- İstemci tarafı tarama, mesajları veya dosyaları şifrelenmeden önce cihaz üzerinde inceleyen bir yöntemdir
- Bu yöntem çocukları koruma amacıyla tanıtılsa da, gerçekte şifrelemenin temel vaadini zedeler
- Yanlış pozitifler ve güvenlik açıkları üretme olasılığı yüksek tespit araçları kullanılır
- Taramaya bir kez izin verildiğinde hedef kapsamı genişler ve mahremiyet ihlali riski artar
- Sonuç olarak bu teknoloji herkesin güvenliğini zayıflatan bir sorun yaratır
İstemci tarafı tarama (CSS) nedir
- İstemci tarafı tarama, kullanıcının mesajlarını, fotoğraflarını ve dosyalarını şifrelenmeden önce cihaz içinde inceleme yöntemidir
- Bu yaklaşım çoğunlukla çocuk güvenliği önlemi olarak pazarlanır
Şifreleme vaadini zedeleme
- Gerçekte istemci tarafı tarama, şifrelemenin sunduğu güvenlik ve mahremiyet vaadini zayıflatır
- "Doğrulanmamış" içeriği tespit etmeye yönelik araçların yanlış pozitif üretme olasılığı yüksektir ve yeni güvenlik açıklarına yol açabilir
Kapsamın genişleme riski
- Başlangıçta çocuk koruma (ör. CSAM) gibi sınırlı kullanım alanlarıyla başlasa bile, sonrasında taranan içerik kapsamı kolayca genişleyebilir
- Şifreleme zayıfladığında, hacker'ların hassas bilgileri çalması, faillerin savunmasız kişileri takip etmesi ve otoriter devletlerin gözetimi gibi çeşitli riskler artar
Fiili güvenlik zayıflaması
- İstemci tarafı tarama, gerçek güvenliği artırma konusunda yetersiz kalır
- Sonuçta herkesin güvenliğini zayıflatan bir etki doğurur
1 yorum
Hacker News görüşleri
Bunu her eve güvenlik kamerası yerleştirmeye benzetmeyi seviyorum; gerçekten de suçları tespit etmeyi veya soruşturmayı kolaylaştırırdı ve devlet de mahkeme kararı olmadan asla bakmayacağına dair serçe parmak sözü verebilirdi, hatta belki bu sözü tutardı da. Ama böylesi tehlikeli bir kaygan zemin sorunun yalnızca bir kısmı. Daha da tehlikelisi, böyle bir sistem var olduğu sürece, fiilen kullanılıp kullanılmadığından bağımsız olarak suç örgütleri ya da düşman devletlerin hackerları için en cazip hedeflerden biri olacak olması. Casusluk, şantaj ve başka pek çok kötüye kullanımın önü açılır; mahremiyet ve güvenlik ciddi biçimde zedelenir.
Kendilerine muafiyet maddesi koymalarının bir sebebi var. Bunun güvensiz olduğunu düşündükleri için de olabilir, Avrupa Parlamentosu üyeleri arasındaki çocuk istismarıyla ilgili meseleleri gizlemek istedikleri için de olabilir. Artık bunun neden yanlış olduğuna tek tek açıklama getirmemizin gereksiz olduğu noktaya geldik diye düşünüyorum. Avrupa Parlamentosu üyelerini sorumlu tutmalıyız; bu olmazsa tüm AB’yi sorumlu tutmalıyız. O da olmazsa, AB’nin bu tür yasalar konusunda meşruiyeti yok demektir. Sonunda yeniden ulus-devlet düzeyinde hesap verebilirlik tartışmasına dönmek gerekir.
Bunu ev içi kamera gözetimiyle kıyaslamanın uygun olmadığını düşünüyorum. Ev neredeyse tamamen bana ait; biri kamera koyarsa üstünü örtebilir ya da kaldırabilirim. Bunu yaptığım için hapse giriyorsam zaten dünyanın kendisi distopya olmuş demektir. Telefon farklı. Temelde kullanıcı ona tam olarak sahip değil: bootloader kilitli, istediğin kodu özgürce çalıştıramıyorsun, bir app store var ve ne yükleyebileceğini o belirliyor. Sonuçta Apple/Google bir uygulamayı app store üzerinden kullanılamaz hale getirebilir.
Daha gerçekçi bir karşılaştırma olarak ECHELON sistemi verilebilir. 1971’den beri 5 eyes ülkeleri kitlesel gözetim ve iletişim taraması yapıyor. Senin bu kıyaslamadan hoşlanmamanın sebebinin, bunu yeni bir olguymuş gibi gösterip aciliyet duygusu yaratmak istemen olduğunu düşünüyorum. Endişe ettiğin her şey zaten geçmişte kanıtlanmış bir gerçeklik.
Eğer kendini insan haklarının kalesi olarak sunan AB böyle bir yasayı dayatırsa, daha otoriter ülkeler Apple, Google ve Meta’dan aynı şeyi talep ettiğinde hangi mantıkla karşı çıkabileceğimizi merak ediyorum.
AB’nin diğer bölgelerden daha az kötü olması onun insan haklarının kalesi olduğu anlamına gelmiyor bence. Batı’nın her yerinde olduğu gibi burada da sürekli bir iktidar mücadelesi var.
Neden kendilerini böyle bir insan hakları sembolü olarak konumlandırdıklarını hiç merak etmiyor musun? Sanırım bunu o kadar sık tekrar ediyorlar ki artık herkes buna inanıyor.
Neden önce pilot uygulama yapmıyoruz diye sormak istiyorum. Mesela AB milletvekilleri arasındaki tüm iletişimi tamamen açık hale getirsek nasıl olur? Sonuçta hep birlikte o şifrelemeyi kırmış oluruz.
AB dışındaki birçok kişinin bu meseleyi yalnızca AB’nin kendi sorunu gibi gördüğünü düşünüyorum
Ylva Johansson (bu yasa tasarısının mimarı) İsveç’te popüler olduğu için AB’ye gitmedi; 2019’da Sosyal Demokrat hükümet tarafından aday gösterildi ve komiserler zaten seçimle gelmiyor. Brüksel’de önemli olan parti sadakati, onlarca yıllık bakanlık kariyeri, cinsiyet dengesi vb. Aslında ulusal hükümetler AB’yi, “ülke içinde popülerliğini yitirmiş siyasetçiler” için bir tür otopark gibi kullanıyor. Şimdi ise kendisi en çok bu ‘chat control’ tasarısıyla tanınıyor. Sonuçta bu durum, ülkesinde popüler olmayan bir siyasetçinin AB’nin tartışmalı politikalarına yön vermesi ironisini daha da görünür kılıyor.
Bu tür yasaları her gördüğümde, bunları yazanların tek bir kişiyi dinlemek istediklerinde bile sonuçta herkesi kolayca gözetleyebilmek zorunda olduklarını bilmediklerini mi, umursamadıklarını mı, yoksa asıl amaçlarının bu mu olduğunu merak ediyorum.
Daha önce devlete tüm sohbet odalarına varsayılan olarak dahil olma yetkisi vermeyi amaçlayan bir öneri vardı; bu, ona kıyasla biraz daha makul görünüyor.
İnsanların “kötücüllükle değil yetersizlikle açıklanabilecek şeyi yetersizlikle açıkla” ilkesini siyasetçilere de uygulamasını ironik buluyorum. Siyasetçiler istedikleri kadar bütçe ve insan kaynağı kullanabiliyor, ayrıca her alandan uzman analizleriyle de destekleniyorlar. Böyle bir ortamda gerçek anlamda yetersiz olmaları bana pek olası gelmiyor. Gördüğümüz şey yetersizlik değil; çıkar çatışması ve onların ne istediğiyle vatandaşlardan ne kadar rıza koparabilecekleri arasındaki bilek güreşi.
Siyasetçiler teknik sorunları bizzat çözmez; onların rolü toplum için en iyi olduğunu düşündükleri şeyi belirlemektir. “Yalnızca suçlular için şifrelemeyi kırarsak herkes daha güvende olur” diye düşünmek temelde irrasyonel değildir. Sorun, bunun imkânsız olması. Ama siyasetçiler için kriptografi fiilen bir tür “sihir” gibi; pratikte mümkün olmasa bile bunu bilmiyorlar. İklim değişikliğinde de benzer bir durum var: “Bilim insanları atmosferdeki CO2’yi bir şekilde ortadan kaldırıverse sorun çözülür” diye düşünüyorlar. Çözüm sürecini anlamıyorlar ama mümkün sanıyorlar; adeta sihirli bir formül gibi görüyorlar.
Metin analizine dayalı yaklaşımın kendisine dair tartışma hâlâ sürüyor ve tamamen masadan kalkmış değil.
Gerçekte birçok yasa tasarısı, siyasi eylem komiteleri benzeri grupların önerdiği “model yasaların” neredeyse aynen alınarak eyalet ya da ülke parlamentolarına sunulmasından ibaret. ABD’de birçok eyaletin aynı anda aynı yasa tasarılarını sunmasının sebebi de bu.
Parti içinde hangi tasarılara oy verileceğine karar veriliyor. Bazen tehlikeli tasarılar komitede elenebiliyor (ör. tüm mRNA aşılarını yasaklayan tasarı, yalnızca aşısız kan sağlanmasını öngören tasarı vb.).
Eyalet bazında yasa tasarılarının durumuna buradan, federal Kongre içinse buradan bakılabilir.
Örneğin HR 22 tasarısı sadece 2 sayfa ama kimin federal oylamayı engellemeye çalıştığını açıkça gösteriyor (oysa yabancıların federal seçimlerde oy kullanması zaten yasa dışı). Enhanced Driving License yalnızca 5 eyalette veriliyor. Sonuç olarak oy hakkından mahrum bırakılabilecek birçok grup var: trans bireyler, vatandaş olmayanlar, evlendikten sonra eşinin soyadını alan kadınlar, adını değiştirenler, pasaport ücretini karşılayamayanlar vb.
Suçları ve CSAM paylaşımını önlemek gerekçesiyle şifrelemeyi kırma mantığı işe yaramaz; yalnızca yasalara uyan vatandaşlara zarar verir. Suçlular, yasaklansa bile, fiilen güçlü şifreleme yöntemlerini kullanmanın yollarını bulur. AB de bunu gayet iyi biliyor. Her zaman “çocukları koruma” gerekçesini öne sürüyorlar ama asıl amaç gözetim.
AB’nin “Chat Control” tartışmalarında pek dile getirilmeyen bir nokta, bu yasanın yalnızca belirli “platformlara” uygulanacak olması.
Yani Meta gibi üçüncü taraf platformlar üzerinden geçmeyen şifreli sohbetler fiilen kapsam dışında kalıyor.
Eğer biri üçüncü taraf olmadan internette sohbet etmenin imkânsız olduğunu düşünüyorsa, o zaman AB’nin chat control’ünden bile daha ciddi bir mahremiyet engeliyle karşı karşıya demektir.
AB politikasını doğrudan kınayan forum yorumlarından ziyade, daha büyük bağlamın “AB aslında Big Tech’i düzenliyor olması” olduğunu düşünüyorum.
Bu yasa Meta’ya zarar verebilir ve böyle olursa kitlelere yönelik çarpıtılmış bir bilgi kampanyası yürütülecektir.
Pratikte olan şey şu: (a) Meta gibi bir üçüncü taraf kullanmak zaten devlet gözetimi için büyük bir açık oluşturuyor ve (b) fiilî gözetim aktörü devlet değil, Meta’nın kendisi.
AB, Meta’yı mahremiyeti hiçe sayıp gözetim iş modelinden kâr elde ettiği için sürekli para cezasına çarptırıyor. Özel sohbetler için Meta kadar kötü bir seçenek düşünemiyorum.
Chat Control tasarısı aslında mahremiyete önem veren kişileri hedef almıyor; bu insanlar nasıl olsa şifrelemeyi sürdürmenin bir yolunu bulur. Matematiğin temeli yasayla ortadan kaldırılamaz, açık kaynak projeleri de yok edilemez.
Bu yasa esasen “ana akım” sıradan insanların, birilerinin dinliyor olabileceği bilinciyle sürekli otosansür uygulayarak yaşamasını kurumsallaştırıyor. Araçlarını kaybedenler normal insanlar oluyor; bilinen workaround’lar ise kullanılmaya devam ediyor.
Umarım bu tür bir yasa bu kez gerçekten mezara gömülür; zombi gibi her seferinde yeniden geri dönmesi artık çok yorucu.