıdığını düşünüyorum
    NPU tabanlı istemci tarafı tarama ile sözlük analizi teknikleri birleştiğinde, ben Apple/Google/Microsoft’tan kalıcı olarak uzak duracak kadar bilinçli olsam bile sıradan anonim bir arkadaşım Recall açık bir Copilot+ kullanıyor olabilir. Böylece Microsoft o arkadaşımın cihazından konuşmayı okuyup beni tanımlayabilir

    • Çok geçmeden Microsoft’un Recall verilerini OneDrive’a “yedekleme” özelliği sunacağına eminim; o zaman kolluk kuvvetleri bunu celple kolayca alabilir
      Örneğin WhatsApp, Drive yedeklerini güçlü biçimde teşvik ediyor ve polis açısından oradan bir kopya almak kolay
    • İşletim sistemi ya da Recall operatörlerinin, “kazara” toplanmış bir önemli bilgi yığını üzerinde oturduklarını fark edip veri brokerlığı pazarına girmeleri an meselesi

  • Snowden ve Assange bize bir şey öğrettiyse, o da devlet kaynaklı gözetim konusunda kanıt çıtasını fazla yükseltmemek gerektiğidir
    Elde edilebilir kanıtlar her zaman gerçek durumun gerisinden gelir ve eskiden abartı ya da istisnai kuşku sayılan şeyler, örneğin “NSA benim brokoliden nefret ettiğimi bile biliyor” gibi laflar bile sonuçta tamamen temelsiz değildi

    • NSA gerçekten World of Warcraft içinde de gözetim yaptı. [1]
      İstihbarat görevlileri “ulusal güvenlik” için oyun içinde elf olarak dolaşmaya başladığında, aptalca ama sonsuz derecede eğlenceli bir zaman çizelgesinde yaşadığımızı anlarsınız
      [1] - https://www.theguardian.com/world/2013/dec/09/nsa-spies-onli...

  • Bu konuşmalar çoğu ülkede birkaç yılda bir tekrar ediyor. Herkes, neredeyse bütün ülkelerde telekomünikasyonun lisanslı bir sektör olduğunu ve yasal dinleme sağlama yükümlülüğünün bu lisansın hukuki şartlarından biri olduğunu unutuyor gibi görünüyor

    • İletişim ağlarına gözetim amaçlı arka kapı yerleştirme yetkisi zaten var, ama asıl istenen bunu arama kararı gibi geleneksel hukuki eşikler ya da yasal denetim olmadan yapabilmenin yolu
      Bu yüzden “zaten yapabiliyorlar” deyip geçmemek gerekir
    • Aa, demek yasada öyle yazıyor, o halde elbette kabul edilebilir

  • “2017’de CBC, hackerların yalnızca Kanadalı bir milletvekilinin cep telefonu numarasıyla konum hareketlerini, SMS’lerini ve aramalarını ele geçirebildiğini gösterdi”
    Bağlantı verilen yazıda, hackerların Parliament Hill ofisindeki Dubé ile Berlin’de bir kafede oturan Radio-Canada meslektaşı Brigitte Bureau arasındaki görüşmeyi kaydedebildiği yazıyor
    Çok fazla sorum var. Bu hâlâ yapılabiliyor mu? SS7 kullanan tüm telefonlarda geçerli mi? Buna sabit hatlar ve cep telefonları da dahil mi? Dünyanın herhangi bir yerinden herhangi bir yere mümkün mü? Saldırının sınırları neler? Herkes başkasının aramasını dinleyebiliyorsa bu neden çok daha büyük bir mesele değil?

  • Bu tür girişimlerin sorunu, gerçekten suç ya da güvenlik meselelerine yanıt vermeye çalışmaları değil, iktidar partisinin hakimiyetini güvence altına almak ve muhalif görüşleri kontrol etmek istemeleri
    Teknolojik değişimin hızıyla idarecilik anlayışını karşılaştırınca, bu tür politika girişimleri Kanada'nın fiilen onlarca yıl boyunca gelişmekte olan bir ülke durumuna giden yola girdiğinin işareti gibi görünüyor. Geçmişte Portekiz, Yunanistan, Arjantin ve İspanya'nın 20. yüzyılın sonlarında yoksul ülkeler olarak görülmesine benziyor; o dönemin iktidar partileri de bugünün Kanada'sına benziyor
    Hükümet büyümeden yönünü muhalefeti ve sermaye çıkışını yönetmeye çevirirse, işin sonu zaten görünmüş demektir

  • Yasal dinleme (LI) alanını bir ölçüde biliyorum. ABD/Kanada'daki bazı kurumlar ve şirketler bunu JSI Telecom araçlarıyla yapıyor
    Bunlar derin paket incelemesi ve çağrı kaydı yapıyor; saklama politikaları da ilgili ülkenin yasalarına göre belirleniyor. Kaydedilen çağrılarda bile avukatla yapılan konuşmalar kayda alınmamalı, bu yüzden birinin dinleyip sesi kapatması gerekiyor. Bazı ülkeler kayda izin vermediği için birinin görüşmeyi gerçek zamanlı dinlemesi gerekiyor
    Benim kişisel görüşüm, demokrasinin ortadan kalkacağı ve hükümetlerin keyfi davrandığı cumhuriyetlerin öne çıkacağı yönünde. Zaten o yöne gidiyor gibiyiz ve bu tiyatro gibi süreç yorucu

  • Artık demokratik ülkelerin şifrelemeyi usulüne uygun yargı süreci çerçevesinde anayasal olarak güvence altına alma zamanı gelmiş olabilir mi diye merak ediyorum
    En azından denge ve denetim kavramıyla oldukça uyumlu görünüyor

  • Kanada totaliter mi? Şaşırtıcı

    • Mevcut hükümet karşıtlarının bu ifadeyi bugünlerde sevdiğini biliyorum ama Kanada hükümeti totalitarizmden o kadar uzak ki biraz gülünç duruyor
      Asıl sorun faşizm filan değil, oligopol
      Hükümet çabasının çoğunu dost şirketleri ve sektörleri rekabetten korumaya, hatta vergi gelirlerini onlara aktarmaya harcıyor
      Bell ve Rogers söz konusu olduğunda bu her yıl milyarlarca dolar ediyor
    • Endişelenmeye gerek yok. AB de birkaç haftada bir aynı şeyi deniyor
      https://www.patrick-breyer.de/en/let-yourself-be-monitored-e...
    • Daha doğrusu otoriterlik. Totalitarizm, nüfusun tek bir ideoloji altında kitlesel olarak seferber edilmesini gerektirir
      Putin totaliter bir lider olmaya çalışıyor ama bunda o bile başarılı olamadı. Güvenlik aygıtına karşı çıkamayacak kadar korkmuş ya da rehavete kapılmış, siyasetten uzaklaştırılmış Rusya'nın “sessiz çoğunluğuna” epey dayanıyor
      Rusya totaliter bir devlet olsaydı, o çoğunluğun orduya ve hükümete katılmak için birbiriyle yarıştığını görürdük
    • Bu işe yaramaz ve bilgisiz bir alaycılık
      Kanada totaliter değil. Dürüst olmak gerekirse, Ottawa şehir merkezinin ablukaya alınmasını meşru gören çok uç bir siyasal bakışınız yoksa bunu söylemek zor
      Kanada'da da MAGA tarzı komplo düşüncesi epey var ama Kanada ölçütlerine göre bu nispeten yeni bir olgu ve yaygın kabul görmüş de değil
    • Bu çok kötü bir değerlendirme
      Son birkaç on yılda Kanada'daki hiçbir hükümet totalitarizme, otoriterliğe ya da bunlara benzer bir şeye yaklaşmadı. Yaşayan hafızadaki en yakın örnek yatılı okullar olabilir ama bunlar federal ve alt düzey yönetimlerin destek politikaları altında kiliseler tarafından işletiliyordu. Küçümsemek için söylemiyorum ama son yatılı okul 1997'de kapandı
      Kanada kuşkuya yer bırakmayacak şekilde Batı tipi liberal demokrasi kategorisine giren temsili bir demokrasidir. Neoliberalizmin de neomuhafazakarlık gibi meşru eleştiri noktaları var ama totaliter emeller suçlaması ancak son derece nadir durumlarda yerinde olur
      Hatta Kanada demokrasisine yönelik en büyük tehdit siyasal okuryazarlığın gerilemesi olabilir. Biz başbakanı doğrudan seçtiğimiz bir seçim yapmıyoruz ama birçok kişi oyunu sanki öyleymiş gibi veriyor. İki partili bir sistem değil; aslında azınlık hükümetlerine imkan verecek kadar çok partili bir sistem ve şu anda da öyle, ama birçok kişi fiilen iki partili bir sistem varmış da yanında “boşa giden oy olan şaka partileri” bulunuyormuş gibi oy veriyor
      İki meclisli bir parlamentomuz var ama meclislerden biri tamamen seçilmiş üyelerden oluşuyor ve şimdiye kadar çoğunlukla iyi niyetin gücüyle nispeten sakin kalabildi. Uzun vadede bunun yeterli bir güvence olduğunu düşünmüyorum ama bu başka bir konu
      Kanada'da çoğu insan, bir tasarının parlamentoya nasıl sunulup kabul edildiğini birkaç okuma aşaması olduğu bilgisinin ötesinde doğaçlama anlatamaz. Ayrıca gerçekte çoğu kişi, kendi milletvekilinin ya da eyalet düzeyindeki temsilcisinin ne yaptığını takip etmekten çok parti liderlerine ve iktidardakilerin genel gidişatına bakarak oy veriyor

  • https://archive.is/y6d41