Chat Control teklifi, kitlesel muhalefete rağmen yine başarısız oldu

• Avrupa Birliği Konseyi, şifreli mesajların izlenmesini zorunlu kılmayı amaçlayan Chat Control teklifini yeniden geri çekti; bu durum dijital haklar örgütleri için bir zafer olarak değerlendiriliyor
• Teklif, istemci tarafı tarama (client-side scanning) yoluyla mesajları şifreleme öncesi ve sonrasında incelemeyi hedefliyordu; ancak bunun şifreleme sisteminin kendisini zayıflatan bir yapı olduğu eleştirisi yapıldı
• Güvenlik araştırmacıları ve sivil toplum örgütleri, “güvenli bir arka kapı yoktur” diyerek, Apple'ın 2021 örneğini dayanak gösterip risklere dikkat çekti
• Bu geri çekme, sürekli yurttaş baskısı ile teknik uzmanların dayanışmasının politika kararları üzerinde somut etkisi olduğunun bir örneği olarak görülüyor
• Ancak siyasi baskı ve teknik yanlış anlamalar hâlâ sürüyor; bu nedenle şifrelemeyi korumaya yönelik uzun vadeli yanıtlar ve alternatifler geliştirilmesi gerekiyor

---

Chat Control teklifinin tekrarlayan başarısızlığı ve tartışmalar

• Avrupa Birliği'nin Chat Control teklifi, şifreli mesajları büyük ölçekte taramayı amaçlayan bir plandı ve Danimarka dönem başkanlığı bunu bu kez yeniden geri çekti
  • Bu, mahremiyet savunucuları ile kamu güvenliği gerekçesiyle şifrelemeyi zayıflatmak isteyen yasa koyucular arasındaki çatışmanın sürdüğü sürecin bir parçası
• Teklif, 2022'de sunulmasından bu yana sürekli yeniden gündeme geldi ve sivil toplumun, teknik uzmanların ve kamuoyunun muhalefetine rağmen tekrar tekrar masaya kondu
• Electronic Frontier Foundation (EFF) ve 80'den fazla sivil toplum kuruluşu, çocuk cinsel istismarı materyaliyle mücadele gerekçesiyle istemci tarafı taramanın zorunlu kılınmasına sert biçimde karşı çıktı
• Teklif, tekrar tekrar “mahremiyet korumaları” içerdiğini öne sürse de, uzmanlar bunları hayali güvenlik önlemleri olarak değerlendiriyor
• Şifreli mesajlara arka kapı (backdoor) erişimi, tüm sistemi savunmasız hâle getirerek kötü niyetli aktörler tarafından da kullanılma riski taşıyor

“Güvenli tarama”nın teknik olarak imkânsız oluşu

• Uçtan uca şifreleme (E2EE), yalnızca gönderici ve alıcının çözme anahtarlarına sahip olduğu bir yapı olduğundan, üçüncü taraflar mesaj içeriğini okuyamaz
  • Bu, tasarımsal değil, matematiksel kesinliğe dayanan bir güvenlik yapısıdır
• İstemci tarafı tarama, mesajları şifreleme öncesi ya da sonrası aşamada analiz etme girişimidir ve şifreleme modelini temelden bozar
  • Kullanıcının cihazı mesajı tarayabiliyorsa, zararlı yazılım ya da devlet gözetim yazılımları da aynı erişime sahip olabilir
• Apple'ın 2021 tarihli iCloud çocuk görüntüsü tarama planı, uzmanlardan gelen sert tepki sonrası geri çekilen bir örnek olarak anılıyor
• Bu tür sistemlerde yalnızca “iyi amaçlar” için tarama yapmak mümkün değildir; güvenlik açıklarının kötüye kullanılması riski kaçınılmazdır
• Gözetim teknolojileri, başlangıçtaki amacı aşarak siyasi muhalefeti ya da ifadeyi izlemeye genişleme potansiyeline sahiptir; bu da otoriter rejimlerin kötüye kullanımına emsal oluşturabilir

Kamuoyu baskısı ve sivil toplumun etkisi

• Bu geri çekme, sürekli kamusal katılımın ve teknoloji politikalarının izlenmesinin önemini gösteren bir örnek olarak değerlendiriliyor
• Öncekilerden farklı olarak bu tartışmada sivil toplum kuruluşları, teknoloji şirketleri, güvenlik araştırmacıları ve sıradan yurttaşlar geniş ölçekte yer aldı
• EFF, European Digital Rights gibi kuruluşlar, teknik açıklamalar, hukuki analizler ve kamu kampanyaları aracılığıyla milyonlarca kişiye riskleri anlattı
• Bu karşıt kamuoyu sayesinde siyasetçilerin teklifi desteklemesinin zorlaştığı bir ortam oluştu
• Teknik uzmanların tutarlı duruşu, sektörler arası dayanışma ve sürekli baskı, politikanın engellenmesini mümkün kılan temel etkenler olarak gösteriliyor

Politika iyileştirmesi için görevler ve alternatifler

• Chat Control'ün tekrar tekrar geri gelmesi, karar alıcıların şifreleme teknolojisini yanlış anlamasından kaynaklanan yapısal bir sorunu ortaya koyuyor
• Bazı yasa koyucular, güçlü şifreleme ile devlet erişim hakkının aynı anda var olabileceğine inanıyor; ancak bu görüş kriptografi camiasının topyekûn itirazıyla çelişiyor
• Gerçek çevrimiçi güvenlik için, şifrelemeyi zedelemeyen soruşturma kapasitesinin güçlendirilmesi ile uluslararası iş birliği ve toplumsal önleme programları gerekiyor
• Teknoloji şirketleri, içerik taraması yerine meta veri analizi, kullanıcı ihbarı, hesap kısıtlama gibi mahremiyet dostu güvenlik özellikleri geliştirmeli
• Şifrelemenin korunması, tek seferlik bir zafer değil; sürekli izleme, eğitim ve alternatif teknolojilerin geliştirilmesini birlikte gerektiren uzun vadeli bir görev olarak sunuluyor

Gelecek görünümü ve sürekli tetikte olma gereği

• Chat Control'ün geri çekilmesi yalnızca geçici bir zafer ve teklifin AB'nin bir sonraki dönem başkanlığında değiştirilmiş bir biçimde yeniden ortaya çıkma ihtimali var
• Siyasi baskı ve çocukları koruma gerekçesi hâlâ mevcut olduğundan, benzer tekliflerin tekrar gelme riski yüksek
• Mahremiyet topluluğunun sürekli teyakkuzu, kamuoyu eğitimi ve alternatif politika önerileri hayati önem taşıyor
• Şifrelemeyi zayıflatma girişimleri, güvenlikten daha büyük sorunlar doğurur; bunu karar alıcılara anlatmak temel görev olmaya devam ediyor
• “Zombi teklif” olarak anılan Chat Control yeniden canlanabilir ve dijital hak savunucularının uzun vadeli hazırlığını gerektirir

[GN⁺]

Hacker News görüşleri

• Bu haber gerçekten sevindirici.
  Artık anayasal korumalar oluşturulmalı ve bu tekrar yaşansa bile etrafından dolaşabilecek sistemler geliştirilmeli.
  Günümüzde bile yalnızca sneakernet iletişiminin mahremiyeti garanti ettiği yerler var; bu yüzden her zaman bağlı olmadan da çalışan, uzman olmayanlara yönelik gizlilik araçlarına ihtiyaç var.

  • Almanya gibi böyle korumalara zaten sahip ülkeler de var.
    Chat Control, Alman halkına yönelik ideolojik bir şiddet eylemi sayılabileceği için yasa dışı.
    Sorun, insanların ilgisizliği ve harekete geçme iradesinin zayıf olması.

• Bu yasa tasarısı yeniden gelirse muhtemelen “Protecting Children and Countering Terrorism Act” gibi bir adla gelir.

  • Politikacılar buna Amerikan usulü isim verecek olursa, bunu “PROTECT Act” (Preventing Risks Online; Thwarting Exploitation of Children and Terrorism) gibi bir adla paketleyebilirler.
  • Bu öngörünün fazla isabetli olması sinir bozucu.

• Tasarının her yeni versiyonu çıktığında ilk bakılması gereken şey, içinde devlet istisnası maddesi olup olmadığı.
  Eğer devlet kendisini kapsam dışı bırakıyorsa, o anda o tasarı doğrudan çöpü boylamalı.

• Kimin bunu istediğini ve kimin bu kadar bastırdığını merak ediyorum.
  Bu yenilginin geçici olduğunu bilen güçler bunu tekrar tekrar geri getirecek.

  • Ashton Kutcher, Demi Moore ve diğerlerinin kurduğu NGO Thorn.org bununla bağlantılı.
    Bu kuruluş Safer.io adlı bir araç satıyor ve web sitenizde CSAM hash’lerini taramanıza olanak veriyor.
    Eski Europol yöneticilerini de işe almıştı.
    Ayrıntılar için Balkan Insight'ın araştırma haberine bakılabilir.
  • Aslında bu daha çok AB’nin uzun yasama sürecinden kaynaklanan bir gürültü.
    Chat Control içeren paket yaklaşık 2021’den beri öneriliyor ve hâlâ tartışılıyor.
    Artık geri çevirmek için çok geç bir aşamaya gelinmiş durumda.
  • Nihai hedef, anonim konuşmayı şüpheli göstermek.
    Politikacılar kendileriyle anonim olarak alay eden insanlardan bıkmış durumda ve bu yasa da o yapbozun bir parçası.
    Bunu esas olarak Avrupa’daki merkez siyaset güçleri kendi konumlarını korumak için itiyor.

• Bu tartışmanın neden sürekli tekrarlandığını anlamıyorum.
  Şifrelemeye arka kapı dayatanların yeniden seçilememesi gibi bir teşvik olması gerekmiyor mu?

  • Aslında sorun AB’nin karmaşık yasama süreci.
    Komisyon, Parlamento ve Konsey ayrı ayrı farklı pozisyonlar alıyor; süreç uzun ve tekrarlı olduğu için sürekli haber oluyor.
  • Seçmenler daha fazla ilgi gösterirse bu girişimler engellenebilir.
  • Onların bir kez başarılı olması yeterli, bizimse her seferinde engellememiz gerekiyor.
    Lobilerin etkisindeki politikacılar bunu zaman kaybı olarak görmüyor.
    Üstelik bu kez kimin ittiği bile anonim olarak korunuyor.
  • Bu yüzden bunu hep gizlice ilerletiyorlar.
    “Çocukları koruma” gibi gerekçelerle şifrelemeyi dolaylı biçimde etkisizleştirmeye çalışıyorlar.
    Genel kamuoyu şifrelemenin ya da arka kapının ne anlama geldiğini bile bilmediği için sorunu hissetmiyor.

• Bu, yalnızca teknolojiye meraklı %10’luk kesimin baskısıyla olan bir şey değil.
  Politikacılar da aynı teknolojiyi kullanıyor ve bilgi sızarsa kaybedecekleri çok daha fazla şey var.

  • Ama kendilerine tarama istisnası tanıdılar.
    “AB politikacıları mesleki gizlilik yükümlülükleri nedeniyle muaf tutulabilir” diyen bir madde var.
    Bkz. Nextcloud blog yazısı.
  • Von der Leyen’in telefonunun mahkeme delili olmadan önce uygun bir şekilde silindiği bir örnek de var.
    Sızıntı yaşansa bile hesap verme kültürü yok.

• Elektronik sohbeti geçmişteki posta sansürü ile karşılaştırırsak, devlet tüm mektupları yasa dışı kelimeler için tarasa insanlar sessiz mi kalırdı?
  Sohbet olması bunu farklı kılmaz.

  • İtalya Anayasası’nın 15. maddesi, tüm iletişim biçimlerinin özgürlüğünü ve gizliliğini güvence altına alır.
    Yargı kararı olmadan sınırlandırılamaz.
    Anayasanın tam metni bağlantısı
  • Birçok Avrupa ülkesi anayasası ve AİHS 8. madde de keyfi dinlemeyi yasaklar.
    İsveç anayasa hükmünde de bu açıkça belirtilir.
  • Şifreleme kısmen kırılamaz.
  • Dijital konuşmalar, mektuplardan çok fısıltıya benzeyen doğrudan iletişimdir.
    Devletin her sözü okuması kesinlikle kabul edilemez.
  • Bu, mahkeme emri olmadan bütün mektupları okumaktan farksız.
    Zaten metadata toplama bile yeterince ihlal edici.

• Asıl soru “ne zaman ve hangi biçimde geri dönecek” sorusu.

  • Onların bir kez kazanması yeterli, bizimse her seferinde kazanmamız gerekiyor.
  • Muhtemelen ilgili olmayan bir yasa tasarısına sıkıştıracaklar ya da sessizce geçirmeye çalışacaklar.
  • Hatta süreç zaten kapalı kapılar ardında ilerliyor olabilir.

• “Belki 25. denemede başarılı olurlar” gibi alaycı bir düşünce geliyor akla.

  • Adeta while True: ProposeChatControl() gibi sonsuz bir döngü.

• Bu yasa tasarısı bir dahaki sefere yeniden ortaya çıktığında, karşı kampanya için yeni alan adlarının yine ortaya çıkıp çıkmayacağını merak ediyorum.