Alman internet servis sağlayıcısı DNS’i değiştirerek web sitemi engelledi

• Almanya’daki büyük internet servis sağlayıcıları (ISP) kısa süre önce kendi iç oluşumları olan CUII’yi görünür hale getirdikten sonra DNS çalışma biçimini değiştirdi
• CUII, web sitesi engelleme listesini yayımlamadığı için, yazar engellenip engellenmediğini kontrol etmeye yarayan bir site geliştirdi
• ISP’ler engellemeyi gizlemek için DNS’te engellenen siteleri sanki hiç yokmuş gibi göstermeye başladı
• Kısa süre önce Telefonica kendi test alan adını engelledikten sonra, bunun tespit edilip edilemediğini görmek için yazarın sitesini ziyaret etti
• Bunun üzerine Telefonica engelleme sinyalini gizledi ve sonuç olarak şeffaflık ile denetim zayıfladı

---

Alman ISP’lerin CUII engel listesiyle ilgili DNS manipülasyonunun arka planı

Almanya’nın önde gelen ISP’lerinden biri, kendi iç kuruluşu olan CUII’nin varlığı görünür olduktan hemen sonra DNS çalışma biçiminde değişikliğe gitti
CUII (İnternet Telif Hakkı Takas Merkezi), web sitelerinin engellenip engellenmeyeceğine karar veriyor; hukuki inceleme ya da şeffaflık olmadan büyük ISP’ler ve telif hakkı sahiplerinin keyfi biçimde liste işlettiği özel bir yapı olarak çalışıyor
Yazar, CUII engel listesini kamuya açık tutmadığı için, herkesin engellenen alan adlarını sorgulayabileceği bir site olan cuiiliste.de geliştirdi
Almanya’nın en büyük 4 ISP’si olan Telekom, Vodafone, 1&1 ve Telefonica(o2) de CUII’nin parçası

CUII’nin tekrarlanan hataları ve DNS engelleme yöntemindeki değişim

Yakın zamanda Netzpolitik.org, CUII’nin zaten kapatılmış alan adlarını bile engelleme hatası hakkında yazarın sağladığı bilgilere dayanarak haber yaptı
Daha önce ISP DNS’ine engellenen bir site için istek gönderildiğinde, istek notice.cuii.info adresine yönlendiriliyor ve böylece engelleme kolayca doğrulanabiliyordu
Ancak CUII, engel listesini gizli tutmak istediği için bu doğrulama yöntemini devre dışı bırakmaya başladı
Bazı ISP’ler artık DNS’te engellenen siteleri tamamen yokmuş gibi gösteriyor
İstisna olarak Telefonica(o2), hâlâ notice.cuii.info yanıt yöntemini kullanıyordu

Blog sitesinde alan adı engellemesini doğrulayan trafik oluştu

cuiiliste.de üzerinden herkes, girdiği alan adının CUII tarafından engellenip engellenmediğini ISP bazında sorgulayabiliyor
Telefonica, kendisine ait test alan adı blau-sicherheit.info’yu engelledikten sonra, kendi ağı üzerinden yazarın sitesini ziyaret ederek tespit edilip edilemeyeceğini test etti
Yazarın aracı, bu alan adının CUII tarafından engellendiğini doğru şekilde tespit etti

• Telefonica’nın DNS’i test alan adına engelli olarak yanıt verdi
• Telefonica ağı üzerinden yazarın web sitesine erişildi
• Engelleme tespiti başarılı oldu

Telefonica’nın engelleme yöntemini değiştirmesi ve yazarın sitesini bozma şüphesi

Bundan yaklaşık 2 saat sonra Telefonica, DNS engelleme yöntemini notice.cuii.info yönlendirmesinden, girilen alan adının mevcut olmadığı yanıtına çevirdi
Bunun sonucunda yazarın sistemi yüzlerce engelin kaldırıldığını yanlış tespit etti ve acil bir düzeltme yapılması gerekti
Yama sonrasında da engel tespiti daha zor hale geldi
Artık CUII engeli ile başka nedenlerle uygulanan engelleri (ör. terörizmle ilgili) ayırmak için CUII dışı engelli alan adı listeleriyle çapraz doğrulama yapılıyor

Arka plan ve şeffaflığın zayıflaması sorunu

Bu değişiklikler, CUII’nin hatalı engellemeler nedeniyle eleştirildiği bir dönemde, denetim ve şeffaflıktan kaçınma amacıyla açıklanabilir
Sonuçta bu durum, kamunun bilgi edinme hakkının ve denetim mekanizmasının zayıflamasına yol açıyor ve yalnızca CUII ile ISP’lerin lehine bir yapı oluşturuyor

İlgili haber ve referans bağlantıları

• Netzpolitik.org: Provider verstecken, welche Domains sie sperren
• Diğer referanslar ve kaynaklar için metnin sonundaki kaynakçaya bakın

[GN⁺]

Hacker News görüşü

• Almanya'da Clearingstelle Urheberrecht im Internet (CUII) adlı bir kuruluş var; internet telif hakkıyla ilgili özel bir oluşum ve web sitelerinin engellenmesine karar veriyor. Yapı, ne yargıç ne de şeffaflık olmadan ISP'lerin ve büyük hak sahiplerinin insanların ne görebileceğine karar vermesi anlamına geliyor. Ancak resmi sayfalarına (cuii.info/en/about-us/) göre, “mahkeme engelleme prosedürlerinin uygulanmasını ve mahkeme kararlarının icrasını koordine eder” deniyor; yani yalnızca mahkeme kararlarını izliyor gibi görünüyor, fakat bu ifade tek başına başka sitelerin engellenmediğini göstermiyor
  • Söz konusu blog yazısı sayfa değiştirilmeden önce yazılmış. Web Archive sürümünde CUII'nin Almanya içinde bağımsız bir kurum olduğu ve telif hakkı ihlali açık olan sitelerin engellenmesinin yasal olup olmadığını adil biçimde incelediği anlatılıyor. Başvuru gelirse inceleme kurulu yalnızca oybirliğiyle “açık telif hakkı ihlali” olduğuna karar verirse DNS engeli tavsiye ediyor; bu tavsiye Almanya Federal Ağ Kurumu'na (BNetzA) iletiliyor. BNetzA incelemesinden sonra sorun görülmezse ISP'lere engelleme talimatı gidiyor. Aynı yazarın daha yeni sürümü ele alan yeni blog yazısında ise artık yalnızca mahkeme kararından sonra engellemeyi koordine ettikleri belirtiliyor: “Artık gizli oylama da yok, kurumsal sansür de yok; web sitesinin yeni sürümü yalnızca yasal engelleme emirlerinin uygulandığını açıklıyor”
  • Blog yazısı şubatta yazıldı ve sonrasında CUII, iç grubun mahkeme kararı gelene kadar keyfi biçimde engelleme yaptığı modelden, yalnızca mahkeme kararında yer alan alan adlarını sıkı biçimde engelleyen bir modele geçti. Önceden “benzer önceki vakalar” diyerek mahkeme kararı olmadan da engelleme yapıyordu, ancak düzenleyici kurumun uyarısı üzerine artık mahkeme kararı olmadan keyfi engellemeyi bıraktı
  • Bu biraz “eskiden siyasette çok yolsuzluk vardı, şimdi de var ama eskiden daha kötüydü” demeye benziyor
  • Başlık yanıltıcı. Gerçekte yazarın sitesinin DNS'ini engellemediler; CUII kendi sitesinin DNS'ini kendi kendine engelleyerek yazarın DNS kara listesini nasıl tespit ettiğini test etti ve sonra stratejisini değiştirdi
• CUII engelleme sürecinin artık keyfi kurumsal kararlar yerine mahkeme kararlarına dayandığını not etmek gerekir ilgili blog
  • Üzücü olan, eski engellenmiş alan adlarının yerinde durması
  • Az önce bağlantısı verilen yazıya göre, sorunlu/kötü niyetli engelleme listesi hâlâ korunuyor, sadece yeni ekleme yapılmıyor
  • CUII'nin gerçekten vazgeçip vazgeçmediğini, yoksa sadece gözetimden kaçıp engellemeyi gizlemenin bir yolunu bulduktan sonra vazgeçmiş gibi mi davrandığını nasıl anlayabiliriz, merak ediyorum
• Batı'da geleneksel olarak sansür telif hakkı üzerinden yapıldı; işin içine para ya da ticaret girince buna sansür gözüyle bakılmadı. Ama bugün ABD güç ve dışlamayla öz sansürü dayatıyor (ör. kamu görevinde çizgiden çıkmanın bedeli, ABD'ye giriş kısıtları vb.), Avrupa da başka bir yol buluyor. Güvenlik ve kontrolü herkes ister hale gelince artık tek cevabın teknik çözümler olduğu düşünülüyor; hukuki ve siyasi yollar işlemiyor. Özgürlük “boş bir moda” haline geldi ve onu savunanlar bile sonunda yalnızca kendileri için özgürlük istiyor. İnsanlığı uzaya göndermemiz gerektiğini söyleyen kişinin, Dünya'da “izinsiz seyahat ettiği” gerekçesiyle tutulan insanlarla poz vermesindeki ironi de cabası. Bu yüzden sansürle ilgilenen biriyseniz, mevcut web siteleri yerine yeni araçlara ihtiyacınız var; ana akım sonunda iktidar sahiplerinin istediği gibi kontrol edilir
  • Eskiden işin hukukla çözülmesini isterdim ama artık teknik çözümlere daha yakınım. 90'lar ve 2000'lerde gerçek dünyada özgürlük daralırken gençler internette bir çıkış kapısı bulmuştu. Ev yapmak ya da şirket kurmak zordu ama site kurmak görece daha özgürdü. Şimdi ise hükümetler ve çıkar grupları internete de müdahale ediyor ve eskisi kadar özgür değil. Yapay zeka içeriği ve botlar, arama zorluğu, insan doğrulama süreçleri derken internet giderek boğucu hale geliyor. Bu yüzden freenet, yggdrasil, alfis, gemini, reticulum, B.A.T.M.A.N gibi yeni ağ alanları kurma ihtiyacı hissediyorum; ayrıca bunlar eğlenceli de. Devletlerin oraya kadar gelmesi de zaman alacaktır
  • ABD'de yaşayan biri olarak mevcut özgürlük gidişatıyla aynı fikirde değilim. Ben ABD'nin savunduğu, ya da en azından iyi niyetle savunduğu, ilkeleri destekliyorum. Polis, asker vb. bireyleri savunurum ama onlara dayatılan otoriter emirleri desteklemiyorum. Birçok insan hukukun üstünlüğü ve herkesin korunması için bu görevlere katıldı; kötü şeyler yapmak istemiyorlardı, ancak yapı bunu dayatıyor gibi. Teksas'taki gerrymandering yasası geçti ve sistemin kendi kendini düzelteceğini beklemek yeterli olmayacak. Uzaya açılmanın, yaşama ve başka alanlara zarar vermediği sürece, denemeye değer olduğunu düşünüyorum. Sonuçta her yaşam bir nedenle hareket etmek zorunda kalır
  • “Bu web sitesinin kendisi bile sansürle ilgili; ilgilenen insanlar web sitelerini kullanmamalı, yeni araçlar lazım, ana akım sonuçta iktidar sahipleri tarafından kontrol edilir” iddiasının pratikte nasıl bir şeye benzeyeceğini hayal etmekte zorlanıyorum. Zamanlama açısından da artık çok geç olabilir diye düşünüyorum. Cihaz doğrulaması (Device attestation) giderek daha fazla dayatılıyor ve passkey de hızla yayılıyor. Protokol alternatifleri üretilebilir ama bunun önkoşulu iktidar sahiplerinin göz yumması. Signal, VPN, BitTorrent ve Tor bile bir gün engellenebilir. Sonunda çoğunluk Apple ve Google gibi büyük teknoloji şirketlerinin kontrol ettiği cihazları kullanıyorsa hiçbir protokol işe yaramayabilir
  • Ticari sansürün yaygın biçimde kabul görmesine rağmen, “kamusal iyilik” adına yapılan sansürün de özünde o kadar farklı olmayabileceği ilginç bir düşünce. Sonuçta özgürlüğün aşırı biçimde ihlal edilmesi riski hep var
  • “Batı'da sansür telif hakkı üzerinden yapıldı, para ve ticaret söz konusuysa sansür sayılmadı” ifadesine karşılık, bu iki cümlenin birbiriyle çeliştiğini düşünüyorum. Telif hakkı yoluyla sansürle ticari amaçlı hak iddiaları sonuçta aynı şey gibi görünüyor. Geleneksel olarak bunlardan yalnızca birinin sansür sayılmaması mantıksal bir çelişki gibi
• Sansür arttıkça, ISP'nin dokunamayacağı gerçekten sansürlenemez protokoller kurma motivasyonu oluşuyor
  • Bu tür protokoller ya da revizyonlar zaten mevcut; örneğin site bazlı DNSSEC, kullanıcı tarafında DoT/DoH. Bunlar ISP'nin kötü niyetli yanıt manipülasyonunu engelleyebilir. Ancak pratikte yaygın değiller ve ISP'ler SNI incelemesi ya da IP engelleme gibi aşılması daha zor sansür yöntemlerine geçebilir
  • Sonuçta her şey fiziksel ağ katmanına bağlı. O katmanı kontrol eden kişi iletişimi istediği an kesebilir. ISP'nin dokunamayacağı tek gerçek protokol, devasa bir ordu gerektirir; ayrıca o ordunun bizzat kendisinin engel çıkarmamasını sağlayacak bir motivasyon da gerekir
  • Mevcut protokollere örnek olarak, I2P router ile darknet kurmak, Yggdrasil ile yeni nesil dağıtık özel internet kurmak ya da daha basit olarak şifreli DNS (Njalla DNS, Mullvad DNS) kullanmak veya iyi bir VPN (Mullvad vb.) tercih etmek öneriliyor. Aynı zamanda mahremiyeti koruyan siyasetçilere oy vermek ve milletvekillerine mektup yazmak gibi adımların da birlikte atılması gerektiği söyleniyor
  • Alternatif protokollerin sahada yaygınlaşmasının zor olması da ayrı bir sorun. Normal zamanlarda bu araçları kullanmak insanı “hedef” haline getirebilir; genellikle ancak afet ya da büyük felaketlerden sonra kitlesel benimseme görülüyor
  • Daha fazla sansür, “etrafından dolaşma yolları” aramaktan çok daha iyi hükümetler seçmemiz gerektiğini gösteriyor. Diktatörlüğü kabullenip sadece kaçış yolları aramak sorunlu
• Bu sayfadaki aşma yöntemleri çoğunlukla büyük genel resolver'ların kullanılmasını öneriyor. (Yazar HN'yi görürse) 9.9.9.9, 1.1.1.1 ve özellikle DNS4EU hizmetinin hangi alan adlarını engellediğini bilmek güzel olurdu
  • DNS4EU'yu ilk kez duyduğunu söyleyen bir yanıt var; joindns4.eu/about bağlantısı paylaşılmış
  • DNS sağlayıcılarının (dns4eu, nextdns vb.) hangi DNS sunucu yazılımını kullandığını (nsD, bind vb.) ya da kendi yazılımlarını mı geliştirdiklerini merak eden bir yorum var
• Son dönemde gelişen telif hakkı yaptırımları ve torrent avının sertleşmesi yüzünden, Proton'un İsviçre sistemi nedeniyle Almanya'ya taşınma kararı özellikle merak uyandırıyor. Gizlilik nedeniyle işletmenin zorlaşmasını anlıyorum ama neden Almanya'yı seçtiklerini merak ediyorum. İsviçre'deki yeni yasa tasarısının tam olarak ne olduğunu ayrıntılı incelemedim, ancak Almanya'dan daha ağır düzenlemeler getiriyorsa bunun hangi yönlerden olduğunu da merak ediyorum. (Not: Mullvad İsveç merkezli)
  • Bir İsviçreli olarak ayrıntılı bakmadım ama yeni yasa tasarısının kullanıcı verilerinin 6 ay saklanmasını zorunlu kılacağını biliyorum. Elbette hoş değil, fakat AB sürekli şifrelemeye arka kapı istiyor ve bu daha da kötü. Sonuçta Proton'un kararında asıl etkenin maliyetleri azaltmak olduğu, İsviçre yasasının ise bahane olarak kullanıldığı yorumu yapılıyor
• Bir alan adı “müsadere” edilirse yeni “sahibinin” yenileme ücretini ödeyip ödemediğini merak ediyorum. Eğer ödüyorsa: engellenmiş alan adlarının kopya sitelerini yenilemesi pahalı gösterişli TLD'lere kaydedip dikkat çekmelerini sağlayarak bundan gelir elde etmek mümkün olabilir mi diye düşünülüyor
  • Burada alan adına el konulmuyor, yalnızca engelleniyor. ISP'nin varsayılan DNS sunucusunda nameserver yanıtı manipüle ediliyor. Alan adına polis el koysa bile, kiralık araca el koymak gibi, kullanım ücretini onların ödemesi beklenmez
  • Alan adına el koymak usul açısından daha maliyetli olabilir ve genelde site engelleme ICANN ile ilgili değildir; site işletmecisi alan adının sahibi olarak kalır. ISP sadece DNS sorgu sonucunu manipüle ettiği için aşması da kolaydır
  • Hükümet bir alan adına el koysa bile gerçekten ödeme yapacağını sanmıyorum
  • 1. aşama (TLD oluşturmak) sonrasının biraz “gerisini kendin tamamla” türü bir fikir gibi durduğu söyleniyor
• Almanya bu tür konularda gerçekten geri kalmış; yetenekli mühendislerin daha özgür ülkelere taşınması gerek
  • “Daha özgür ülke”nin hangisi olduğunun tanımlanmasını isteyen bir yanıt var
  • Bunun zaten fiilen yaşandığını söyleyen bir yorum var
  • Trump dönemindeki ABD'nin de özgür dünya sayılamayacağını belirten bir görüş var
• Bu sansür yönteminin 8.8.8.8 gibi herkese açık DNS kullanılarak kolayca aşılıp aşılamayacağı soruluyor
  • unbound gibi kendi DNS resolver'ını çalıştırmak da bir alternatif