Root Erişim Hakkı

• 2025’in tüketicileri telefonlardan akıllı ev cihazlarına ve tarım makinelerine kadar pek çok şeyi ağa bağlı kullanıyor; ancak sahip oldukları cihazlarda istedikleri yazılımı çalıştırma kontrolü sınırlı
• Üreticilerin bootloader kilidi ve root erişimini engellemesi güvenliği artırabilir; ancak kilidi açma seçeneği yoksa bu, çalıştırılabilir yazılımı şirketlerin belirlediği donanım düzeyinde kontrole dönüşür
• Mac ve iPad aynı M-series çipleri kullansa da yetkiler farklı veriliyor; M4 iPad Pro gibi en yeni çipi taşıyan cihazlarda bile kullanıcılar işletim sistemi kuramıyor veya tüm sisteme erişemiyor
• Kilitli cihazlar destek sona erdikten sonra kolayca elektronik atığa dönüşüyor; John Deere gibi veri erişimini yetkili bayilerle sınırlayan örneklerde onarım hakkı ve üçüncü taraf rekabeti zayıflıyor
• Varsayılan ayar güvenli biçimde kilitli olabilir; ancak tüketici riski anladıktan sonra kilidi açabilmeli. İstisnalar, tıbbi cihazlar ve araç ECU’larının bazı bölümleri gibi değişiklik riskinin yüksek olduğu kritik sistemlerle sınırlı olmalı

---

Sahip olunan cihazda yazılımı değiştirme hakkı

• Tüketicinin tamamen sahip olduğu bilişim cihazlarında istediği yazılımı kurabilmesi için root erişim hakkı gerekir
• Bu hak yalnızca PC ve dizüstü bilgisayarlarla sınırlı değildir
  • Telefonlar
  • Akıllı ev cihazları
  • Traktör gibi endüstriyel ekipmanlar
• 2025’te kullanıcılar pek çok cihaza bağlı durumda, ancak bootloader kilidi ve root erişimi kısıtlamaları nedeniyle cihazlarını tamamen kontrol edemiyor
• Üreticiler, kendi dağıtım kanallarında onayladıkları yazılımlara izin vererek kurulabilir yazılım kapsamını sınırlandırıyor

Bootloader ve root erişimi neden önemli

• Bootloader, bilgisayarın açılış sürecinden sorumlu programdır
• Root erişimi, bir bilgisayar sisteminde kullanıcıya verilebilecek en yüksek yetkidir
• Bu iki yetki varsa kullanıcı cihaz üzerinde derinlemesine kontrol sahibi olabilir
  • Cihazda çalışan süreçleri inceleyebilir
  • Yeni bir işletim sistemi kurabilir
  • Tüm dosya sistemiyle etkileşime girebilir
• Sıradan kullanıcıların günlük kullanımda root yetkisine ihtiyacı olmadığı için Windows’taki “Run as Administrator” veya Linux·macOS’taki sudo gibi ayrı yetki yükseltme süreçleri vardır
• Root erişimi yanlış kişilerin eline geçerse sistem kolayca ele geçirilebilir; bu yüzden gerçek güvenlik riski de büyüktür
• Buna karşılık kullanıcı bilişim sisteminin alt katmanlarını incelemek ve değiştirmek istiyorsa bu üst düzey yetki gereklidir

Güvenlik gerekçesi ve tüketici karşıtı kilitler

• Akıllı telefon bootloader’larının çoğu varsayılan olarak kilitlidir; kilidi açma imkânı ise kolaydan imkânsıza kadar değişir
• Donanım düzeyinde kilitli olan ve kilit açma seçeneği bulunmayan cihazlar özünde tüketici karşıtıdır
• Donanım kilitlerine yönelik düzenleme eksik olduğunda şirketler, hangi yazılımların çalıştırılabileceğini sınırlayan elektronik cihazları olduğu gibi satabilir
• Bu tür kilitler, rastgele yazılım çalıştırmanın ortalama tüketici için aşırı siber saldırı riski yarattığı yönündeki güvenlik mantığıyla meşrulaştırılır
• Bu “güvenlik” gerekçesi çeşitli rekabet karşıtı uygulamaları perdeleyebilir
  • Üçüncü taraf yazılımların üreticinin denetiminden geçmesi gerekir ve üretici tutarsız politikalarla dağıtımı istediği zaman geri çekebilir
  • Üçüncü tarafların donanım tedarikçisinin platformuyla gelir paylaşması gerekir
  • Tüketici alternatif yazılım kurarsa cihaz garantisi geçersiz sayılabilir
  • Belirli sistem API’lerine erişim kısıtlanarak donanım tedarikçisinin platformuna rekabet avantajı sağlanabilir
• Masaüstü işletim sistemi kullanıcıları onlarca yıldır yazılımları kendileri kurduğu için, güvenliği sağlamanın tek yolunun kilitli cihazlar olduğu standardı tutarlı değildir

Mac ve iPad’in gösterdiği çifte standart

• MacBook ve iPad, Apple’ın M-series işlemcilerini kullanır; ancak iPad kilitli bootloader ile gönderilir
• M-series çip kullanan Mac’lerde aynı kilit yoktur; kullanıcı isterse Linux kurabilir
• Mac kullanıcıları programları kaynak koddan derleyebilir ve sudo ile sistemin geneline müdahale edebilir
• Yüksek bedel ödeyerek iPad satın alan kullanıcılara, cihaz aynı derecede güçlü olmasına rağmen aynı yetkiler verilmez
• M4 çipli en yeni iPad Pro 2024’ün ileri seviye silikon üretim sürecini içeren bir cihazdır; ancak kullanıcının istediği şekilde kod yazma ve sistemi değiştirme özgürlüğü donanım kilidiyle sınırlandırılır
• Orijinal iPad Pro gibi artık aktif iPadOS güncellemeleri almayan cihazlarda da alternatif işletim sistemi kurarak ömrü uzatma seçeneği yoktur
• Pratikliği düşük olsa bile, sahip olunan bir cihaz kullanıcının istediği biçimde değiştirilebilmelidir

Varsayılan güvenlik ile seçim hakkı arasında denge

• Tüketici cihazları, telefonlar gibi varsayılan olarak mümkün olduğunca güvenli olmalı; yeni bir cihaz kilitli bootloader ve root engeliyle gönderilebilir
• Varsayılan güvenlik, kullanıcının bilgiye dayalı seçimini ortadan kaldırmamalıdır
• Kullanıcı daha yüksek riski üstlense bile yetkilerin kilidini açıp istediği yazılımı kurabilmelidir
• Bu, bilişim donanımı satın alan tüketicinin hangi haklara sahip olduğunu tanımlama meselesidir
• Cihaz kilitlerinin sağladığı güvenlik faydaları, aynı kısıtlamaların tüketici üzerinde yarattığı çeşitli olumsuz etkilerden daha ağır basmaz

Sürdürülebilirlik ve onarım hakkı sorunu

• Kilitli cihazlar, üretici desteği kestiğinde kolayca elektronik atığa dönüşür
• Desteğin sona ermesi veya API’lerin kapatılması, şimdiden birçok cihazda sorun hâline geldi
  • Spotify’ın Car Thing
  • Nest Secure ve Dropcam
  • Google Fit API’sinin sona ermesinden etkilenebilecek çeşitli fitness cihazları
• Kilitli cihazlar, şirketlerin donanımı kimin onarabileceğini de sınırlamasına yol açar
• John Deere, tarım ekipmanları küresel pazarında %25’in üzerinde paya sahiptir ve ekipmanın ürettiği verilere erişimi yetkili bayilerle sınırlar
• Bu veri kısıtlaması, onarım hizmetlerinde fiilî bir tekel yaratır; ekipman onarımında kısıtlanan çiftçilere ve John Deere bayileriyle rekabet etmekte zorlanan üçüncü taraf tamircilere zarar verir
• Tüketiciler, donanım ömrünü uzun tutmak için az teşviki olan üreticilere bağımlı olmamalıdır
• Cihazdaki yazılım süreçlerini inceleyip değiştirebilmek için kilit açmayı garanti altına almak, bu tür yapay tekelleri azaltabilir

İfade özgürlüğü ve rekabet üzerindeki etkiler

• Yazılımı doğrudan yükleme hakkı ortadan kalkar ve tüketiciler şirket onaylı dağıtım kanallarından geçmeye zorlanırsa, devletlerin ifadeyi susturması kolaylaşır
• Hükümetler, pazarda faaliyet göstermenin koşulu olarak uygulama dağıtım yasağı gibi talepler getirebilir
• TikTok’un ABD merkezli bir tüzel kişiliğe satılmaması hâlinde ABD’de de benzer bir eğilimin ortaya çıkıp çıkmayacağı henüz görülecek
• Kullanıcılar kendi yazılımlarını çalıştırabildiğinde, hükümetler hangi kaynakları “iyi” ya da “kötü” görürse görsün platformlar jeopolitik çatışmalara karşı daha az kırılgan olur
• Cihaz kilitleri ve üçüncü taraf yazılım dağıtımının engellenmesi, geliştiricilerin tüketicinin istediği eksiksiz hizmetleri sunmasını engelleyerek giriş engelleri yaratır
• Apple iDevice ekosisteminde çeşitli API kısıtlamaları Apple’ın donanım ve hizmetleri lehine işler
  • NFC iletişimi kullanımını sınırlayarak mobil cüzdan alanında Apple Pay’e avantajlı konum sağlar
  • iPhone ile üçüncü taraf akıllı saatlerin iletişim kurduğu API’leri sınırlayarak iPhone kullanıcılarını Apple Watch satın almaya iter
  • Alternatif tarayıcı motorlarını yasaklayarak App Store ile rekabet edebilecek daha iyi yerel web deneyimi olasılığını sınırlar

Hukuki çözümün yönü

• Büyük şirketlerin müşteriye ait donanımın nasıl kullanılacağını belirleyen fiilî standardı kabul etmek zordur
• Kullanıcının sahip olduğu donanımdaki yazılımı değiştirmenin hiçbir yolunun olmaması haksız görülmelidir
• İstisnalar, yazılım değişikliği nedeniyle işleyiş bozulduğunda riskin çok yüksek olduğu önemli sistemlerle sınırlı olabilir
  • Bazı tıbbi cihazlar; örneğin implantlar ve insülin pompaları
  • Otomobillerin bazı elektronik kontrol üniteleri
• Bu tür kısıtlama standartları çok yüksek olmalı ve üretici, donanım kilidini haklı çıkaran maddi riskin ne olduğunu kanıtlamalıdır
• Cihazın kilitli olması gereken durumlarda bile kullanıcı cihazda çalışan süreçleri denetleyebilmelidir
• Tüketici ürünlerinin büyük çoğunluğu “root erişim hakkı” koruması kapsamına alınmalıdır
• Onarım hakkı düzenlemeleri tartışılırken bilişim cihazları için root erişim hakkı da birlikte ele alınmalıdır

[GN⁺]

Hacker News yorumları

• Piyasada bilgisayarlardan çok daha tehlikeli pek çok ürün var: silahlar, otomobiller, motosikletler, bisikletler, motorlu testereler, tezgâh testereleri, sigara, alkol, abur cubur vb.
  Tüketiciler bu ürünleri kullanırken yaralanabiliyor, ama bu özgürlüğün bedeli. Buna rağmen diğer ürünleri üreticiler kilitlemezken, özellikle bilgisayarların dünyanın en tehlikeli nesnesiymiş gibi muamele görüp vesayetçi bir kontrole ihtiyaç duyduğunun düşünülmesi tuhaf.
  Bilgisayarların kilitlenmesinin nedeni daha tehlikeli olmaları değil; teknik olarak kilitlemenin mümkün olması ve üreticiler için inanılmaz derecede kârlı olması. App Store, tüketicilerden kelimenin tam anlamıyla milyonlarca dolar çalan dolandırıcılıklarla dolu; üreticiler de cihazdaki tüm faaliyetleri kapsayan “analitik” verilerini eve göndererek mahremiyeti ihlal ediyor. Bizi korumaya değil, kendi çıkarlarını korumaya çalışıyorlar.

  • Gerekçe sıradan kullanıcıları korumaksa, telefonlarda da masaüstlerinde de sistemi kolayca kilidini açma seçeneği olmalı.
    Ama birçok sistemde böyle bir seçenek yok; üreticiler kullanıcıların kendilerine bağımlı olmasını istiyor. Bu yüzden Chromebook'lar ve neredeyse tüm telefonlar fiilen yapım aşamasındaki elektronik atığa yakın. Böyle sistemlere geliştirme emeği harcamak, bir sonraki çöp uygulamayı sunan tüketici cihazlarının seçenek olarak kalması gibi durumlar dışında bence israf.
    Bankacılık uygulamalarının yalnızca bu berbat sistemlerde çalışmasını zorunlu kılan bozuk yasalar da var. Bu tür hatalar hızla düzeltilmeli.
    Dolandırıcılıkların çoğu hâlâ eski yöntemlerle işliyor; kötü işletim sistemlerinin takip veya “tanı verileri” gibi biçimlerde bilgi sızdırması da ek bir güvenlik sorunu yaratıyor.
  • Suçu yalnızca üreticilere atmadan önce, kitlelerin mahremiyet ile eğlence takasını tamamen kabullendiğini görmek gerek. Öfke çok, mahremiyet odaklı çözümleri bulmak da nispeten kolay; peki neden daha yaygın kullanılmıyorlar? HN okur kitlesi için de aynı şey geçerli.
  • Sebep yalnızca kâr değil, kontrol de. Apple'ın CSAM tarama tartışmasını hatırlamak yeterli.
  • Bu tür kilitler, aracın kendisinin gelişimini ve kullanışlılığını da büyük ölçüde engelliyor.
    Burası Hacker News. Bilgisayarları harika yapan programlardı; akıllı telefonları akıllı yapan da uygulamalar. Ama şirketlerin en değerli varlıklarını kilitlemesi çılgınca görünüyor. Bu yöntemin işlemesi için şirketin her şeyi bilen ve her şeye gücü yeten bir konumda olup kullanıcıların istediği tüm programları bizzat yapabilmesi gerekir; bireysel farklılıklar ve zamanın akışı düşünüldüğünde bu imkânsız. Feneri telefona koymayı bile düşünemeyen şirketlerden bahsediyoruz; fener de ilk uygulamalardan biriydi.
    Maker kültürüne de bakılabilir. İnsanlar yüzyıllar, binyıllar boyunca araçları kendi ihtiyaçlarına ve koşullarına göre yenileyip değiştirdi. Bu bir ölçüde insan doğasıdır; kapalı bahçeler ve kapalı sistemler abartısız biçimde insanlıktan çıkarıcıdır bence. Sleeper Honda Civic yapmak için arabalarına takıntılı insanların, çöpü sanata dönüştürenlerin, gündelik eşyalar için yeni kullanım alanları bulanların elinden bunu neden alalım? Üstelik şirketlerin kârına da zarar verir. İnsanlar özgürce yenilik yaptığında şirket bunun ödülünü toplayabilir; insanlar o şirketin teknolojisi üzerinde keşfetmeyi, hack'lemeyi, öğrenmeyi ve çalışmayı hayal eder. Kilitlemek, hem kısa hem uzun vadeli ödüllerden vazgeçmek demektir.
    Ayrıca açık sistemler üretmeyen kuruluşların çevre dostu ya da iklim konusunda bilinçli olduklarını iddia etmelerine izin verilmemeli. Ne kadar geri dönüşüm yapılırsa yapılsın sıra Reduce, Reuse, Recycle'dır. Bir şey çöp olursa yeniden kullanılamaz; yeniden kullanım, azaltmada da büyük rol oynar.
  • Motorlu testere, dünyanın dört bir yanındaki binlerce uzaktaki suçluya banka hesaplarından para çalma fırsatı yaratmaz.

• Google'dan hoşlanmıyorum ama Android cihazlar ve Chromebook'lar konusunda doğru kararı verdiklerini düşünüyorum. Cihazı tamamen silip yeni bir güvenlik bağlamında yeni bir cihaz olarak baştan başlamayı göze alırsanız ikisinin de kilidi açılabiliyor.
  Bu yöntem, kullanıcı açıkça riski üstlenmeyi seçmediği sürece, çalınmış cihazlar veya evil maid saldırılarıyla verilerin ele geçirilmesi riskini azaltıyor.

  • BBB üzerinden Google'la iletişime geçtim; çekirdek düzeyinde güvenlik duvarı kurup yapılandıramamanın, HOSTS dosyasını düzenleyememenin ve istenmeyen varsayılan uygulamaları kaldıramamanın ürün güvenliğini düşürdüğünü ilettim. Google, kendi davranışlarının buna yol açtığını kabul etti ve bu düzeyde güvenlik eksikliğinin kabul edilebilir olduğunu söyledi. Little Snitch gibi bir güvenlik duvarıyla telefonun nereye, kiminle iletişim kurduğunu ve bunun nasıl engelleneceğini bilmek mümkün olmalı.
    Root'lanmış bir imajla yeniden kurulum yapmak, OTA güncellemelerini engelleyerek cihaz güvenliğini düşürdüğü için kabul edilemez.
    Son kullanıcı cihaz güvenliğini Google ve Apple'ın gevşek politikalarının ötesinde iyileştiremiyorsa çitlerle çevrili topluluk benzetmesi bozulur. Örneğin cihazımın Facebook veya X-Twitter gibi desteklemediğim kuruluşlarla iletişim kurması için hiçbir neden yok. X-Twitter çoğu zaman açıkta bulunan komuta-kontrol hizmeti olarak kullanılıyor.
    Yalnızca dışarı giden iletişimi değil, içeri gelen iletişimi de izlemek gerekir. Eskiden uluslararası bir şirkette Zone Alarm kullanarak virüs ve kötü amaçlı yazılım yayan enfekte sunucuları ve bilgisayarları bulmuştuk.
    “Çitlerle çevrili topluluk” benzetmesi kusurlu. Gerçek hayattaki kapalı sitelerde bile ev sahipleri kamera, güvenlik sistemi ve güvenlik görevlisi kurarak güvenliği artırabilir. Apple ve Google bu tür davranışları engelliyor.
  • İlginç seçenekler ortaya çıkıyor. Örneğin bazı uygulamalar bootloader durumuna göre uzaktan doğrulamayı zorunlu kılıyor. Kullanıcı cihazı silip bootloader'ı kendi anahtarıyla yeniden kilitlese bile, bootloader durumu açısından bunu tamamen güvenli saymıyorlar. Yalnızca Google anahtarları kabul ediliyor.
    Elbette bundan sonra OTA güncellemelerini bizzat sağlamak neredeyse imkânsız hale geliyor. Bir gün iki telefon taşımak zorunda kalacağım diye endişeleniyorum: biri banka uygulamaları için üreticinin güvenlik varsayılanları değiştirilmemiş bir telefon, diğeri de gerçekten üzerinde değişiklik yapabildiğim bir telefon.
    Şimdilik sadece GrapheneOS kullanıyorum ve hiçbir değişiklik yapmıyorum. Zahmetine değmiyor. Google Store'dan aldığım Pixel telefon muhtemelen bir doğrulama önlemi yüzünden “çalınmış” olarak işaretlendiği için banka hesabımın kilitlendiği bile oldu. Banka nedenini söyleyemeyeceğini belirtip yeni telefon almamı önerdi.
  • Modern Android cihazlarda bootloader kilidini açmanın sorunu, asla kilidi açılamayan bir hipervizör bulunması ve bunun kullanıcıyı ele vererek bazı banka uygulamaları gibi uygulamaların cihazın “bütünlüğünü” doğrulayamadıklarını söyleyip çalışmayı reddetmesi. Başka bir deyişle, bu uygulamalar verileri cihazın sahibi olan kullanıcıdan gizleyebileceklerinden emin olamıyor.
    Magisk var, ama daha çok geçici ve kırılgan bir çözüm. Sadece Google'a cihazın donanımsal doğrulamayı desteklemediği yalanını söyleyebildiği için çalışıyor. Google tüm cihazlarda donanımsal doğrulamayı zorunlu tutmaya başlarsa duracaktır.
  • Ya da bootloader'ı kilidi açık geliştirici cihazları satılabilir. Satın almadan önce riskleri açıkça kabul ettiren bir yöntem olur.
    Ancak sorun şu ki birçok uygulama root varsa uzaktan doğrulama yoluyla hizmet vermeyi reddediyor; bu yüzden root tek başına pek işe yaramıyor.
    Gereken yalnızca root erişimi değil, tespit edilemeyen root erişimi.
  • Katılıyorum. İyi bir çözüm. Telefonu alır almaz root'layabilirim ya da istersem kilitli bırakabilirim. İki tarafın da avantajını veren bir yol.

• Böyle bir şeyin asla gerçekleşmemesinin nedeni basitçe DRM gibi şeyler.
  Artık bilgisayardan ekrana giden sinyal şifreleniyor; yalnızca bilgisayarlarda değil, telefonlarda da durum aynı. Tek amaç insanların ham veriyi dump etmesini engellemek.
  Netflix'i 720p'den yüksek çözünürlükte izlemeye izin almak için bu ek işlemler devreye giriyor. Ama komik olan şu ki GPU'ya takıp yansıtma modunda kullanınca bunu tamamen baypas eden Çin yapımı capture card'lar var.
  DRM sadece bir örnek; ücretli uygulamaları veya ücretli öğeler içeren oyunları bedava kullandırtmamak gibi daha pek çok motivasyon var. Sıradan kullanıcılar için iOS cihazlarda korsan kullanım, hack ve crack neredeyse imkânsız olduğundan Android'e göre çok daha fazla para kazandırmasının başlıca nedeni bu.

  • Yakında tüm elektronik cihazların kilitleneceğini düşünüyorum. Dizüstü ve masaüstü bilgisayarlar da kilitlenebilir; teknoloji zaten var. Öneri özelliklerine yapay zeka da eklenirse kullanıcının zihni bile kilitlenebilir. 6 yaşından itibaren bu elektronik ürünleri kullanmaya başlayacak sonraki nesle ne olacağını düşünmek yeterli.
    İlgileniyorsanız şu anda Çin hükümetinin kullandığı bilgisayarlara bakın. Esasen bir tür Linux çalıştıran büyük bir telefon; tamamı kilitli. Neyse ki ticari tarafta durum şimdilik hâlâ fena değil, ama cihazları root'lamak veya kilidini açmak giderek zorlaşıyor.
    Artık Batı ülkeleri de peşinden geliyor; fark, şirketlerin öncülük ediyor olması.
    Başarılı olup Mouser gibi ticari elektronik bileşen dağıtıcılarının bile tamamen ortadan kalkmasına yol açarlarsa, o karanlık çağda insanlara hurda parçalardan bilgisayar yapmayı öğretecek başka bir yeraltı demiryolu hareketine ihtiyaç duyulacak.
    Şaka yapmıyorum. Gerçek olabilir ve şimdiden o şekle bürünüyor.
  • DRM'in sonunda kendi kendini yok edeceğini düşünüyorum. Örneğin istediğim medya oynatıcıda sorunsuz oynatmak ve anında ileri geri gezinebilmek için içerikleri torrent'ten indirmeyi tercih ediyorum. Sıradan insanlar böyle bir seçeneğin varlığından bile habersiz olabilir.
    Ama kripto paralar yaygınlaştıkça Netflix'ten veya diğer streaming servislerinden daha ucuz, daha basit ve daha iyi ücretli korsan servislerin ortaya çıkması sadece zaman meselesi. Hatta böyle servislerin zaten var olduğu bile söylenebilir.
    DRM yıllardır parasal motivasyon olmadan bile kırılıyor; işin içine para girince dayanma ihtimali yok.
  • TPM kullanımı gibi kısıtlamalar ortaya çıkabilir, ama yazarın önerdiği root olarak çalıştırabilme yeteneğini tamamen dışlayacağını sanmıyorum.
    En belirgin örnek olarak, tüm popüler masaüstü PC'ler root olarak çalıştırılabilir ve DRM içerikleri de izleyebilir. İkisi tamamen birbirini dışlayan şeyler değil.
  • Korunan videoyu decode edebilen bir HSM, yani donanım güvenlik modülü satmak yeterli. Bu kontrolü bilgisayarın kendisine zorla tıkıştırmadan da yapılabilir.

• OP benim. Bu konuya başkalarının da katılması beni gerçekten sevindirdi. “Onarma hakkı” tartışmasının bir parçası olarak kilidi açılmış donanımı savunan pek yazı olmadığını hissettiğim için bunu yazdım.
  Güvenlik alanında çalışan biri olarak, ortalama kullanıcıyı koruyan makul varsayılanlara ihtiyaç olduğunu tamamen anlıyorum. Yazıda da çoğunlukla bu varsayılanların korunması gerektiğini savundum.
  Anlamakta zorlandığım şey, ortalama tüketiciyi korumak gerekçesiyle daha istekli/ileri kullanıcıların kendi donanımlarının en alt seviyesine erişme seçeneğinin bile olmaması gerektiği iddiası. Bazıları için bu, kendi ayağına sıkma aracı olabilir; ama işin özü de bir ölçüde bu. Sahip olduğum şeyi, bana zarar verse de vermese de değiştirebilmeyi beklerim.
  Benim savım, root erişiminin varsayılan olması gerektiği değil; en azından bir seçenek olması gerektiği. Şirketlerin yazılım yükleme ya da inceleme yeteneğini engellemesini normalleştirmenin doğru olmadığını düşünüyorum. Bu tür kilitler çoğu zaman güvenlik ya da gizliliği koruma diye pazarlanıyor, ama gerçekte kâr marjlarını korumaya yönelik ticari kararlara daha yakın olduklarını düşünüyorum.

  • Bu yazı sayesinde, sahiplik ve onarma hakkındaki gerilemeyi nasıl hissettiğimi en kısa şekilde açıklayabilir oldum. Kendim anlatmaya uğraşmak yerine bu yazıyı gösterebilmek güzel. Böyle argümanlar öne süren birini arıyorsanız Louis Rossmann da var. O da yakın zamanda kullanıcıları güçlendirmeye yönelik bir tüketici koruma vikisi başlattı; ben de katkıda bulunmak ve işbirliği yapmak isterim.
    https://wiki.rossmanngroup.com/index.php/How_to_help

• Güvenlik ile özgürlüğü dengelemenin yolu donanım anahtarıdır. Varsayılan olarak güvenli önyükleme vb. korunabilir.
  Ama biri kasayı açıp pili çıkarır ve kart üzerindeki küçük anahtarı değiştirirse? Yeni ve korunmasız bir bağlamda başlamasına izin verirsiniz. Donanım anahtarı olduğu için uzaktan hacklenemez. Zaten donanımı ele geçiren bir saldırgan denetimi elde edebilir. Öyle değilmiş gibi mi yapacağız? O halde doğru olanı yapıp insanların kendi donanımlarını ele geçirmesini kolaylaştırmalıyız.

  • “Öyle değilmiş gibi mi yapacağız?” dediniz ama aslında şu anda yaptığımız şey bu değil mi?
    Bildiğim kadarıyla bugün çalınmış bir iPhone, yamalanmamış bir zero-day’e sahip devlet düzeyi bir aktör olmadığı sürece fiilen tuğla gibi.

• “Tüketiciler, hak olarak, tamamen sahip oldukları tüm bilişim cihazlarına kendi seçtikleri yazılımı kurabilmelidir” fikrine katılıyorum; ama bunun yasayla bile düzeltilmesinin zor olduğunu düşünüyorum. Bilişim cihazı nedir ve bu ölçütü kim belirler?
  Apple, sattığı hiçbir şeyin bilişim cihazı sayılmaması gerektiğini ileri sürecektir. Buna karşılık hacker’lar, rastgele kod çalıştırmaya kandırılabilen her şeyi bilişim cihazı olarak görecektir. Buzdolabı da bilişim cihazı mı?
  Yasayla gidilecekse, programlanabilir bitleri olan herhangi bir şeyin firmware’ini flashlama hakkı vermekten başka yol yok gibi görünüyor; bunun da geçmesi muhtemelen zor. Çünkü hâlihazırda pek çok yasa, kullanıcıların yasaklanması ve engellenmesi gerektiğini söylüyor.

  • Bir yasa yapılırsa, neyin bilişim cihazı olup olmadığına dair tanım da içinde yer alacaktır. Bu tanım kusurlu olacaktır ve sınır vakaları mahkemede tartışılacaktır. Mahkemeler her zaman bulanık sınırlarla uğraşır.
    Hukuki meseleler hep böyle işler; bu da firmware’i olan her şeyin mutlaka flashlanabilir olmasını talep etmemiz gerektiği anlamına gelmez.
  • Bir Alman olarak böyle bir yasanın zaten var olduğunu düşünüyorum. Bir eşyanın sahibi tam tasarruf hakkına sahiptir ve devletin kendisi dışında hiçbir özne buna müdahale edemez. Bu, genel mülkiyet hakkının parçasıdır. Bildiğim kadarıyla ABD’de mülkiyet hakkı daha da güçlü.
    Peki bu hakların neden bilişim cihazlarında uygulanmadığını merak ediyorum. Ya herkes kendi mülkiyet hakkını ileri süremiyor ya da ben yanılıyorum. Muhtemelen ikincisi.
  • Programlanabilir bitleri olan herhangi bir şeyin firmware’ini flashlama hakkı vermek makul görünüyor. Sorun ne?
  • “Bilgisayar nedir ki?”

• Bunu daha önce konuşmuştum. Sorun daha derin ve sonunda mülkiyet hakkının kendisini etkilemeye başladığını düşünüyorum.
  Özellikle kilitli donanım, malikin dışlama hakkını etkiliyor. Dışlama hakkı kabaca, bir mülke neyin dahil edilip neyin dışlanacağını, hangi kullanımlara izin verilip hangilerinin engelleneceğini belirleme hakkıdır. Donanım kilitli olduğunda malik artık bu kararı tek başına veremez. iDevice gibi durumlarda Apple, sahibinin yerine yalnızca imzaladığı kodlara ya da izin verdiği imzalara müsaade eder.
  Bununla ilgili daha önce yazdığım bir şey de var:
  https://news.ycombinator.com/item?id=39349288

  • Mülkiyet hakkı kaybı yönünü düşünmemiştim. Bu konuları gerçek bir avukatla daha derinlemesine beyin fırtınası yapmak iyi olurdu.

• Sorun bundan daha büyük: IT sektörünün, kullanıcıların kendi risklerini değerlendirme ve kendi sorumluluklarını üstlenme yeteneğini reddetme takıntısı. Hayatın çoğu başka alanında bunu her gün yapıyoruz; ama teknolojiyle etkileşime geçtiğimiz anda farklı muamele görüyor. Üretici her zaman daha iyi bilir deniyor.
  Kendi riskinizi bildiğiniz için biyometrik kimlik doğrulamaya zaman faktörü eklemek istemiyor musunuz? Yapacak bir şey yok. Google ve Apple daha iyi bilir. Touch ID’yi açmak için parola gerekir.

  • Apple mühendisleri arasında iPad kullanıcılarının rootlamasına güçlü biçimde karşı çıkan pek çok kişi olduğunu sanmıyorum. Daha doğrusu bu, hukuk ve finansın düşünce tarzına daha yakın. Hukuk departmanı sorun istemez ve hoşlanmadığı hedefleri hukuki mühimmatla vurabilir; finans ise sadece daha fazla para ister.

• Evet, lütfen öyle olsun.
  Ne yazık ki akıllı telefon aslında sizin mülkünüz değil. Donanım üreticisi, düşük seviye yazılım üreticisi (Qualcomm veya Apple), işletim sistemi sahibi (Google veya Apple) ve belki en son da siz arasında paylaşılan mülkiyet.
  Belgelenmemiş donanım ve neredeyse her şeyin kapalı kaynak sürücüleri tüm bunları mümkün kılıyor.

  • “Akıllı telefon aslında sizin mülkünüz değil” derken yalnızca kendiniz adına konuşun. Librem 5’imden gönderildi.

• “Kök erişim hakkı, kullanıcının bir bilgisayar sisteminde sahip olabileceği en yüksek yetki düzeyini ifade eder” sözü artık doğru değil
  Akıllı telefonlarda root erişiminiz olsa bile TEE'ye erişemezsiniz. ARM'de bu, “TrustZone” “özelliği” olarak uygulanıyor
  Ayrıca AVF Android'e geliyor ve korumalı sanal makineler kilidi açılmış bootloader üzerinde çalışmayacak. Üreticiler pVM'den yararlanmaya başladıkça durumun daha da kötüleşeceğini varsayabilirsiniz

  • Bu konuda farkındalık son derece yetersiz. Modern Android'de root erişiminiz olsa bile, örneğin mobil emülatör ile masaüstü emülatör arasında kayıt verilerini senkronize etmek için Android uygulama veri klasöründeki dosyalara erişmek istediğinizde sanal USB bağlantısı bile kurmanız gerekiyor
    Gerçekten iğrenç. Her yeni sürümde kullanıcı kontrolünü biraz daha buduyorlar
  • TEE'de hem cihaz şifreleme anahtarları (DRM değil) hem de Widevine anahtarları (DRM) saklanır
  • Aslında cihazı söküp devreyi takip etmek ve osiloskopla bakmak düzeyine gelmeden neyle iletişim kurduğunu gerçekten bilmenin bir yolu da yok. Israrcı bir şirket bunu gizlemeye değer bulursa, ortaya çıkarması cehennem gibi olacaktır
    Daha yüksek bir ad alanındaki konuk kullanıcıyı işaret eden sandbox root da olabilir