FCC, yabancı üretim tüketici yönlendiricilerini ‘Covered List’e ekledi

• ABD FCC’si, yabancı ülkelerde üretilen tüketici yönlendiricilerini ‘Covered List’e yeni olarak dahil etti
• Bu adımla söz konusu yönlendiricilerin yeni model onayları yasaklandı
• Güncelleme, ABD yürütme organı kurumlarının ulusal güvenlik değerlendirmesine dayanarak yapıldı
• FCC, ilgili belgeleri basın bülteni ve duyuru metni aracılığıyla DOCX·PDF·TXT formatlarında yayımladı
• Bu karar, tüketici ağ ekipmanlarının güvenlik risklerinin yönetimini güçlendirmeyi hedefleyen federal düzeyde bir müdahaledir

---

FCC, yabancı üretim tüketici yönlendiricilerini ‘Covered List’e ekledi

• FCC(Federal Communications Commission), yabancı ülkelerde üretilen tüketici yönlendiricilerini ‘Covered List’e yeni olarak dahil etti
  • Bu adım, söz konusu yönlendiriciler için yeni model onayının yasaklanması anlamına geliyor
• Güncelleme, ABD yürütme organı kurumlarının ulusal güvenlik değerlendirmesi doğrultusunda yapıldı ve bu ekipmanların güvenlik tehdidi oluşturma ihtimali taşıdığı belirtildi
• FCC, ilgili içeriği basın bülteni (News Release) ve resmî duyuru (Public Notice) biçiminde yayımladı; belgeler DOCX·PDF·TXT dosyaları olarak sunuldu
• Belgelerde Covered List güncelleme SSS bağlantısı yer alıyor ve yabancı üretim yönlendiricilere ilişkin düzenleme değişiklikleri açıklanıyor
• Bu adım, tüketici ağ ekipmanlarının güvenlik risklerinin yönetimini güçlendirmeye yönelik federal düzeyde bir müdahale olarak duyuruldu

[GN⁺]

Hacker News görüşleri

• FCC, "Covered List" adlı bir ekipman ve hizmet listesi tutuyor. Son dönemde yabancı menşeli küçük ve ev tipi router açıklarının istismar edildiği saldırılar artsa da, sorunun özü üretim ülkesi değil, üreticilerin berbat güvenlik uygulamaları. Devlet kurumları güvenli firmware’i zorunlu kılmadığı için üreticilerin bunu önemsemesi için bir neden yoktu. Ne FCC ne de FTC tüketiciyi korumaktan çok siyasi çıkarlarla bağlı ve sonuçta ABD, güvenliği berbat sayısız cihazın yayılmasına yol açtı

  • "Güvenli firmware" göreli bir kavram. Kusursuz firmware istemektense sürekli güncelleme daha önemli. Ama üreticiler 3 yıl sonra desteği kesiyor, tüketiciler ise cihazları 15 yıl kullanıyor. Çözüm, tüketicinin firmware’i kendisinin değiştirebilme hakkına sahip olması. Böylece şirket batmış olsa bile açık kaynak firmware ile değiştirmek mümkün olur ve güvenlik de artar
  • İronik biçimde birçok tüketici cihazında "sorun çözme" bahanesiyle gömülü arka kapılar bulunuyor. Bu tür sorunlar yalnızca yabancı ürünlerle sınırlı değil. Devlet kurumlarının güvenliği ciddiye aldığı tek an, FBI’ın şifrelemeyi zayıflatmaya çalıştığı zamandı
  • Avrupa, 2027’den itibaren Cyber Resilience Act ile tüm dijital ürünler için asgari güvenlik şartlarını zorunlu kılacak. Buna sabit kodlanmış varsayılan parolaların yasaklanması, otomatik güvenlik güncellemeleri ve veri şifreleme de dahil. Etkisinin ne olacağı belirsiz ama girişimin kendisi olumlu
  • FCC yalnızca radyo parazitini düzenler; bir tüketici koruma kurumu değildir. FTC de haksız ticari uygulamalarla ilgilenir, güvenlik kalitesi onun da yetki alanında değildir
  • Yönetimi eleştirmek yaygın ama bu adım, “açıkların bilerek bırakılıp, ancak kendi ülkesi istismar ettikten sonra düzeltilmesi” anlamına geliyor gibi okunuyor. Artık insanın aklına router’ı kendin yapman daha iyi düşüncesi geliyor

• Bu duyurunun özü, yabancı menşeli router’ların varsayılan olarak yasaklanacağı ama koşullu onay (Conditional Approval) alırlarsa satılabilecekleri. FCC, üreticilerden yasal yargı alanı, parça menşei, yazılım güncelleme planı ve ABD içinde üretimi artırma planı gibi bilgiler istiyor. Yani amaç, onay süreci üzerinden yerli üretimi teşvik etmek

  • Ama pratikte yalnızca siyasi bağış (payola) yapan şirketlerin onay alıp, diğerlerinin engellenmesi olası görünüyor. Benzer desenler gümrük tarifesi politikalarında da görülüyor
  • Kâğıt üzerinde harika dursa da, gerçekte yönetimin kişisel çıkar aracı olarak kötüye kullanılma riski büyük
  • Bu sürecin partiler üstü bir teknik idare olarak işlemesini beklemek zor; sonuçta "Pay-to-Play" düzenine dönüşebilir
  • Sonuçta bu, “gümrük vergileriyle olmadıysa, şimdi ticaret ortaklarına başka yoldan baskı kuralım” yaklaşımı gibi görünüyor
  • Trump’ın özel projelerine bağış yapan şirketlerin geçeceğine dair alaycı bir bakış da var

• Bu adımın bir gözetim sistemi kurmanın başlangıcı olabileceğine dair kaygılar da var. ABD yapımı router’lara devlet için uzaktan erişim özelliği zorunlu kılınırsa, sonuçta tüm evler bir gözetim ağına bağlanabilir. Serbest ticaretin sağladığı tek avantajın, tek bir devletin tüm nüfusu gözetleyememesi olduğu söyleniyor

  • Örneğin Xfinity router uygulamasına “WiFi ile ev içi hareket algılama” özelliğinin eklendiği belirtiliyor
  • Şaka yollu olarak, ABD, Çin ve Rusya router’larını seri bağlarsan hiçbirinin tam arka kapı erişimi elde edemeyeceği de söyleniyor
  • Ama gerçekte mesele yalnızca gözetim değil; ülke içi internet kontrolü için altyapı kurma riski de var. İran örneğinde olduğu gibi, devletin bilgi akışını keserek şiddeti gizleyebileceği bir yapı oluşturulmak istenebilir

• Gerçek güvenlik isteniyorsa cihazları yasaklamak yerine firmware’i açıp denetlenebilir hale getirmek gerekir

  • Ancak arka kapılar firmware’de değil, silikon çipin içinde de gizlenebilir. Tam doğrulama pratikte mümkün olmadığı için asıl mesele tedarik zinciri güvenliği. Buna rağmen bu adım daha çok Trump’ın ticareti silah haline getirme aracı gibi görünüyor
  • Açık firmware’in ticari olarak başarılı olması zor olsa da, OpenWRT One gibi projeler iyi bir örnek. Software Conservancy ile Banana Pi iş birliğiyle geliştirilen modelin iyi çalıştığı söyleniyor
  • Ancak FCC düzenlemeleri nedeniyle kullanıcıların RF ekipmanını serbestçe değiştirmesi zor ve "Right to Repair" istisnası da var. Kongre bunu değiştirmedikçe pratik ilerleme beklemek güç
  • Ayrıca sıradan kullanıcıların firmware’in kaynak kodla eşleşip eşleşmediğini doğrulaması fiilen imkânsız. Teknik olmayan sıradan bir dükkân sahibinin bunu denetlemesinin bir yolu yok

• Yakın tarihli Loper Bright Enterprises v. Raimondo (2024) kararıyla FCC’nin yetkisi ciddi biçimde zayıfladı. Bu durumda yabancı menşeli router’ları sınırlayan böyle bir adımın hukuki incelemeyi geçip geçemeyeceği sorgulanıyor

  • Bazıları bunu, “Cumhuriyetçi eğilimli Yüksek Mahkeme’nin yürütmenin rüşvet toplama yetkisini güçlendirmesi” diye eleştiriyor

• “Yabancı menşeli tüketici router’larının toptan yasaklanması” deniyor ama akla şu soru geliyor: ABD yapımı router diye bir şey var mı?

  • heise.de makalesine göre ABD içinde üretilen router neredeyse yok
  • Yine de mevcut modeller satılmaya devam edebilecek. FCC’nin "Covered List" kuralına göre bu adım yalnızca yeni modeller için geçerli. Bazı şirketler firmware yüklenmemiş switch’leri ithal edip ABD içinde yeniden flashlama da yapabilir
  • Hatta Cisco bile ABD’de üretim yapmıyor
  • Raspberry Pi gibi küçük bilgisayarları router’a dönüştürme seçeneği de var
  • Hatta Starlink’in istisna olabileceğini düşünenler de var

• FCC bu hamleyle internet düzenleme yetkisini genişletmeye çalışıyor olabilir. Geçmişte de benzer örnekler olduğu söylenerek önceki tartışmaya atıf yapılıyor

• Üreticiler açısından çözüm, ürünü "router" olarak değil genel amaçlı bilgisayar olarak satmak olabilir. Zaten NAS, firewall ya da proxy server olarak kullanılabilen çok sayıda donanım var

  • Ama çoğu tüketici, üzerinde "router" yazan hazır bir ürün istiyor. DIY ağ ekipmanı isteyenler zaten bunu yapıyor

• Çinli bir şirket router’ı ABD içindeki bir fabrikada üretse bile tedarik zinciri riski ortadan kalkmaz. Hatta daha büyük risk, ev ağına zaten bağlı olan IoT cihazları olabilir. Bu yüzden bu adımın gerçek değişimden çok siyasi bir jest olduğu düşünülüyor

• Sonuç olarak şu soru kalıyor: “Yabancı menşeli olmayan tüketici router’ından gerçekten kaç tane var?”