- Copilot+ Recall: Microsoft Windows 11’in yeni bir özelliği; kullanıcının PC ekranını sürekli olarak yakalayarak tüm etkinlikleri aranabilir bir veritabanına dönüştürüyor.
- Kullanıcının daha önce gördüğü her şeyi kolayca aramasını sağlıyor.
- Kullanıcıların büyük bölümü bu özelliğe olumsuz yaklaşıyor. Bunun nedeni gizlilik endişeleri ve kullanıcı mahremiyetinin ihlal edilme ihtimali.
Copilot+ Recall’un potansiyel kullanıcıları
- Çok sayıda işi ve sınırlı zamanı olan şirket yöneticileri için, bir ay önce belirli bir konuda ne yaptıklarını anında arayabilmek faydalı olabilir.
- Ancak bu, Windows kullanıcı tabanının çok küçük bir bölümünü oluşturuyor.
- Windows kullanıcılarının çoğu oyun oynamak, porno izlemek ve hata yapan insanlar olarak hayatlarını yaşamak istiyor.
- Başka birinin cihazlarına erişip fotoğraflar hâlinde kaydedilmiş kişisel anılarına bakabilmesi düşüncesi, birçok insan için derinden korkutucu.
Microsoft’un hatası
- Microsoft, yapay zeka adına ve gerçek müşterilerine zarar verecek şekilde kendi kendine zarar veriyor.
- Bu durum tüm Copilot markasını ateşe atabilir.
- Bu özelliğin, Windows’un güvenlik vaadini temelden bozduğuna dikkat çekiliyor.
[ Copilot+ Recall’un güvenlik sorunlarına dair Soru-Cevap ]
S. Veri dizüstü bilgisayarda tamamen yerel olarak işlenmiyor mu?
- Evet. Azure AI gibi kodların edge üzerinde işlenmesini sağlayan akıllı bir karar alınmış.
S. O halde hacker’lar ve zararlı yazılımlar erişemiyor olmalı, değil mi?
S. Ama şifrelenmiş değil mi?
- PC’ye giriş yapıp yazılımı çalıştırdığınızda, sizin için şifresi çözülüyor.
- Depolama sırasında şifreleme yalnızca birinin fiziksel olarak dizüstü bilgisayarı çalması durumunda işe yarıyor.
- InfoStealer truva atı gibi şeyler 10 yılı aşkın süredir büyük bir sorun ve artık Recall’ı destekleyecek şekilde kolayca değiştirilebilirler.
S. Ama Microsoft veriye yalnızca kullanıcının erişebileceğini söylemedi mi?
- Bu doğru değil. Aynı cihazdaki başka kullanıcı hesaplarının veritabanına erişebildiği gösterilebiliyor.
S. Peki bu nasıl çalışıyor?
- Her birkaç saniyede bir ekran görüntüsü alınıyor.
- Azure AI tarafından otomatik OCR uygulanarak kullanıcı klasöründeki SQLite veritabanına kaydediliyor.
- Bu veritabanı dosyasında, kullanıcının PC’de gördüğü her şeyin kaydı düz metin olarak tutuluyor.
S. Veritabanı nasıl görünüyor?
- Microsoft, medya kuruluşları aracılığıyla hacker’ların Copilot+ Recall etkinliğini uzaktan sızdıramayacağını söyledi.
- Ancak gerçekte bu, PC’de görülen her şeyi içeren bir düz metin veritabanı. Bunu otomatikleştirip dışarı sızdırmak çok kolay.
S. Veritabanı dosyası nasıl elde ediliyor?
- Bunlar AppData içindeki yeni CoreAIPlatform klasöründeki dosyalar.
S. Ama çok güçlü şekilde şifrelenmiş, dolayısıyla kimse erişemez, değil mi?!
- Microsoft’tan iki mühendisin Recall veritabanı klasörüne erişip SQLite veritabanını açtığını gösteren videodan bunun mümkün olduğu görülebiliyor.
- Sistem yetkileri de gerekmiyor.
S. Ama sıradan kullanıcılar yönetici olarak çalıştırmıyor ki!
- Microsoft’un kendi sitesindeki Recall tanıtım sayfasına göre öyle deniyor.
- Gerçekte veritabanını okumak için yönetici olmanız bile gerekmiyor.
S. Ama o videoda UAC istemi çıkmıştı; bu bir güvenlik sınırı değil mi?
- Microsoft’un kendi sitesi ve MSRC’ye göre UAC bir güvenlik sınırı değil.
S. O zaman buradaki güvenlik nerede?
- Gerçek dünyada, içinden uçak geçirilecek kadar büyük boşluklar var ve düzgün çalışmıyor.
S. Finansal bilgiler gibi şeylerin de otomatik ekran görüntüsü alınıp OCR’dan geçirilmediğini mi söylüyorsunuz?
- Hayır.
- Belgelere göre Recall içerik düzenlemesi yapmıyor.
- Parolaları/banka hesap numaralarını gizlemiyor.
- İlgili site standart internet protokollerine uymadıysa (parolayı
* ile maskelemek gibi).
S. Veritabanının boyutu ne kadar?
- İyi sıkıştırılıyor; birkaç günlük çalışma yaklaşık 90 KB civarında.
- Ortalama bir geniş bant bağlantısıyla aylarca birikmiş belge ve tuş girişleri birkaç saniyede dışarı sızdırılabilir.
S. Arama hızı nasıl?
- Cihaz üzerinde çok hızlı.
S. Kendi Recall veritabanınızı sızdırmayı denediniz mi?
- Evet. Otomatik sızdırma yaptım ve veritabanını yükleyip anında aramayı mümkün kılan bir web sitesi oluşturdum.
- Microsoft’a özelliği piyasaya sürmeden önce zaman tanımak için teknik ayrıntıları bilinçli olarak açıklamıyorum.
- Aslında gösterilecek çok şey var ve bu özellik genel kullanıma açılırsa daha geniş siber topluluğun bunu çok ilginç şekillerde kullanacağını düşünüyorum; ancak gerçek zarar doğabileceği için bunun gerçekten üzücü olduğunu düşünüyorum.
S. Veritabanında ne tür şeyler var?
- Kullanıcının gördüğü her şey uygulamaya göre sıralanmış durumda.
- Kullanıcının gördüğü tüm metinler (Microsoft Edge InPrivate modu hariç, ancak Google Chrome hariç değil).
- Pencere küçültme gibi tüm kullanıcı etkileşimleri.
- Kullanıcı etkinliği API’si var ve üçüncü taraf uygulamalar veriyi zenginleştirip kaydedilen veriyi görebiliyor.
- Üçüncü taraflar da ziyaret edilen tüm web sitelerini kaydedebiliyor.
S. E-posta/WhatsApp/Signal/Teams mesajlarını silersem Recall’dan da silinir mi?
- Hayır, veritabanında süresiz olarak kalır.
S. Mesajlaşma uygulamalarında otomatik silinen mesajlar Recall’dan kaldırılır mı?
- Hayır, Recall tarafından çekilip kullanılabilir hâlde kalır.
S. O zaman bununla web sitelerinden büyük ölçekli veri sızıntıları mümkün mü?
- Evet. İleride müşteri verilerinin açıkça sızdırıldığı büyük veri ihlalleri yaşanırsa, ilk bakışta sorumluluğun veriyi işleyen şirkette olduğunu düşüneceğim.
- Ancak Recall bulunan bir Windows cihazıyla hizmetlere/uygulamalara erişildiyse, hacker her şeyi görebilir ve hizmeti işleten şirketin haberi bile olmadan veri dökümü oluşturabilir.
- Veri zaten Recall veritabanında tutarlı biçimde yapılandırıldığı için saldırganların kullanması kolay.
- Yapay zeka destekli çok büyük sızıntı olaylarına hazırlıklı olmak gerekiyor.
S. Microsoft, BBC’nin Copilot güvenliği konusunda yanlış anlamasına yol açtı mı?
S. Microsoft, müşterilerin Copilot güvenliği konusunda yanlış anlamasına yol açtı mı?
- Evet. Örneğin bunu isteğe bağlı bir deneyim olarak anlatıyorlar, ancak varsayılan olarak açık geliyor ve insanlar isterlerse kapatabiliyor.
- Microsoft CEO’su bu ürün için "screenshot" ifadesini kullandı, ancak ürünün kendisi yalnızca "snapshot" terimini kullanıyor.
- Microsoft’un, müşterilerin bilinçli karar verebilmesi için bunun ne olduğunu açıkça belirtmesi gerekiyor.
S. Recall yalnızca tek bir donanım cihazı için geçerli değil mi?
- Bu doğru değil. Şu anda tüm büyük üreticilerden sipariş edilebilen 10 Copilot+ cihazı var.
- Ayrıca Microsoft sitesine göre AMD ve Intel yonga seti desteği üzerinde de çalışılıyor.
- Recall’un Windows 11’e gelmesi planlanıyor.
S. Recall nasıl devre dışı bırakılır?
- Uyumlu bir Copilot+ cihazının ilk kurulumunda Recall’u devre dışı bırakma seçeneğine tıklamanız gerekiyor.
- Kurumsal tarafta ise varsayılan olarak etkin olduğundan, Recall’u kapatmak için
Turn off Saving Snapshots for Windows ilke ayarı gerekiyor.
S. Gizlilik etkisi nedir? Bu GDPR’ye aykırı değil mi?
- Ben gizlilik veya hukuk uzmanı değilim.
- Konuştuğum gizlilik uzmanları, özellikle aile içi şiddet gibi durumlarda haneler üzerindeki etkiden ciddi şekilde endişe ediyor.
- Şirketler de müşteri verilerini bu şekilde işlemenin riskini değerlendirmeli.
- Microsoft, işlem edge cihazda yapıldığı için veri işleyicisi olarak sorumluluk üstlenmeyecektir.
S. Microsoft büyük ve kötü bir şirket mi?
- Hayır.
- Orada çok zeki insanlar var ve bazen çok zeki insanlar da hata yapar. Önemli olan hatayı fark edip ne yaptıklarıdır.
S. Microsoft’tan nefret eden eski bir çalışan değil miydiniz?
- Hayır, daha bu ay Microsoft’u öven bir blog yazısı yazdım.
S. Gerçekten düşünüldüğü kadar zararlı mı?
- Anne babanızın evine, büyükanne ve büyükbabanızın evine gidip Windows PC’lerine bakın; son 1 yılda yüklenen yazılımları inceleyin, cihazı kullanın ve antivirüs taraması çalıştırın.
- 1 trilyon dolarlık bir güvenlik sektörünün var olmasının ve sorunların büyük bölümünün zararlı yazılım ile endpoint’ler etrafında dönmesinin bir nedeni var.
S. Microsoft ne yapmalı?
- Bana göre Recall geri çekilmeli ve daha sonra sunulabilecek düzgün bir özellik olarak baştan ele alınmalı.
- Ayrıca bu duruma yol açan iç karar alma süreci de gözden geçirilmeli.
- Bu ayın başında Microsoft CEO’su tüm çalışanlara "güvenlik ile diğer öncelikler arasında seçim yapmanız gerekirse, cevap nettir. Güvenliği seçin" diye e-posta gönderdi.
- O e-postadaki sözleri ciddiye alıp almadığını göreceğiz.
- Şu anda darbeyi kabul edip alçakgönüllü olmak gerekiyor; aksi takdirde Copilot’a ve güvenlik markasına yönelik müşteri güveni riske atılabilir.
- Açıkçası, Recall’un hemen kullanıma sunulmamasına ağlayacak pek müşteri yok; ancak Microsoft’un tepkisi hiçbir şey yapmamak, ürünü piyasaya sürmek, ufak rötuşlar yapmak ya da medyada konuyu geçiştirmek olursa ciddi biçimde endişelenirim.
1 yorum
Hacker News görüşü
Microsoft'un stratejisi: Microsoft, önce sert biçimde dayatıp sonra daha yumuşatılmış bir çözüm sunarak hedeflerine ulaşmaya çalışan bir strateji izliyor.
Windows ve ChromeOS deneyimi: Geçmişte Microsoft'ta çalışmış biri olarak, Windows kötü bir işletim sistemi değildi. Ancak ChromeOS'u denedikten sonra en sonunda Debian'a geri dönüldü.
Linux'a geçiş: Kısa süre önce bir Framework 16 dizüstüne Arch Linux ve Steam kuruldu ve oyunlar sorunsuz çalışıyor. Artık Microsoft ürünlerinden tamamen çıkıldığı hissediliyor.
Microsoft'un imaj değişimi: GitHub'ı satın alması ve Linux alt sistemi getirmesiyle Microsoft havalı bir şirket gibi görünmüştü, ancak son dönemdeki Recall özelliği ve Windows 10 kurulumu sırasında zorunlu hesap girişi nedeniyle yeniden olumsuz bir algı oluştu.
Recall özelliğinin sorunları: Microsoft geçmişte üçüncü taraf yazılımlarla uyumluluğu korumaya çalışıyordu, ancak şimdi kullanıcı mahremiyetini ihlal eden Recall özelliğini sunması hayal kırıklığı yaratıyor.
Steve Jobs ve Microsoft: Steve Jobs insanların ürünlere karşı ne hissettiğini anlıyordu, ama Microsoft anlamıyor. Geçmişte de kullanıcı duygularını dikkate almıyordu ve bugün de değişmiş görünmüyor.
Mahremiyet kaygıları: Mahremiyet meselesi ciddi ve işler daha da kötüleşmeden önce iyileştirme ihtimali var. Ancak bu özellik iyi uygulanırsa modern yapay zekanın killer app'i olabilir.
Bilgiye erişimin önemi: İyi bilgi erişimi güçlü bir yetenek. Kişisel veriler çok değerli ve bunları depolayıp otomatik olarak erişmenin bir yoluna ihtiyaç var. Zamanla buna uyum sağlamak gerekecek.
Casus cihaz: 2017'de insanlar gönüllü olarak evlerine casus cihazlar soktu, 2024'te ise keylogger'ı etkinleştiriyorlar.
'Antitrust' filmi ve gerçeklik: 2001 yapımı 'Antitrust', Microsoft'a benzeyen bir şirketin tüm bilgisayarları izlemesini ve kod çalmasını konu alıyordu. 23 yıl sonra bu gerçek oldu.