Andrés sadece havayı soruyor
Andrés bir Venezuelalı. Yıllardır mahalledeki manavda çalışıyor. Bir gün ona ailesinin oradaki durumunu, rejimin en kötü dönemlerinde nasıl olduklarını sordum.
Bana, "Ülkemde hava her zaman güzeldir," dedi.
Anlamadım. Üsteledim. Ve o zaman açıkladı: "Ailemle sadece WhatsApp üzerinden konuşabiliyorum çünkü aramalar iyi çalışmıyor. Ama ne yazdığına çok dikkat etmelisin. Birinin konuşmalarımızı okuyup okuyamadığını bilmiyoruz. Bildiğimiz şey, her an herkesi gözaltına alabilecekleri ve ilk yaptıkları şeyin telefonunu açmak olduğudur. PIN kodunu vermezsen, verene kadar tokat ve hücre cezası var. Ve WhatsApp'ta hoşlarına gitmeyen bir şey bulurlarsa, şanslıysan dayak ve birkaç gün nezarethane. Şanssızsan, o kişi ortadan kaybolur."
"Bu yüzden onlarla konuştuğumda temelde havanın nasıl olduğunu soruyorum. Cevap verirlerse en azından hayatta olduklarını biliyorum."
Andrés bir suçlu değil. Saklayacak hiçbir şeyi yok. Ama bir sohbet penceresinde yazılan bir cümlenin sevdiği birinin hayatını yok edebileceği bir dünyada yaşıyor.
Gizliliğe ihtiyaç duymak için suçlu olmana gerek yok
Müvekkiliyle savunma stratejisi hakkında konuşan bir avukatı düşün. Konuşma meşru ve yasal, ancak bağlamından koparıldığında yıkıcı olabilecek bilgiler içeriyor. Bu avukatın bu konuşmayı gizli tutma konusunda mesleki ve yasal bir yükümlülüğü vardır.
Genç bir çifti düşün. Kız ailesiyle yaşıyor. Tamamen meşru ama en özel alanlarına ait mahrem konuşmalar yapıyorlar. Bu kelimelerin hacklenebilecek, satılabilecek veya adli olarak talep edilebilecek hiçbir sunucuda bulunmaması onların hakkıdır.
Vergisini nasıl optimize edeceği konusunda mali müşaviriyle konuşan bir serbest çalışanı düşün. Çizginin bir tarafında veya diğer tarafında olabilir - bu onun meselesidir. Bir ofiste oturuyor olsalardı kimse o konuşmayı duymazdı. Uzaktan konuşuyorlarsa neden farklı olsun?
Ya da etrafına füzeler düşerken Paris'teki yazı işleri bürosuyla iletişim kurmaya çalışan İranlı bir gazeteciyi düşün. Veya Madrid'de, geride kalan ailesiyle konuşan bir göçmeni.
Tüm bu insanların gizliliğe ihtiyacı var. Hiçbiri suçlu değil.
Kusursuz şifreleme tuzağı
2018 yılında FBI, şifreli cep telefonları satan bir şirket kurdu. Markanın adı Anom'du. Piyasadaki en güvenli alternatif olarak satılıyordu. Üç yıl içinde 100'den fazla ülkede 12.000'den fazla cihaz dağıtıldı. Kullanıcılar tam bir güvenle konuşuyorlardı.
Bilmedikleri şey, her mesajın aynı zamanda FBI sunucularına da ulaştığıydı. Her kelime. Her fotoğraf. Her plan.
Haziran 2021'de Trojan Shield Operasyonu kamuoyuna açıklandı. 16 ülkede 800'den fazla gözaltı. Tarihin en büyük koordineli polis operasyonuydu.
Teknik bir hata değildi. Şifreleme gerçekti. Teknoloji çalışıyordu. Sorun, arkasında kimin olduğu ve bundan ne kazandığıydı.
Bu münferit bir vaka değil. 50 yılı aşkın bir süre boyunca İsviçreli Crypto AG şirketi 120'den fazla hükümete şifreleme makineleri sattı. 2020 yılına kadar kimsenin bilmediği şey, Crypto AG'nin gizlice CIA ve Alman istihbarat servisine ait olduğuydu. Makineler çalışıyordu ancak asıl sahiplerinin her şeyi okumasına olanak tanıyan kasıtlı bir zayıflığa sahipti.
İran, Hindistan, Pakistan, Vatikan, Latin Amerikalı askeri cuntalar. Hepsi güvendi. Kimse neden birinin onlara ucuz şifreleme satmakla bu kadar ilgilendiğini sormadı.
Her zaman sorman gereken soru
Eğer birisi sana bir şey teklif ediyorsa ve karşılığında ne kazandığını anlamıyorsan, şüpheyle yaklaş. Herkesin kötü niyetli olduğu için değil, iş modelini anlamak bir hizmete güvenip güvenemeyeceğini değerlendirmenin en temel yolu olduğu için.
WhatsApp kullandığında Meta'nın ne kazandığını bilirsin: verilerin, alışkanlıkların, reklam satmak için ilgin. Kabul edersin ya da etmezsin ama en azından takasın ne olduğunu anlarsın.
Ancak birisi sana tamamen ücretsiz, reklamsız, aboneliksiz ve görünür bir iş modeli olmadan şifreli bir iletişim hizmeti sunduğunda; soru şifrelemenin iyi olup olmadığı değildir. Soru şudur: Bunu kim finanse ediyor ve neden?
Gerçekten önemli olan ne
Bir gizlilik aracını değerlendirmeye yardımcı olan sinyaller vardır. Açık kaynak, güvenlik denetimleri, Avrupa yargı yetkisi. Bunların hepsi olumludur. Ancak hiçbiri mutlak bir garanti değildir.
Açık kaynak, birinin uygulamanın ne yaptığını gözden geçirebileceği anlamına gelir. Ama dürüst olalım: Kullanıcıların %99,9'u asla bir satır kod okumayacaktır. Ve tarih, binlerce kişi tarafından incelenen açık kaynaklı projelerde kimse fark etmeden yıllarca yaşayan çok ciddi güvenlik açıklarıyla doludur.
Güvenlik denetimleri değerlidir. Ancak denetimlerin parası ödenir ve para, iradeleri satın almanın en basit yoludur. Bir denetim, kodun incelendiği gün temiz olduğunu söyler. Daha sonra nelerin değiştiği hakkında hiçbir şey söylemez.
Dünyanın en iyi koduna sahip olabilirsin, denetlenmiş ve açık olabilir ancak verilerin bir sunucudan geçiyorsa -bir saniye bile olsa, şifreli de olsa- birinin o sunucuya fiziksel erişimi vardır. Ve o kişi, bir yargıcın, bir hükümetin veya yüklü bir paranın her kapıyı açabileceği bir ülkede olabilir.
Seni gerçekten koruyan şey "verilerini okumuyoruz" vaadi değildir. Seni koruyan şey, verilerinin asla ellerinden çıkmadığı bir mimaridir. Ele geçirilecek bir sunucunun, sızdırılacak bir yedeğin, açılacak bir arka kapının olmadığı bir mimari.
Güven hediye edilmez
Anom kullanıcıları güvendi çünkü ürün çalışıyordu. Crypto AG müşterileri güvendi çünkü marka saygındı. Andrés WhatsApp'a güvenmiyor ama alternatifi yok.
Bir gizlilik aracına duyulan güven, "iyi çalışıyor" olmasına dayanamaz. Arkasında kimin olduğunu, ne kazandığını ve yarın bu şirket kapanırsa, sahibi değişirse veya senin ülken olmayan bir ülkeden mahkeme emri alırsa verilerine ne olacağını anlamana dayanmalıdır.
Bir dahaki sefere birisi sana güvenli bir mesajlaşma uygulaması önerdiğinde, önce özelliklerine veya tasarımına bakma. Parasını kimin ödediğine bak. Cevap seni ikna etmiyorsa, başka bir tane ara.