DEA ile birlikte hazırlanan ABD Senatosu tasarısı, uçtan uca şifrelemeyi hedef alıyor
(therecord.media)- Cooper Davis Act, çevrimiçi uyuşturucu ticaretiyle mücadele gerekçesiyle sosyal medya, şifreli iletişim sağlayıcıları ve çevrimiçi hizmetlere DEA'ya bildirim yükümlülüğü getiriyor ve Senato Genel Kurulu'na geçti
- Şirketlerin yasa dışı uyuşturucu dağıtımından fiilen haberdar olması durumunda kullanıcı adı gibi bilgileri DEA'ya sağlaması gerekiyor; “willfully blind” ifadesi ise şifreli hizmetlerin sorumluluk kapsamı etrafındaki tartışmayı büyütüyor
- Gizlilik grupları, bu tasarının uçtan uca şifrelemeyi sürdürmenin kendisini bir risk faktörüne dönüştürebileceğinden; şifrelemenin zayıflatılmasının kullanıcı güvenliği ve gizliliğini sarsacağından endişe ediyor
- DEA ve destekçiler, Meksika kartellerinin Facebook, Instagram, TikTok, Snapchat, WhatsApp, Telegram, Signal, Wire, Wickr gibi servisleri kullandığını ve 1.100'den fazla ilgili vakayı gerekçe gösteriyor
- Karşı çıkanlar, uyuşturucu satışı ifadelerinin dil, bağlam ve argo değerlendirmesi gerektirdiğini; bunun şirketlerin özel verileri mahkeme emri veya denetim olmadan kolluk kuvvetlerine aktardığı bir yapıya yol açabileceğini düşünüyor
Cooper Davis Act'in bildirim yükümlülüğü ile şifreleme arasındaki çatışma
- Cooper Davis Act, Snapchat'ten satın aldığı fentanil içeren hapı bilmeden aldıktan sonra hayatını kaybeden Kansas'lı bir gencin adını taşıyan iki partili bir yasa tasarısıdır
- Tasarı, sosyal medya şirketleri ve web iletişimi sağlayıcılarının platformlarındaki yasa dışı uyuşturucu dağıtımını actual knowledge ile öğrenmeleri durumunda, DEA'ya kullanıcı adı ve diğer bilgileri sağlamasını zorunlu kılıyor
- Tartışmanın odağında, şirketin ihlalden “willfully blind” olması hâlinde bildirimde bulunmama sorumluluğu taşıyabileceğini belirten ifade var
- Center for Democracy and Technology'den Greg Nojeim, şifreli hizmet sağlayıcılarının iki seçenek arasında kalacağından endişe ediyor
- Uçtan uca şifrelemeyi sürdürürlerse yasa dışı içeriğe bilerek göz yumdukları gerekçesiyle sorumluluk riski üstlenmeleri gerekecek
- Uçtan uca şifrelemeyi kaldırırlarsa mevcut kullanıcılar yeni güvenlik tehditlerine ve gizlilik ihlallerine maruz kalacak
- ACLU'dan Cody Venzke, bu hükmün şifrelemeyi hedef aldığını düşündüğünü söyledi ve uçtan uca şifreleme gibi gizlilik koruma teknolojilerinin amacının kullanıcıları platform gözetiminden korumak olduğuna dikkat çekti
- Signal Vakfı'ndan Meredith Whittaker, bu mantıkta herkesi kapsamlı gözetim altına almamanın bile “willful blindness” sayılabileceğini eleştirdi
DEA ve destekçilerin öne sürdüğü gerekçeler
- Kolluk kuvvetleri, uçtan uca şifrelemenin suçlular, teröristler ve kötü niyetli aktörler tarafından kötüye kullanılabilecek bir “lawless space” yarattığını uzun süredir eleştiriyor
- DEA, Mayıs ayındaki basın açıklamasında ABD'ye giren fentanil ve metamfetaminin büyük bölümünü kaçıran iki Meksika kartelinin lojistik koordinasyonu ve kurbanlarla temas için sosyal medya uygulamalarını kullandığını belirtti
- Örnek olarak Facebook, Instagram, TikTok, Snapchat gösterildi
- Şifreli platformlar olarak WhatsApp, Telegram, Signal, Wire, Wickr de anıldı
- Son DEA operasyonlarında Meksika uyuşturucu kartellerini hedef alan 1.100'den fazla vaka sosyal medya uygulamaları ve şifreli iletişim platformlarını içeriyordu
- Senato Yargı Komitesi Başkanı Dick Durbin, şirketleri yasa dışı satışlardaki maddelerin yasal kullanım alanı olmadığını bildikleri hâlde dokunulmazlık altında faaliyet göstermekle eleştirdi ve çocuklara yönelik cinsel istismar materyali bildirim sistemine benzer bir mekanizmadan söz etti
- Senatör Jeanne Shaheen'in ekibi, DEA istatistiklerini tasarının gerekliliğine kanıt olarak sundu
- 5 ay boyunca DEA'nın soruşturduğu uyuşturucu bağımlılığına bağlı ölümle ilgili 390 incelemenin 129'u doğrudan sosyal medyayla bağlantılıydı
- Tasarı, DEA'nın uluslararası suç ağlarını daha iyi tespit edip dağıtabilmesi için kapsamlı ve standartlaştırılmış bir bildirim sistemi oluşturma amacını öne çıkarıyor
Gizlilik, gözetim endişeleri ve platformlara etkisi
- Gizlilik savunucuları, çocuklara yönelik cinsel istismar görüntülerini ayırt etmeye kıyasla uyuşturucu satışı ifadelerini tespit etmenin çok daha zor olduğunu savunuyor
- Senatör Alex Padilla, çevrimiçi çocuk cinsel istismar görüntülerinden farklı olarak dil söz konusu olduğunda büyük ölçekli gözetimde bağlamın önemli olduğunu vurguladı
- Padilla, tasarının eğitim almamış teknoloji şirketlerini fiilen kolluk kuvvetleri gibi davranmaya zorlayabileceğini eleştirdi
- Ayrıca yalnızca makul bir inanca dayanarak, mahkeme emri veya denetim olmadan kişisel verilerin federal kolluk kuvvetlerine açıklanmasına yol açabileceğinden endişe etti
- NetChoice'tan Carl Szabo, sosyal medya sitelerinin uyuşturucu kaçakçılığını engellemek için hâlihazırda kolluk kuvvetleriyle gönüllü olarak işbirliği yaptığını belirtti
- Szabo, tasarı yürürlüğe girerse tüm bildirimlerin Fourth Amendment prosedürlerine tabi hâle geleceğini ve bunun kolluk kuvvetlerinin tehditleri tespit etmesini aksine daha da zorlaştırabileceğini düşünüyor
1 yorum
Hacker News görüşleri
Kurumların, kendi eylemlerini düzenleyen yasalara etki etmek için kaynak harcamasını engelleyen, tabiri caizse yanlış ağaca havlamayı engelleyen bir yasa gerektiğini düşünüyorum
İlgili sektörün sorunu en iyi bildiği ve bu yüzden karar alma süreçlerine görüş verebileceği savunulabilir, ancak bunun sınırı, yasalar gereği gizlenmesi gereken hassas bilgiler çıkarıldıktan sonra ham operasyonel verilerin sunulması olmalıdır
Bunun ötesi, sonuçta kendi çıkarları için lobi yapan birer devlet lobicisinden ibarettir
Sıradan insanları şüpheli haline getiren ve suçlulara yüksek kârlı bir pazar tekeli veren bir sistemde böyle bir keşmekeş kaçınılmaz
Al Capone gibileri, içki yasağının felaket sonuçlarını zaten 100 yıl önce göstermişti; buna rağmen aynı hatayı başka maddelerde tekrarlıyoruz
ACLU’nun Mobile Justice uygulamasını, ihtimale karşı herkesin telefonunda yüklü tutması iyi olur
Australia, UK ve US’de her gün yeni bir yasa tasarısı çıkıyormuş gibi görünüyor
Sonunda bunlardan biri geçene kadar durmadan zorlamaya devam mı edecekler?
Bu tür tasarılar her geldiğinde bizim her seferinde kazanmamız gerekiyor, ama onların bir kez kazanması yetiyor
Bu tasarılara karşı kamuoyu baskısı ve reklam kampanyaları sürekli sürdürülmeli
Tek bir domino taşı devrilirse, “orada olduysa bizde de olur” anlayışı başlar
EU, US olmadığı için, benzer hatta aynı finansman kaynaklarıyla desteklenen aynı otoriter uygulamaları yapmayacağı anlamına gelmiyor
“Ağır suçluları yakalamalıyız/çocukları düşünün”, “sadece suçlular için kullanılacak” gibi aynı bahaneleri öne sürüyorlar ama bu doğru değil
Bu tür yasaların, hükümete düşman görülen kişilere ve diploması olsun olmasın gazetecilik yapan insanlara karşı da kullanıldığını biliyoruz
Hepimizi 7/24 gözetleyememekten gerçekten nefret ediyorlar
Bu yasa tasarısı Russia ve China için bir hediye
Artık onların herkesin iletişimini okuyabilmesi mümkün olacak; ama kendi iletişimlerini şifrelemeyi bırakacaklarını mı sanıyorsunuz?
Asıl yasa tasarısı bağlantısı [1]. Endişe, muğlak ifadeler yüzünden sosyal medya şirketlerinin uçtan uca şifrelemeyi bırakmak zorunda kalabilecek olması
Hukuk uzmanı değilim ama önerilen tasarıda, hizmet sağlayıcının kullanıcıları ya da iletişimin içeriğini izlemek veya ilgili olgu ve koşulları proaktif şekilde aramak, ayıklamak ya da taramak zorunda olduğu şeklinde yorumlanmaması gerektiği açıkça yazıyor
Amaç, insanların bir web sitesine belirli yasa dışı faaliyet örneklerini bildirdiğinde, web sitesinin bu ihbarları görmezden gelememesini sağlamak gibi görünüyor
[1] https://www.congress.gov/bill/118th-congress/senate-bill/108...
İkisini birleştirince, talep edildiğinde kullanıcıları izleyebilme kapasitesini elde tutman gerekiyor anlamına geliyor; yani korkulan türde şifreleme kullanamazsın demek
Bu kapasite oluştuğunda bir sonraki adım fiilen KYC ve SAR işlevleri olur
İnsanların kaygılandığı nokta bu tweet dizisindeki dördüncü madde: https://twitter.com/JakeLaperruque/status/167888722551627776...
Tasarı zaten değiştirilmiş miydi, yoksa sorunlu dördüncü madde daha sonra mı eklendi bilmiyorum
Teklif sahibi: Sen. Marshall, Roger [R-KS]
Eş sponsorlar: Sen. Shaheen, Jeanne [D-NH], Sen. Durbin, Richard J. [D-IL], Sen. Grassley, Chuck [R-IA], Sen. Klobuchar, Amy [D-MN], Sen. Young, Todd [R-IN]
Senatörünüzü arayıp bu yasa tasarısını desteklemediğinizi söylemelisiniz. Gevşek ve etkisiz görünebilir ama senatör yardımcıları bunu gerçekten kayda geçiriyor
Yargıç tarafından onaylanmış bir arama emri olmadan beden ve mülkiyetin güvence altında olma hakkına ne oldu?
ABD Haklar Bildirgesi o dönemde çok tartışmalıydı ve destekçileri sert bir tutum aldığı için sonunda Anayasa’nın ilk 10 değişikliği oldu
Destekçileri sonuna kadar direnseydi bunu Anayasa’nın ana metnine koydurabilir ya da ülkenin ilk hali olan Articles of Confederation olarak kalmasını sağlayabilirlerdi, ama uzlaşmaya gittiler
Haklar Bildirgesi bir değişiklik değil de Anayasa’nın ana metninde yer alsaydı bile, yine bugün olduğu kadar kolay göz ardı edileceğini sanıyorum
Peki ne uğruna? DEA ve CIA’nin East India Company benzeri ayrıcalıklarla çalışmayı sürdürmesi için mi?
Bu yasa tasarısının ya da uyuşturucuyla savaşın ortalama bir Amerikalıya nasıl bir fayda sağladığını bilmiyorum. Ortalama bir Amerikalıya en ufak bir yarar getirdiğine hiç inanmıyorum
Aksine, idari kurumlara ağır suç piyasalarına ve istihbarata ayrıcalıklı erişim vererek yurttaşlardan çok onlara yarar sağlayacağını düşünüyorum
ABD nüfusunun üçte ikisi bu bölgenin içinde yaşıyor
https://www.aclu.org/know-your-rights/border-zone
NYC’de Bronx’taki evinden işe gitmek için metroya bindin ve CBP seni durdurup aradı, telefonuna ve dizüstü bilgisayarına el koydu, sosyal medya parolalarını istedi ve uymazsan gözaltına almakla tehdit etti diye düşün: https://www.theatlantic.com/technology/archive/2017/02/give-...
https://www.wired.com/2017/02/guide-getting-past-customs-dig...
ABD vatandaşlarına, sınırı geçerken gözaltına alınmaları ihtimaline karşı ailelerine, arkadaşlarına ve avukatlarına yolculuklarını haber vermeleri tavsiye ediliyor olması gerçekten delilik
Bu ülke giderek faşizme doğru kayıyor
Bunun passkey kullanımını dayatmalarının nedenlerinden biri olduğunu düşünüyorum. Passkey yalnızca biyometrik doğrulama gerektiriyormuş gibi görünüyor; ancak parmak izi ya da yüz vermek koruma kapsamında değil, sadece sözlü ifade ya da tanıklık korunduğu için genel korumayı zayıflatıyor
Phishing gibi yasa dışı tehditleri ortadan kaldırıyor, ama şifrelemeyi aşma gibi yasal tehditleri, şifreleme ne kadar güçlü olursa olsun, kolaylaştırıyor
DEA neden fentanil prekürsörleri yüzünden Senate’e China’ya yaptırım uygulaması için baskı yapmıyor?
https://www.brookings.edu/articles/chinas-role-in-the-fentan...
Öncelikle, uçtan uca şifrelemeye saldırmak yanlış.
Ama şifreleme içermeyen Big Tech sorumsuzluk muafiyetinden de giderek bıkıyorum.
Bu düzenleme başlangıçta ilk sosyal medya platformlarının ayakta kalabilmesi için oluşturulmuştu, ama artık onlar garajdan çıkmış startup'lar değil, gezegendeki en zengin varlıkların bazıları.
Kendi platformlarını yönetebilecek kapasiteye sahipler, ama gelirlerini etkilemediği ya da yasalar nedeniyle kovuşturulmaktan korkmadıkları sürece bunu iyi niyetle yapmayacaklar.
Finans kurumlarına fiilen şu mantık uygulanıyor: “Bankalar müşterilerini gözetleyebilir, ama bu kârlarını etkilemediği ya da kovuşturmadan korkmadıkları sürece bunu iyi niyetle yapmazlar.”
Sonuç, bir kişi ya da işlem bilgisi yaptırım uygulananlarla en ufak bir bağlantı taşıyor gibi görünürse rastgele engellenmesi oluyor.
Al-Qaeda ile ilgili bir işlem geçer de basın bunu öğrenirse para cezaları ve düzenleyicilerle Kongre'nin azarı gelir; buna karşılık masum bir insan engellenirse biraz şikâyet duyulur ve işe devam edilir.
Sosyal medya şirketlerinde de aynı dinamiğin ortaya çıkacağını düşünüyorum. En ufak biçimde rahatsız edici sayılabilecek her şey kaldırılacaktır.
YouTube demonetizasyon krizinin daha da kötü bir versiyonunu hayal edin.
[1] Örnek: https://news.ycombinator.com/item?id=35337210, https://news.ycombinator.com/item?id=24450828
Bire bir hizmetler için çok müdahalesiz bir yaklaşım mantıklıdır. Genelde çöp içeriği kaldırmak gerekmez; gelen çöp, giderken de çöptür, insanlar onu görmezden gelebilir ya da yerelde filtreleyebilir.
Ama herkese açık çevrimiçi forumların belli ölçüde moderasyona ihtiyacı vardır ve bu genellikle arzu edilir. Çünkü biri ortalığı çöple doldurup orayı herkes için işe yaramaz hale getirebilir.
S230, sadece gözden kaçan içerik için muafiyet değil, aynı zamanda iyi niyetli moderasyonun fazla ileri gitmesinden doğan zararlar pahasına da moderasyon yapabilmeyi sağlayan bir düzenlemedir.
Platformlara yüklenen kınanacak materyalin büyük kısmı ya yasa dışı değildir ya da haksız fiil teşkil etmez. Rahatsız edici, aşağılayıcı, küçültücü ve yanıltıcı materyaller de çoğunlukla yasaldır ve ciddi bir sorumluluk doğurmaz.
Ancak S230 gibi geniş korumalar olmazsa insanlar önemsiz şeyler için bile dava açabilir ve siz milyarlarca dolarlık bir şirket değilseniz, sonunda kazansanız bile o zamana kadar iflas etmiş olabilirsiniz.
Güçlü sorumluluk korumalarının olmadığı bir dünya, kendisinden çok daha fazla para ve güce sahip bir tarafı güvenli biçimde rahatsız edemeyeceğiniz ya da gücendiremeyeceğiniz bir dünyadır.
Facebook, Google ve Twitter gibi platformlar ölçekleri ve servetleri sayesinde zaten fiilen hukuk davalarına karşı bağışık. Mahremiyet ihlalleri ya da kullanıcı verilerine haber vermeden erişimi keserek büyük zarar verdikleri durumlarda davaların neredeyse hiç etkili olmamasına bakmak yeterli.
Apple ile Google'ın ücret karteli de sonunda suçlu bulundu, ama bunun maliyeti ücretlerde kısarak kazandıkları paradan daha düşüktü.
Kötü politikalar, onların büyüklüğü, serveti ve gücünün kamuoyu karşısında da epey bağışık olmasını sağladığı için ortaya çıkıyor.
Sosyal medya sitelerindeki kötü yönetişim kamusal açıdan zararlıysa, daha fazla alternatife sahip olmak daha iyidir.
Facebook, Twitter vb. S230'suz bir dünyada da hayatta kalır, ama insanların isteyebileceği daha küçük ve daha iyi yönetilen alternatiflerin yaşaması neredeyse imkânsız olur.
Bu tür yasa tekliflerinde gördüğümüz şey, hükümetin şirketleri vekil olarak kullanıp soruşturma ve kolluk yaptırımı uygulatmak istemesidir.
Bunun motivasyonlarından biri de hukuki usul güvencelerini kökten zayıflatabilmesidir. Anayasa, devlet aramalarına karşı güvenceler oluşturdu, ama verilerimizi şirketlere “gönüllü” verdiğimiz için şirketler söz konusu olduğunda aynı koruma eksik kalıyor.
Dolayısıyla hükümet şirketleri arama yapmaya zorlarsa Dördüncü Değişiklik kapsamındaki hakları büyük ölçüde dolanabilir.
YouTube, görev sırasında maruziyet nedeniyle bir polis memurunun fentanil aşırı dozu yaşadığına dair haber yayını [1] için, fentanilin yasa dışı dağıtımına ilişkin bir olgu ya da durum raporu sunmalı mı?
Gerçek uyuşturucu kullanımını ima eden sözler içerdiği gerekçesiyle kaç rap şarkısı ve şarkı sözü bildirim kapsamına girer?
“{celebrity_name} dies from drug overdose” gibi tüm haber yazıları ve sosyal medya tartışmaları da bildirilmek zorunda mı?
Fentanil sentez yöntemini anlatan USPTO patenti US3141823A[2] da bildirim konusu mu? Sonuçta o patente bağlantı veren bir sosyal medya kullanıcısı fentanilin yasa dışı üretimiyle bağlantılı olabilir.
National Institutes of Health tarafından yayımlanan “An Efficient, Optimized Synthesis of Fentanyl and Related Analogs” makalesi[3] de bildirilmek zorunda mı? O makaleye bağlantı veren kullanıcı yasa dışı üretime karışmış olabilir.
Önerilen yasa, veri koruma talebi bildirimini en az 5 gün yasaklıyorsa, platform kullanım şartlarını ihlal eden içeriği silmeli mi, yoksa kullanıcıya haber vermemek için olduğu gibi mi bırakmalı?
Platform sorunlu içeriği silemiyorsa, bu içerik telif hakkı ihlali, müstehcen materyal ya da normalde hemen kaldırılan başka içeriklerle birlikte yüklendiğinde ne olacak?
[1] https://www.youtube.com/watch?v=Jd76HxqCPf0
[2] https://patents.google.com/patent/US3141823A/en
[3] https://www.ncbi.nlm.nih.gov/pmc/articles/PMC4169472/
Gerçekte olan, kişinin fentanile dokunduğunu düşünüp aşırı doz alacağından korkarak panik atak geçirmesidir.
Hastaneye götürülüp test yapıldığında kan dolaşımında fentanil izi çıkmaz, ama medya ve polis bu kısmı atlayıp olayı büyütür. Çünkü utanç vericidir.
Bir polis memurunun fentanile maruz kalmasının tek yolu ona dokunmak değil, onu tüketmektir.
Mesajı göndermeden önce GPG ile şifreleyen yardımcı bir uygulama gibi bir şey yapmak ne kadar zor olabilir ki?
Metni kutuya koyarsın, şifreleyip panoya kopyalar ve mesaj uygulamasına yapıştırırsın. Alıcı taraf da tersini yapar
Hükümetin ve teknoloji şirketlerinin mesajları gözetleyememesi için bunu giderek daha net biçimde kendimizin çözmesi gerektiği anlaşılıyor
Bu, biri anahtarı ele geçirirse o anahtarla geçmişte ve şu anda şifrelenmiş her şeyi okuyabileceği anlamına gelir
Perfect forward secrecy, iki ucun aynı anda iletişimde olmasını gerektirir; bu yüzden e-postanın “gönder ve unut” yapısına uymuyordu, ama anlık mesajlaşma için kesinlikle gerekli
Zor kısım, mesaj uygulaması geliştiricisinin bu faaliyete aktif biçimde düşmanca yaklaşabileceği bir durumda, uygulamaya otomatik yapıştırma ve uygulamadan otomatik kopyalama yapmaktır
Webmail'de bu yaklaşımın bir örneği olarak Mailvelope[1] var
Manuel işlemi göze alabiliyorsanız, PGP zaten her şeyle birlikte kullanılabilir
[1] https://mailvelope.com/
Briar tam özellikli hâle gelip iOS'a gelse ve Android 7 sonrasına göre tasarlanmış gibi görünen kullanıcı arayüzü biraz toparlansa harika olurdu