VPN yasağını gündeme getiren ABD'li eyalet milletvekilleri, teknik bilgi eksikliği nedeniyle tartışma yaratıyor

• ABD'de Wisconsin ve Michigan eyaletlerinde, yetişkin içeriklerine erişimde yaş doğrulama yasalarına VPN engelleme maddesi ekleyen yasa girişimleri gündemde
• Wisconsin tasarısı (A.B.105/S.B.130), “küçükler için zararlı materyal” kapsamını genişletiyor ve bu içeriği sunan web sitelerinin VPN ile bağlanan kullanıcıları engellemesini zorunlu kılıyor
• Ancak web siteleri VPN kullanıcılarının gerçek konumunu tespit edemediği için bunun teknik olarak imkânsız bir talep olduğu belirtiliyor
• VPN'ler kurumsal güvenlik, uzaktan çalışma, öğrenci araştırmaları, insan hakları faaliyetleri ve kişisel gizliliğin korunması gibi çok çeşitli amaçlarla kullanılıyor; bu nedenle engellemenin geniş çaplı zarara yol açabileceği endişesi var
• Bu tür yasa tasarılarının dijital gizliliği ve ifade özgürlüğünü tehdit ettiği, somut bir fayda sağlamadan internet güvenliğini zayıflatabileceği ifade ediliyor

---

Wisconsin ve Michigan'da VPN yasağı girişimleri

• Wisconsinli milletvekilleri, A.B.105/S.B.130 tasarısı ile yetişkin içeriğine erişimde yaş doğrulamasını ve VPN engellemeyi zorunlu kılmak istiyor
  • Tasarı, “cinsel içerikli materyal” sunan tüm web sitelerinin devlet tarafından verilmiş kimlik doğrulama sistemi ve VPN kullanıcılarını engelleme özelliği kullanmasını şart koşuyor
  • “Küçükler için zararlı materyal” tanımı mevcut duruma göre çok daha genişletiliyor; böylece insan anatomisi, cinsel eğitim ve üreme ile ilgili içerikler de kapsama girebilir
• Wisconsin tasarısı eyalet meclisinin alt kanadından geçti ve şu anda senato incelemesinde
• Michigan'da da benzer bir tasarı sunuldu ancak yasama sürecinden geçemedi
  • Söz konusu tasarı, internet servis sağlayıcılarının (ISP) VPN bağlantılarını izleyip engellemesini istiyordu
• Birleşik Krallık'ta da bazı yetkililer VPN'leri “kapatılması gereken bir açık (loophole)” olarak nitelendirdi

Teknik imkânsızlık ve yan etkiler

• VPN, kullanıcının gerçek konumunu gizleyen ve trafiği başka sunucular üzerinden yönlendiren bir teknolojidir
  • Web siteleri yalnızca VPN sunucusunun IP adresini görebildiği için, bağlanan kişinin gerçek konumunu ayırt edemez
• Bu nedenle “Wisconsin içindeki VPN kullanıcılarını engelleyin” talebi teknik olarak uygulanamaz
• Yasa yürürlüğe girerse, web siteleri ya Wisconsin'de hizmeti durdurmak ya da dünya genelindeki tüm VPN kullanıcılarını engellemek arasında seçim yapmak zorunda kalabilir
  • Bu da tek bir eyalet yasasının dünya genelindeki internet erişimini etkilemesi sonucunu doğurabilir

VPN'lerin vazgeçilmez kullanım alanları

• Kurumsal güvenlik: Uzaktan çalışan personel ve iş seyahatindeki çalışanlar, şirket içi ağlara güvenli biçimde erişmek için VPN kullanır
  • Amaç; müşteri ve çalışan verilerini korumak, iç iletişimi güvence altına almak ve siber saldırılara karşı savunma sağlamaktır
• Eğitim kurumları: Üniversiteler, araştırma veritabanlarına, ders materyallerine ve kütüphane kaynaklarına erişim için VPN kullanımını zorunlu kılar
  • Örneğin Wisconsin Üniversitesi Madison kampüsündeki WiscVPN, kampüs dışındaki ağlardan da üniversite kaynaklarına erişim sağlar
• Savunmasız grupların korunması:
  • Aile içi şiddet mağdurları, konumlarının açığa çıkmaması için VPN kullanır
  • Gazeteciler ve insan hakları aktivistleri, kaynaklarını ve faaliyetlerini gözetimden korur
  • LGBTQ+ kullanıcılar, düşmanca ortamlarda sağlık bilgilerine ve topluluklara erişmek için VPN'den yararlanır
• Genel kullanıcılar reklam takibinden, ISP gözetiminden ve konum tabanlı veri toplamadan kaçınmak için VPN kullanır

Gizlilik ihlali ve veri sızıntısı riski

• VPN'ler engellendiğinde kullanıcılar, içeriğe erişmek için devlet kimliği, biyometrik bilgi ve kredi kartı bilgilerini doğrudan web sitelerine vermek zorunda kalabilir
• Bu verilerin şifrelenmeden saklanma ihtimali yüksektir ve hacklenme ile veri sızıntısı riski büyüktür
  • Nitekim yaş doğrulama sistemlerinin hacklenmesine dair örnekler zaten yaşandı
• Sonuç olarak kişilerin gerçek kimliği ile ziyaret geçmişi açığa çıkabilir; bu da ciddi gizlilik ihlallerine yol açabilir
• Tasarı, “güvenlik” gerekçesiyle sunulan bir gözetimi artırma politikası olarak değerlendiriliyor

“Küçükler için zararlı materyal” tanımının aşırı genişletilmesi

• Mevcut yasada küçükler için yasaklanabilecek materyallerin kapsamı, toplumsal değeri neredeyse olmayan ve cinsel merakı kışkırtan içeriklerle sınırlıydı
• Wisconsin tasarısı bunu genişleterek, yalnızca cinselliğin tasviri veya insan bedeninin açıklanmasıyla bile içeriğin zararlı sayılabilmesine yol açıyor
  • Buna edebiyat, sanat, müzik, film ile bilimsel ve tıbbi içerikler de dahil olabilir
• Ayrıca bir web sitesindeki içeriğin üçte birinden fazlası bu kapsama girerse yasa o siteye uygulanacak
  • Bu ölçüte göre sosyal medya, cinsel eğitim siteleri ve LGBTQ+ sağlık bilgi siteleri de düzenlemeye tabi tutulabilir
• Bu kadar geniş bir tanım, hükümete ifadenin uygunluğunu keyfi biçimde değerlendirme yetkisi veriyor
  • Tarihsel olarak bu tür sansür uygulamaları azınlık topluluklarının aleyhine işlemiştir

Etkisizlik ve aşılabilirlik

• Yasa geçse bile kullanıcılar ticari olmayan VPN'ler, açık proxy'ler ve kişisel sunucular üzerinden bunu kolayca aşabilir
  • AWS, DigitalOcean gibi bulut hizmetleri kullanılarak trafik tünelleme de yapılabilir
• Sonuçta engellemenin etkisi esas olarak meşru kullanıcılar, şirketler, öğrenciler, gazeteciler ve mağdurlar üzerinde yoğunlaşacaktır
• VPN engelleme maddesi, etkisiz ve hatta interneti daha güvensiz hale getiren bir önlem olarak değerlendiriliyor
• Temel sorun aslında VPN'ler değil, yaş doğrulama yasalarının verimsiz ve gizliliği ihlal eden yapısı

Gizlilik ve özgürlüğe yönelik tehdit

• Kullanıcılar, yaş doğrulama zorunluluğunun yaygınlaşmasına karşılık VPN kullanımını artırdı
• Ancak bazı siyasetçiler bunu “gözetimden kaçış aracı” olarak görerek, gizliliği koruyan teknolojilerin kendisini yasaklama yönünde hareket ediyor
• VPN yasağı, dijital gizliliğe ve ifade özgürlüğüne yönelik bir saldırı olarak görülüyor
• Gençleri koruma gerekçesiyle sunulan bu politikaların alternatifi olarak eğitimin güçlendirilmesi, ebeveynlerin desteklenmesi ve gerçek çevrimiçi risk etkenlerinin ele alınması öneriliyor
• Teknik kavrayış olmadan ilerletilen VPN yasağı girişimlerinin, internet özgürlüğü ve güvenliği için ciddi bir tehdit oluşturduğu değerlendiriliyor

[GN⁺]

Hacker News görüşleri

• Rusya'nın sansür politikalarını hatırlatıyor
  Büyük VPN sağlayıcıları, Tor köprüleri ve yabancı hosting siteleri bile engellendi; IPsec ve WireGuard gibi protokoller de bloke edildi
  VPN kullanımı, “aşırılıkçı bilgi arama” suçunda ağırlaştırıcı unsur sayılınca birçok insan korktu
  Sonunda çoğu kişi yalnızca izlenen ve sansürlenen yerel servisleri kullanmak zorunda kalırsa, whitelist uygulamak ya da uluslararası ağı kesmek de kolaylaşır
  • Tam anlamıyla Rusya tarzı kontrol seviyesine gitmeden bu tür politikalar işlemez
    ABD'de hâlâ hukuk devleti kurumları var, bu yüzden VPN yasağını fiilen uygulamak için birçok kurumun çökmesi gerekir
• Zanzibar'da internet sansürünü bizzat yaşadım
  Proton gibi VPN'ler engellenmişti ve izinsiz VPN kullanmanın cezası 2000 dolar para cezası veya 12 ay hapisti
  VPN kullanım izni almak için IP adresi gibi ayrıntıları içeren bir form vermek gerekiyordu, ama inceleme süreci yavaş ve şeffaf değildi
  Yasa tasarısının bağlamı farklı olsa da, yasa koyucuların VPN'in doğasını anlamaması bakımından benzerlik var
  İronik olan şu ki Zanzibar dijital göçebeleri çekmek isterken aynı anda özgür interneti engelliyor
• Cihaz ayarlarında ebeveynlerin parolayla kilitleyebileceği bir IP filtresi özelliği çok daha etkili olur ve uygulaması da daha kolaydır
  Böyle bir şeyin varsayılan seçenek olması gerekirdi ama garip biçimde bunun konuşulduğu bile yok
  Çocukları koruma bahanesiyle çıkarılan internet sansürü yasaları ilkesel olarak yanlış bir yaklaşımdır
  Çocuk yetiştirme sorumluluğu ebeveynlere aittir, devletin bunu onların yerine yapması gerekmez
  Bu tür yasalar sonunda gözetim toplumuna açılan kapıyı aralar
  • Niyet ne olursa olsun, bu tür yasalar “koruma” gerekçesiyle kitlesel gözetimi mümkün kılar
  • “Çocukları koruma” sadece bir bahanedir; asıl hedef bilgi kontrolüdür
  • Baştan beri amaç gözetimdi
    Sorun şu ki bu politikaları hazırlayanlar kendilerini otoriter olarak bile görmüyor
    Açgözlülük, cehalet ve etik yoksunluğu birleşince sonuçta faşizme kayıyor
  • Kontrolün ebeveynlerde olması doğru, ama birçok ebeveyn gerçekte zaman ayırmıyor
    Hiçbir yasa bu gerçeği değiştiremez
  • IP engelleme pratik değil
    Cloudflare, CloudFront, Amazon ve Google IP aralıklarını engellersen geriye pek bir şey kalmaz
    IP engellemeden daha iyi yöntemler var
• 1990'lardaki güçlü şifrelemeyi yasaklama girişimlerini hatırlatıyor
  Hükümet, uyuşturucu satıcıları ile çocuklara yönelik suç işleyenlerin şifreleme kullandığını söyleyerek HTTPS'i zayıf şifrelemeyle sınırlamaya çalışmıştı
  Sonuçta bugün yine aynı propaganda mantığı tekrarlanıyor
  • Clipper Chip bunun en tipik örneği
  • Sonuç olarak, görünüşe göre suçluların düz metin e-postayla konuşacak kadar pervasız olabileceğini hiç hesaba katmamışlardı
• Wisconsin VPN'leri kusursuz biçimde engellemenin yolunu bulursa, bunu Netflix veya Akamai'ye de öğretebilir herhalde
  Gerçekte coğrafi engelleme bir ölçüde yapılabiliyor ama VPN engellemek neredeyse imkânsız
  Bir arkadaşım, NordVPN engellenirse IP'yi birkaç kez değiştirince her zaman bağlanabildiğini söylüyor
  • Kusursuz biçimde engellemek zorunda değilsin
    Cinayet de tamamen engellenemiyor ama yine de yasa dışı; VPN yasağı da böyle olabilir
  • İnterneti kendi kafalarındaki hayale göre şekillendirmeye çalışan insanları izliyormuş gibi
    İnterneti koli bandıyla bir arada tutmaya çalışma hissi veriyor
  • Hükümet gibi ağı kontrol edebilen bir aktör söz konusuysa durum farklı
    Çin son dönemde VPN engellemeyi epey iyi yapıyor
    Ama anayasa gibi kısıtlar olmazsa tabii mümkün olur
  • VPN engelleme kedi-fare oyunudur
    AWS WAF de 2020'de VPN IP'lerini engelleme özelliği ekledi
    AWS WAF güncelleme bağlantısı
  • Aslında birçok site VPN'i engelliyor
    NordVPN'e abone olup IP'leri doğrudan kontrol edebildikleri için, o kadar da zor bir iş değil
• Batı “demokrasileri”nin yavaş çöküşünü ve küresel güneyin yükselişini izliyoruz
  Batılı liderler panik halinde görünüyor; hem Biden hem Trump zayıf görünüyor
  Bireysel düzeyde aile, arkadaşlar, hayat boyu öğrenme, maneviyat, üretken emek ve topluluk desteğiyle içsel güç geliştirmek gerekiyor
• SSH tüneli kullanmak VPN'den daha basit
  Sonunda libssl, libcrypto gibi kütüphaneleri düzenlemek gerekecek ki bu saçma olur
  Belki de “özel anahtar çifti izinsiz kullanımı” diye hapse gireriz
  • Bu ancak yoksulsan ya da siyasi düşman olarak sınıflandırılmışsan mümkün olur
    “Küçük devlet” nereye kayboldu bilmiyorum
  • Tünelleme bir şifreleme özelliği değildir; şifreleme sadece tespiti zorlaştırır
    HTTP, Telnet, DNS, SMS gibi yollarla da tünelleme yapılabilir
  • Yetişkin biri için mesele sadece yasal içeriğe başka bir yoldan erişmekten ibaret
    Bu tür yasaların amacı çocukların yanlışlıkla zararlı içerik görmesini engellemek
    Kendi VPN aboneliğini yapacak ya da SSH sunucusu çalıştıracak kadar bilgi sahibiyse, zaten kendi kararını verebilecek yaştadır
• Yaş doğrulaması için gereğinden fazla kişisel veri isteniyor
  İsim, adres, imza, yüz gibi bilgiler gerekli değil
  Sadece “21 yaşından büyük” olduğunu kanıtlamak yeterli olmalı
  Mahremiyet dostu doğrulama yöntemleri olsa bu tür yasalar da daha az tepki çekerdi
  • Gerçek amaç yaş doğrulama değil, veri toplama ve kontrol olabilir
• Bu tür politikalara bakınca, aslında kimsenin gerçekten kontrolü elinde tutmadığı hissine kapılıyorum
  Sanki bütün ülke sadece akıntıyla sürükleniyor
• Demokratik ülkelerin otoriter ülkelerin yasalarını 5 yıl gecikmeyle kopyalaması komik
  • Bu eğilim ABD siyasetinde defalarca görüldü
    Comstock yasaları, CDA, zayıf şifrelemeyi dayatma girişimleri ve Clipper Chip gibi örnekler var
    Otoriterlik milliyetten bağımsız olarak her yerde ortaya çıkabilir
  • Çin'in Great Firewall'u 2003'te ortaya çıktı ama Birleşik Krallık'ta hâlâ böyle bir güvenlik duvarı yok
    Yani zaman farkı daha da uzun
  • Bu sadece bir zaman farkı değil; belki de onlar giderek otoriterleşiyor
  • Komik değil, gerçekten korkunç bir durum