Fransa, şifreli mesajlaşmayı kırmaya hazırlanıyor
(reclaimthenet.org)- Fransa Parlamentosu İstihbarat Heyeti, WhatsApp, Signal ve Telegram’daki uçtan uca şifrelemeyi zayıflatarak hakimler ve istihbarat görevlilerinin şu anda platformların bile okuyamadığı mesajlara hedefli erişim sağlayabilmesini resmen destekledi
- Heyet, şifreli iletişim içeriklerine erişilememesini adli ve istihbari çalışmalar açısından “önemli bir engel” olarak tanımladı; ancak şifre çözme anahtarlarının kullanıcı cihazlarında bulunduğu yapının değiştirilmesi, kötüye kullanılabilecek, sızdırılabilecek, mahkeme kararıyla istenebilecek veya hacklenebilecek bir zafiyet yaratıyor
- Soruşturma makamları zaten hedef cihazlara sızarak uzaktan dinleme ve yakalama yoluyla veri toplayabilen RDI yetkisine sahip; ancak heyet bu dolaylı yöntemin tek başına yeterli olmadığını düşünüyor
- Senatör Cédric Perrin, platformların konuşmalara görünmeyen üçüncü alıcı olarak bir hayalet katılımcı eklemesi yaklaşımını savundu; karşı çıkanlar ise “yalnızca iyi tarafın kullanabileceği bir arka kapı” olmadığını vurguluyor
- Senatör Olivier Cadic, şifreleme korumasını Fransız hukukuna açıkça yazan ve mesajlaşma hizmetlerine arka kapı zorunluluğunu yasaklayan bir değişiklik kabul ettirdi; Senato bunu Mart 2025’te kabul etti, ancak Ulusal Meclis incelemesinin ardından süreç tıkanmış durumda
Fransa Parlamentosu İstihbarat Heyeti’nin şifreli mesajlaşmaya erişim tavsiyesi
- Fransa Parlamentosu İstihbarat Heyeti, WhatsApp, Signal ve Telegram konuşmalarını koruyan uçtan uca şifrelemeyi zayıflatarak hakimler ve istihbarat görevlilerinin şu anda platformların bile okuyamadığı mesajlara hedefli erişim sağlayabilmesini resmen destekledi
- 4 milletvekili ve 4 senatörden oluşan 8 kişilik heyet, Pazartesi günü sonuçlarını yayımlayarak, şifreli iletişim içeriklerine erişilememesini adli ve istihbari faaliyetler açısından “önemli bir engel” olarak tanımladı
- Uçtan uca şifrelemede çözme anahtarları şirket sunucularında değil, kullanıcı cihazlarında bulunur; sistem bu yüzden platformların mesajları fiilen okuyamaması için tasarlanır
- Bu özelliğin kaldırılması, kolluk kuvvetlerinin talebi halinde mesajların okunabileceği bir yapı oluşturur; aynı yapı kötüye kullanılabilecek, sızdırılabilecek, mahkeme kararıyla zorlanabilecek veya hacklenebilecek bir zafiyete de dönüşür
- Fransız polisi ve istihbarat kurumları, mevcut telefon görüşmeleri ile SMS’leri zaten mahkeme kararıyla dinleyebiliyor; ancak uzun süredir şifreli platformların bu kapasiteyi boşa çıkardığını savunuyorlar
Mevcut dolaylı yöntem RDI ve sınırları
- Heyet, soruşturma makamlarının zaten RDI adlı bir dolaylı yönteme sahip olduğunu kabul ediyor
- RDI, “dijital veri toplama” anlamına geliyor ve hedefin cihazına sızılarak uzaktan dinleme veya uzaktan yakalama yoluyla cihaz içeriğinin geniş çapta toplanmasına imkan tanıyor
- Bu yöntem yalnızca belirli mesajlara değil, telefonun tamamına erişim sağladığı için, istihbarat kurumlarının izlediği mesajlardan çok daha fazla veri elde edilmesine yol açabiliyor
- Buna rağmen heyet, yalnızca RDI’ın yeterli olmadığı görüşünde
Cédric Perrin’in yasa girişimi ve karşı çıkanların gerekçeleri
- Senatör Cédric Perrin, bu konuyu bir yıldan uzun süredir gündemde tutuyor ve uyuşturucu kaçakçılığı yasa tasarısı görüşmeleri sırasında, mesajlaşma platformlarını istihbarat kurumlarının iletişim ve verilerin “anlaşılır içeriğine” erişebilmesi için gerekli teknik önlemleri uygulamaya zorlayan bir değişiklik kabul ettirdi
- Uyulmaması halinde küresel yıllık cironun en fazla %2’sine kadar para cezası öngörülüyordu; Senato bunu kabul etti, ancak Ulusal Meclis’te Macron yanlısı vekiller, sol ve Rassemblement National’ın ortak itirazıyla kaldırıldı
- Perrin o dönemde, SMS ve e-postaya uygulanan yöntem ile WhatsApp, Signal ve Telegram’a uygulanacak yöntem arasında bir fark olmadığını söyledi ve dönemin İçişleri Bakanı Bruno Retailleau ile Adalet Bakanı Gérald Darmanin’in desteğini aldı
- Bu yaklaşım, şifreli mesajlaşmayı devlet erişimi kapsamında olması gereken bir başka iletişim kanalı olarak görüyor; ancak bu platformların tam da farklı bir iletişim kategorisi oluşturmak için var olduğu gerçeğini göz ardı ediyor
- RN’den milletvekili Aurélien Lopez-Liguori, çözme anahtarlarının kullanıcı cihazı düzeyinde bulunduğunu ve platform içinde merkezi bir noktada tutulmadığını belirterek, bunun fiilen tüm iletişimlere bir arka kapı yerleştirilmesini gerektireceğini söyleyerek karşı çıktı
- Lopez-Liguori, böyle bir önlemin uyuşturucu kaçakçılığıyla mücadele sınırlarını çok aşacağını ve “ortaya çıkan ilk hackerın” iletişimlere erişebilmesine yol açacağını savundu
- Teknik açıdan bu, kriptografi dünyasının uzun süredir vardığı şu sonuçla aynı soruna işaret ediyor: “yalnızca iyi tarafın kullanabileceği bir arka kapı” yoktur
‘Hayalet katılımcı’ yaklaşımı ve hedefli erişim tartışması
- Perrin, önceki değişikliğin amacının şifreleme anahtarlarını elde etmek değil, şifreleme öncesinde konuşmaya bir hayalet katılımcı eklemek olduğunu söyledi
- Hayalet katılımcı yöntemi, platformun iki kişi arasındaki konuşmaya görünmeyen üçüncü bir alıcıyı, yani bir istihbarat görevlisini sessizce eklemesi anlamına geliyor
- Bu yöntemde şifreleme teknik olarak çalışmaya devam eder, ancak konuşmanın taraflarından biri devlet haline gelir
- Perrin, bunun özgürlük hakları açısından sorun yarattığı yönündeki yorumu reddederek, idari ve adli denetim yoluyla kamusal özgürlüklerin korunmasının ele alındığını söyledi
- Heyetin raporu, hedefli erişimin teknik olarak imkansız olmadığını ve Avrupa Komisyonu’nun topladığı uzman grubunun bu tür erişimi hayata geçirecek teknik yol haritasını incelediğini belirtiyor
- Sorun, tüm WhatsApp mesajlarının okunacağı kitlesel gözetimden ziyade, hedefli erişim için kurulan altyapının terör dosyalarından organize suç, uyuşturucu, göç ve siyasi gözetim alanlarına genişleyebilmesi; ayrıca Fransız usulü hayalet kullanıcı sisteminin daha az demokratik hükümetler tarafından da talep edilebilmesi
Fransa’daki karşı yasa girişimi ve kalan yasama yolu
- Senato’daki sağ ve merkez çoğunluk içinde bile istihbarat heyetinin çizgisine katılmayan isimler bulunuyor
- Centrist Union’dan Senatör Olivier Cadic, kritik altyapı dayanıklılığı ve siber güvenlikle ilgili ayrı bir yasa tasarısına tam ters yönde bir değişiklik ekleterek, şifreleme korumasını Fransız hukukuna açıkça yazdırdı ve mesajlaşma hizmetlerine arka kapı zorunluluğu getirilmesini yasakladı
- Senato bu değişikliği Mart 2025’te kabul etti
- İstihbarat heyetinin raporu, bu hükmü istihbarat ve soruşturma tekniklerinin yasal çerçevesini zayıflatmak ve uygulanmasını engellemekle doğrudan eleştiriyor
- Cadic, suçluların takibinden yana olduğunu ancak Fransa’yı çökerten araçların kullanılamayacağını ve “kendi zafiyetlerimizi yaratmamamız gerektiğini” söyledi
- Cadic’in yasa tasarısı, Eylül ayında Ulusal Meclis komitesinde incelendikten sonra beklemeye alındı
- Bu yılın başlarında dönemin Başbakanı Sébastien Lecornu, Ulusal Meclis Adalet Komisyonu Başkanı Florent Boudié’ye şifreli iletişimlere erişim için mevcut yasal çerçevede yapılabilecek “olası değişiklikleri” inceleme görevi verdi
- Yeni bir girişimde hangi yasama aracının kullanılacağı henüz netleşmedi; vekillerin Boudié’nin sonucunu beklediği ve gerekirse yeni bir proposition de loi seçeneğine de açık olduğu bildiriliyor
- Fransız istihbarat kurumları halihazırda tekil cihazlara sızmaya imkan veren RDI yetkisine, geçen yıl genişletilen surveillance algorithmique’e, uydu dinleme yetkilerine, geleneksel telefon dinlemelerine, metadata erişimine ve Fransız telekom operatörlerinin iş birliğine sahip
- Yeni tartışmanın özü, matematik tarafından korunduğu için devlet dinlemesine dirençli olan bir iletişim kategorisinin yeniden tasarlanarak bu direncin ortadan kaldırılıp kaldırılmayacağı; heyet buna evet dedi, ancak kriptografinin temel varsayımları değişmiş değil
2 yorum
Tersine Sefiller'de neler oluyor böyle, vay canına
Hacker News görüşleri
Makale, başlıkta ya da yorumlarda çoğunlukla tartışılandan çok daha nüanslı bir durumu ele alıyor. Fransa siyasetinde de oylar iki yöne bölünmüş durumda ve şu ana kadar “şifrelemeyi koruyalım ve yasayla güvence altına alalım” diyen taraf az farkla önde
“Merkez ittifakından Senatör Olivier Cadic, kritik altyapı dayanıklılığı ve siber güvenlik üzerine ayrı bir yasa tasarısına tam ters yönde bir değişiklik önergesi ekletti. Bu önerge, şifreleme korumasını Fransız hukukuna yazıyor ve mesajlaşma servislerine arka kapı koymayı zorunlu kılmayı yasaklıyor. Senato bunu Mart 2025’te kabul etti”
Bu makale, Telegram’ı WhatsApp ve Signal ile aynı kefeye koyarak sanki uçtan uca şifreliymiş gibi yanlış bir ima yaratıyor
Telegram varsayılan olarak uçtan uca şifrelemeyi denemiyor bile. WhatsApp uçtan uca şifreli olduğunu iddia ediyor ama açık kaynak değil; Signal ise uçtan uca şifreli
Molly gibi derlemeler Google’ın binary blob’larını içermeyen tek seçenekler, ama bence bu blob’lar en azından bir miktar metadata çıkarmak için kullanılabilir. Yine de işletim sistemi Molly ya da Matrix istemcilerinde de hâlâ risk unsuru. Bağlı cihazlar konusunda şeffaflık olsa bile, sessizce bağlanmış cihazları fark edecek çok insan yoktur herhalde. En kolay yöntem sonuçta sosyal mühendislik ve yakın zamanda Alman siyasetçilerin Signal mesajlaşmasını hedef alan organize saldırılarda da olan buydu. Bu insanlar için, bağlı cihazları desteklemeyen resmi bir Signal uygulaması sürümü olmalı gibi geliyor
[1] https://news.ycombinator.com/item?id=46081855
[2] https://www.politico.eu/article/hackers-attack-phone-of-germ...
NSA üst düzey yöneticileri kamuya açık şekilde “insanları metadata’ya bakarak öldürüyoruz” demişti
Tanıdıklarım arasında bunu kullanan yok. Birkaç kişiye parola sıfırlamayı onunla göndermeyi denedim ama yarısı ne olduğunu anlamadı. Gizli sohbet özelliği var ama pratikte pek işe yaramıyor
Yani makale Telegram’ın tamamının uçtan uca şifreli olduğunu söylemiyor da, böyle bir özelliği desteklediğini söylüyor gibi okunabilir
Sonunda şifreleme karşıtı tarafın istediğini yapmasına izin verilip her şeyin büyük ölçüde ters gitmesi gerekecek galiba. Ne kadar uzman tavsiyesi olursa olsun, şifrelemeyi zayıflatmanın olumsuz sonuçlarını doğrudan görmeden ikna olmayacaklar gibi
Ancak ondan sonra, çocuk kaçırma ya da ünlü bir siyasetçinin karıştığı siyasi bir seks skandalı gibi manşetlik bir felaket yaşandığında, genel kamuoyu da zayıf şifrelemenin fiilen şifreleme olmadığını anlayacak
Bu arada suçlular önce steganografi gibi daha sofistike mesajlaşma yöntemlerine geçer
Biri yeterince ses getiren bir hack yaparsa, bu sadece daha fazla yasa ve daha güçlü polis yetkileri için gerekçe olur
https://thebad.website/comic/accelerationism
Pakistan’ın nükleer bomba sahibi olması da böyle oldu. Fransa sadece arkadaş edinmekle meşguldü
Fransa’da artık arkadaşınla sadece ikinizin anlayacağı saçma sapan metinler bile gönderemeyecek misin? Arkadaşlar arasında yeni bir dil yaratma becerisini de mi yasaklayacaklar? Fısıldaşmayı da mı yasaklayacaklar?
Ya da https://github.com/filosottile/age gibi bir araçla şifreleyip metin olarak kodladıktan sonra, şifrelenmemiş bir sohbetin içine koyup göndermek de mi yasak olacak?
echo "Am I doing something illegal, France?" | age -e -r age1ql3z7hjy54pw3hyww5ayyfg7zqgvc7w3j2elw8zmrj2kg5sfn9aqmcac8p -a -
-----BEGIN AGE ENCRYPTED FILE-----
YWdlLWVuY3J5cHRpb24ub3JnL3YxCi0+IFgyNTUxOSBjTVQ5VTdMaTlnRkEyT1BY
MHZPc0lncHFvbS9FMTlDa2FkK3JQZy9sQnprClRFN3lNQUtnNzJWK0RxQVlYNE1q
NCtlNFJTUWpwZExJSDMvSGlRL2VHc1EKLS0tIC95bEErRU9NNERJRVVuYlMwUFg4
WUx1R0IyTHd1d2dxQTdqU0NJWlF0MXMKL1x9fz+ZVObYrn3bY/IdVBsd4KYxn78P
aWePVjaRUityGTkndNSy6gg1meVky22iv4rxd9MZ4XYnsGJDfRUmkVZhQcCxag==
-----END AGE ENCRYPTED FILE-----
Fransa’da üst düzey bir polisle bu meseleyi konuşmuştum. Kendisi ağırlıklı olarak çocuklara yönelik cinsel suçlarla ilgileniyordu, dolayısıyla konuya o açıdan bakıyordu
Benim anladığım kadarıyla, böyle bir yasa geçse bile suç faaliyetlerinin önemli bir kısmının daha güvenli başka seçeneklere kayacağını onlar da çok net biliyor. Ama sıradan suçlular teknik olarak yetkin değil. Şu anda WhatsApp’ın varsayılan olarak uçtan uca şifreleme sunması, çocuk istismarı materyaline erişimi çok kolaylaştırdı. Bu kolay uçtan uca şifreleme araçlarını ortadan kaldırmanın amacı, giriş eşiğini yükseltip erişen kişi sayısını azaltmak
Endişe verici olan, şifreleme kullanan herkesin şüpheli hâline gelmesi. Bunun içinde çocuk istismarcıları ve uyuşturucu kaçakçıları olduğu gibi aktivistler de var
Sadece çocuk istismarı ağlarını hedef almak isteniyorsa akla gelen bir yöntem var. Bu görsellerin çoğu zaten biliniyor ve uzun süredir dolaşımda; o zaman iletilen görselleri hash’leyip bilinen görsellerin checksum’larıyla karşılaştırarak şüpheli göndericileri kolayca işaretlemek ve o kullanıcıların telefonlarına erişmek mümkün olmaz mı? Bunun uygulanabilir olup olmadığını ya da benim kaçırdığım bir nokta olup olmadığını merak ediyorum
Tabii ki çocukları korumak içindir
Eğer devlet senle arkadaşların arasındaki saçmalıkları anlayamıyorsa, sessizce önleyici suç örgütü soruşturmasına tabi tutulursun. Çünkü senle arkadaşların “düşünce suçu” işliyor olabilir
Din ve kültür özgürlüğünü de zaten yasakladılar, bunu niye yapamasınlar ki
Fransa’da üst düzey bir polisle bu meseleyi konuşmuştum. Kendisi ağırlıklı olarak çocuklara yönelik cinsel suçlarla ilgileniyordu, dolayısıyla konuya o açıdan bakıyordu
Benim anladığım kadarıyla, böyle bir yasa geçse bile suç faaliyetlerinin önemli bir kısmının daha güvenli başka seçeneklere kayacağını onlar da çok net biliyor. Ama sıradan suçlular teknik olarak yetkin değil. Şu anda WhatsApp’ın varsayılan olarak uçtan uca şifreleme sunması, çocuk istismarı materyaline erişimi çok kolaylaştırdı. Bu kolay uçtan uca şifreleme yöntemlerini kaldırmanın amacı, giriş eşiğini yükseltip bu ağlara erişen kişi sayısını azaltmak
Elbette endişe verici olan, şifreleme kullanan herkesin şüpheli hâline gelmesi. Bunun içinde çocuk istismarcıları ve uyuşturucu kaçakçıları olduğu gibi aktivistler de bulunuyor
Sadece çocuk istismarı ağlarını hedeflemek isteniyorsa akla gelen bir yöntem var. Bu görsellerin çoğu zaten biliniyor ve uzun süredir dolaşımda; o zaman iletilen görselleri hash’leyip bilinen görsellerin checksum’larıyla karşılaştırarak şüpheli göndericileri kolayca işaretlemek ve o kullanıcıların telefonlarına erişmek mümkün olmaz mı? Bunun uygulanabilir olup olmadığını ya da benim kaçırdığım bir nokta olup olmadığını merak ediyorum
Bu, AB’nin önerdiği ilk hâliyle chat control’ü tarif etmek olmuyor mu?
https://www.eff.org/deeplinks/2025/09/chat-control-back-menu...
https://csa-scientist-open-letter.org/FAQ
Birincisi, Fransız devleti çocuklara yardım etmek için bu tür mesajlara erişim elde etmekle hiç ilgilenmiyor. Bunun kanıtı, Fransa polisinin de istihbarat kurumlarının da çocuk istismarı vakalarını soruşturmuyor olması
Polis ancak kaçınılmaz olduğunda soruşturuyor. Çocuk istismarı çoğunlukla çocuğa erişimi olan kişiler tarafından işleniyor. Çocuk istismarı için çocuğa ihtiyaç vardır. Peki bunu kim yapıyor? Öğretmenler, beden eğitimi öğretmenleri ve koçlar, çocuk refahı çalışanları. Fransa’da spor kulüpleri neredeyse tamamen devlet fonuyla yürütülüyor. Faillerin büyük çoğunluğu doğal olarak devlet çalışanı. Çocuk refahı hizmetleri çocuk istismarı vakalarını inceliyor ama bu mesaj erişim yetkisi onlara verilmeyecek. Dolayısıyla çocuk istismarı vakalarında mesaj erişimi vermek gibi bir niyet sıfır
Bu mantık gerçekten komik. Çocuk istismarı vakalarını soruşturmak için bu mesajlara erişmek istediklerini söylüyorlar ama Fransa’daki casuslara ve vergi müfettişlerine herkesin mesajlarına erişim vermeyi talep ediyorlar. Asıl çocuk istismarı soruşturmacılarından ise hiç söz edilmiyor
Üstelik sadece bu da değil. Fransa, sözde hentai çizgi romanlarına erişimin yasal olduğu ve bunların gazete bayilerinde satıldığı birkaç AB ülkesinden biri olarak Batı Avrupa’da biliniyor
Fransız devleti gerçekten çocuklara yönelik cinsel suçlarla mücadele etmek isteseydi, suçluları yakalamaktan çok “yardım ettiğini” söylediği çocuklara bakım sağlamak için bütçe ayırırdı. Oysa gerçekte yaptıkları şu
https://www.rfi.fr/en/france/20250502-french-child-welfare-s...
En azından bunun olmasına göz yumuyorlar ve gerçekte, savunmasız çocuklara erişebildikleri için bu işi çok düşük ücretlere yapmaya razı insanları işe alıyorlar
Bunu önce düzeltmeden suçluları yakalamak, çocukların durumunu açıkça daha da kötüleştirmekten başka bir işe yaramaz. Fransız devleti bu sınavdan kaldı
Fransız okullarının durumu, göçmen meselesi ve en az 30 yıldır süren öğretmen niteliğindeki düşüş, devletin çocukların geleceğini ne kadar önemsediğini gösteriyor. Burada da devlet tamamen başarısız
Paris’teki mülteci durumuna daha hiç girmedim bile. Bunun kitlesel çocuk fuhşu ürettiği apaçık. Burada da devletin çocuklara yardım etmek istemediği görülüyor. Başka bir deyişle Fransız devleti ya çocuklara hiç yardım etmiyor ya da en azından tamamen beceriksiz
Kusura bakma ama senin önerin meseleyi tamamen ıskalıyor
Şifrelemeyi korunan bir sınıf ilan edip, şifreleme karşıtı söylemi nefret söylemi saymak gerekip gerekmediğini düşünmeye başlıyorum
Sırf aptal oldukları için bu siyasetçilerden birkaçını hapse atmaya başlayalım
Neyin şifreli olduğunu nasıl anlayacaklar? Belki de ağ üzerinden rastgele bayt dizileri göndermeyi seviyorumdur
Hükümet bunun şifreli mesaj olmadığını doğrulayabilsin diye, şirketin spesifikasyonu ve araç zincirini paylaşması mı gerekecek? Muhtemelen öyle olur
Birinin özel mesajla başka birine bir şaka gönderdiği ve Xi Jinping’in güldüğü şakayı hatırladım. Hükümetlerin zihniyeti her yerde aynı gibi görünüyor
Uçtan uca şifrelemede şirketin mesajları çözemediği açıklamasını hâlâ anlayamıyorum. Yazılım güncellemesiyle şöyle bir şey yapılamaz mı?
“user = foo ise, cihazdaki anahtarı başka bir yere gönder”
Ya da anahtar TPM içindeyse, çözülmüş mesajı göndermesini isteyen bir yazılım güncellemesi yapılamaz mı?
Şu an yargıç böyle bir emir veremiyor ama anahtar merkezi olarak saklanıyorsa çözme emri verebiliyor mu demek istiyorsun?
O yüzden uçtan uca şifrelemeyi gerçekten ciddiye alıyorsan, uygulamayı doğrudan kaynaktan derleyip kurman gerekir
Bazı insanlar “olmaz” cevabını kabul etmiyor. Bu neredeyse absürt bir durum
Tersine, benim merak ettiğim burada adli bilişimin işe yarayıp yaramadığına dair bir açıklama. Mesajlar muhtemelen telefonda kalır ve kurtarılabilir. Eğer öyleyse, suçla mücadele için bu yeterli olmalı. Yani cihaza erişim için arama kararı alırsan mesajlara da erişebilirsin ve sanırım birçok kişi bunu kabul edilebilir bulur