DNS sağlayıcısı Quad9, korsan engelleme emrini “varoluşsal tehdit” olarak nitelendirdi

• İsviçre merkezli kâr amacı gütmeyen DNS resolver Quad9, Fransa mahkemesinin verdiği yasadışı streaming sitesi engelleme emri nedeniyle hizmetinin sürdürülebilirliğinin doğrudan tehdit altında olduğu uyarısında bulundu
• Google·Cloudflare·Cisco gibi büyük şirketler hukuki ve teknik maliyetleri karşılayabilse de, küçük kâr amacı gütmeyen kuruluşların aynı yükü taşımasının zor olduğuna dikkat çekildi
• Quad9, maddi yetersizlik nedeniyle Fransa'daki mahkeme davasında yakın zamanda doğrudan hazır bulunmamaya karar verdiğini ve bu yüzden engelleme emrini küresel olarak uygulamak zorunda kaldığını açıkladı
• Telif hakkı sahipleri, sorumluluğu tarafsız altyapı sağlayıcılarına (ISP·VPN·DNS) kaydırırken internetin temel yapısının (plumbing) zarar gördüğü belirtiliyor
• Bu hukuki baskının, internetin açıklığını·mahremiyetini·dağıtık yapısını zayıflattığı ve sonunda az sayıdaki büyük şirket etrafında merkezileşmeye yol açma riski taşıdığı ifade edildi

---

Korsan engelleme emri ve Quad9'ın krizi

• İsviçre merkezli kâr amacı gütmeyen DNS resolver Quad9, kısa süre önce bir blog yazısında korsan site engelleme emirlerinin kendi hizmeti için “varoluşsal tehdit (existential threat)” haline geldiğini duyurdu
  • Büyük teknoloji şirketlerinin hukuki ve mühendislik maliyetlerini işletme giderleri içinde karşılayabildiğini, ancak küçük kâr amacı gütmeyen kuruluşların aynı düzeyde savunma yapmasının mümkün olmadığını belirtti
• Quad9, Fransa'daki mahkeme sürecinde mali sınırlar nedeniyle kendi savunmasını yürütmekten vazgeçtiğini ve bunun sonucunda engelleme emrini küresel ölçekte uygulamak zorunda kaldığını söyledi
• Süreç, Mayıs 2024'te Paris Yargı Mahkemesi'nin Google, Cloudflare, Cisco hakkında birden çok yasadışı spor streaming sitesine erişimin engellenmesine hükmetmesiyle başladı
  • Ardından DAZN, beIN gibi ek hak sahipleri benzer taleplerde bulundu ve Quad9 ile Vercel gibi daha fazla DNS sağlayıcısı da hedefe dahil edildi

“İnternetin tesisatını kırmak”

• Quad9, telif hakkı sahiplerinin doğrudan ihlal edenleri hedef almak yerine, sorumluluğu ISP·VPN·DNS sağlayıcıları gibi tarafsız altyapı işletmecilerine yüklediğini savundu
  • Bu tür adımların, internetin çekirdek altyapısını sağlayan aktörleri doğrudan etkilediği belirtildi
• Quad9, “ihlallerden kazanç sağlayan platformlar değil, internetin çalışmasını mümkün kılan tarafsız altyapı sağlayıcıları saldırı altında” ifadesini kullandı
• Fransa'daki engelleme tedbirlerinin ardından Cisco'nun Fransa pazarından çekilme kararı aldığı ve etkilerin şimdiden somut biçimde görüldüğü aktarıldı
• Google ve Cloudflare teknik olarak engellemeyi yalnızca Fransa ile sınırlayabilirken, Quad9 bunu uygulayamadığı için engellemeyi dünya genelinde devreye almak zorunda kaldı

Fransa mahkemesinin tutumu ve Quad9'ın gündeme getirdiği sorular

• Fransa mahkemesi bu tür engelleme emirlerini meşru gördü; bazı temyiz süreçleri sürse de kararın tersine döneceğine dair bir işaret bulunmuyor
• Quad9 ise buna karşılık, internetin temel ilkeleri ve sorumluluk sınırları hakkında köklü bir tartışmaya ihtiyaç olduğunu savunarak çeşitli sorular yöneltti
  • “Tarafsız teknik altyapı, başkalarının eylemlerinden sorumlu tutulmalı mı?”
  • “Ulusal mahkemeler, kendi hukukunu küresel ağa ne ölçüde uygulayabilir?”
  • “Küçük kâr amacı gütmeyen kuruluşlar, küresel şirketler varsayılarak tasarlanan hukuki yükümlülükleri taşıyabilir mi?”
  • “Yalnızca az sayıdaki büyük şirket hukuki yükümlülükleri yerine getirebildiğinde mahremiyet ve dayanıklılık ne olur?”
  • “Hukuka uyum hangi noktada fiili sansüre dönüşür?”

Almanya davasından sonra yeniden alevlenen tehdit

• Quad9 geçmişte Almanya'da Sony'ye karşı yıllar süren bir davayı kazanmış olsa da, bu Fransa davasıyla birlikte varoluşsal tehdit yeniden ortaya çıkmış durumda
• Quad9, bu tür engelleme davalarının internetin açıklığını, mahremiyetini ve dağıtık yapısını zayıflattığını ve sonunda yalnızca hukuki maliyetleri karşılayabilen az sayıdaki büyük şirketin egemen olduğu merkezileşmiş bir internete yol açabileceğini vurguladı

[GN⁺]

Hacker News görüşleri

• Cisco'nun OpenDNS'inin Fransa ve Portekiz'de mahkeme kararıyla engellendiğini, daha sonra Portekiz'de yeniden erişime açıldığını belirten duyuruyu gördüm
  Quad9'un sansüre karşı savaşmak istemesi harika, ancak onların da Fransa taleplerini engellemek zorunda kalacağını düşünüyorum
  Kullanıcılara durumu açıklayıp devlet yetkililerinin iletişim bilgilerini veren bir yönlendirme sayfasına göndermek daha iyi olmaz mı diye düşünüyorum

  • Habere göre Google ve Cloudflare, engellemeyi yalnızca Fransa içinde uygulayabilen coğrafi sınırlandırma teknolojisine sahip, ancak Quad9 bunu yapamadığı için engellemeyi küresel olarak uygulamış
    Genel DNS çözümleyicilerinin böyle bir coğrafi sınırlandırmayı uygulamasının maliyeti ve karmaşıklığı ne kadar olur merak ediyorum
  • Ülke bazında tümünü engellemek, sonuçta varoluşsal bir tehdide dönüşebilir diye düşünüyorum

• Bir banka web sitesindeki giriş sorununu ayıklarken, Quad9 DNS'in Google veya Cloudflare'den farklı olarak yalnızca bazı A kayıtlarını döndürdüğünü fark ettim
  dig komutuyla test ettiğimde Google ve Cloudflare 6 IP veriyor ama Quad9 yalnızca 1 tane veriyor
  Bunun sadece coğrafi yönlendirme farkı mı yoksa başka bir neden mi olduğu konusunda şüpheye düştüm

  • Ben de evde varsayılan DNS olarak Quad9 kullanıyordum ama yaklaşık 11 gün önce sorgular hiç çıkmamaya başlayınca IP engellemesinden şüphelendim. Şimdi Quad1'e geçtim
  • Üç DNS'in de yalnızca tek bir IP döndürdüğünü gördüm. Google, istemci IP'sine göre coğrafi hedefleme için EDNS0 client subnet kullanıyor
    Bunu dig -t txt o-o.myaddr.l.google.com @8.8.8.8 komutuyla doğrulayabilirsiniz
  • Quad9'u sevmeye çalıştım ama kuzeydoğu bölgesinde SERVFAIL hataları çok sık olduğu için Cloudflare'a geri döndüm
  • Google, EDNS ve yük dengeleme kullandığı için test amacıyla uygun değil. Birden fazla sabit IP'si olan bir alan adıyla yeniden test etmek daha iyi olur
  • İlginç şekilde ben de üç DNS'in her birinden farklı tekil IP'ler aldım

• Almanya'daki birçok ISP artık kavgadan vazgeçip DNS düzeyinde sansür uygulamaya başladı
  İlgili bilgileri CUII sitesinde görebilirsiniz

  • Japonya'da da 2018'de Başbakanlık korsan site DNS engellemesini değerlendirmişti, ancak teknik topluluğun tepkisi nedeniyle rafa kaldırıldı
    Şimdi ise çevrimiçi kumar sitelerinin engellenmesi tartışılıyor
    İlgili kaynaklar: hükümet toplantı tutanağı, NIC açıklaması
  • Böyle zamanlarda Unbound ile kişisel bir çözümleyiciyi kendin çalıştırmanın önemli olduğunu düşünüyorum. Merkezileşmiş DNS'e bağımlı olmaya gerek yok
  • Aslında bu tür öz sansür uzun zamandır vardı. The Pirate Bay döneminde de durum böyleydi

• İsviçre'nin gelecek yıl AB ile yapmayı planladığı anlaşmayı imzalamamasını umuyorum
  8 binden fazla sayfalık anlaşma metni, telif hakkıyla ilgili AB düzenlemelerine uyma yükümlülüğü içeriyor; bu da bugünkü özgür indirme ortamının ortadan kalkmasına yol açabilir
  Siyasi eğilim ne olursa olsun bunun herkes için kötü bir anlaşma olduğunu düşünüyorum

• Ben Mullvad DNS kullanıyorum ve oldukça memnunum
  Mullvad DNS özellikleri

  • Mullvad DNS'in herkese açık olduğunu bilmiyordum. Bunu öğrenmek iyi oldu
    Bu aralar DNS4EU da test ediyorum
  • Ben de yedek olarak kullanıyorum ama çok yavaş
    Bu arada Wikimedia DNS de herkese açık bir hizmet olarak çalışıyor: Wikimedia DNS
  • Benim durumumda ortalama 350 ms gecikme alıyorum. Hız ölçüm ekran görüntüsü
  • Mullvad DNS'te sık sık kesinti oluyordu. Neredeyse her gün sorun yaşanıyordu ama VPN'in kendisi harika

• DNS çözümleyicilerini hedef almak kolay bir zafer gibi görünüyor
  Gerçekten yasa dışı sitelerse ICANN üzerinden alan adına el koymayı denemeleri gerekir. Ama bunu kanıtlamak zor olduğu için DNS çözümleyicilerine baskı yapıyorlar gibi görünüyor

  • ICANN üzerinden alan adına el koyma küresel olarak uygulanmak zorunda olurdu, bu nedenle ülkeler arasındaki farklı yasaları yansıtmak zor olurdu
    Her ülkenin farklı engelleme listeleri tutabildiği bir yapıya ihtiyaç var
  • Ancak ICANN'in alan adlarına doğrudan el koyma konusunda yetkisi veya mekanizması yok
    Yalnızca kayıt operatörü sözleşmesi ihlali durumunda akreditasyonu iptal etme imkânı var

• İronik biçimde, bugünkü merkeziyetsiz internet akımı idealist nedenlerle değil, otoriter sansüre karşı bir tepki olarak ortaya çıkıyor

  • İronik ama, merkeziyetsizliğin temel erdemlerinden biri zaten sansüre dayanıklılık
  • Bence sansüre dayanıklılık, merkeziyetsizliğin temel değeridir
  • Akıl, özgürlük ve sansüre dayanıklılık savunmamız gereken erdemlerdir

• Quad9'un DNSSEC'i koruyan ama kötü amaçlı yazılım engellemesi olmayan bir çözümleyici çalıştırıp çalıştırmadığını merak ediyorum
  Yasal alan adlarının geçici olarak engellendiği birkaç durum oldu

  • Ne yazık ki böyle bir kombinasyon yok. 9.9.9.10 sürümünde ne DNSSEC ne de kötü amaçlı yazılım engellemesi var

• Kök DNS sunucularının mahkeme emriyle sansürlenmesi veya değiştirilmesi olası mı diye merak ediyorum
  Kök sunucuları dokunulmaz sanıyordum ama pratikte durumun ne olduğunu merak ediyorum

  • ABD doğrudan sansür girişiminde bulunmadıkça, böyle emirlere sert şekilde karşı çıkılacağını sanıyorum
    Bunun yerine DNS-over-Tor veya DNS-over-DHT gibi alternatifler geliştirmek ve Tor onion hizmetlerini yaygınlaştırmak daha iyi olabilir
  • Kök sunucular tamamen güvende değil, ancak DNSSEC doğrulaması başarısız olursa sonuç SERVFAIL olur ve başka bir kök sunucuya yeniden denenir
    Bu yüzden tüm kök sunucular aynı anda değiştirilmediği sürece etkili olmaz
    Referans: DNSSEC istatistikleri
  • Kök sunucular gerçek alan adı kayıtlarını tutmaz, yalnızca kayıt yeri bilgisini gösterir
    Bu nedenle sansür olacaksa bunun kayıt düzeyinde yapılması gerekir
  • İsveç örneğinde olduğu gibi, kayıt kurumu mahkeme emri alırsa alan adını polise devretmek gibi bir işlem yapar
    Ancak “alan adını kalıcı olarak yok etme” diye bir kavram olmadığından engellemenin tanımı muğlak kalıyor

• Ben kendi ad sunucumu çalıştırıyorum
  Kök sunucular ele geçirilmediği sürece DNS engellemesi sorun olmaz
  En popüler 5000 alan adını önbelleğe alırsanız yanıt süresi de hızlı olur

  • Gerçekte engellemenin asıl noktası kök sunuculardan çok TLD/2LD kayıtlarıdır
    Kendi kök içerikli DNS sunucunuzu çalıştırırsanız bu tür saldırılara karşı neredeyse bağışık olursunuz
  • Elbette bazı ev ağlarında 53 numaralı portun engellenmesi bu tür girişimleri durdurabilir