Andrés sadece havayı soruyor
Andrés bir Venezuelalı. Yıllardır mahalledeki manavda çalışıyor. Bir gün ona ailesinin oradaki durumunu, rejimin en kötü dönemlerinde nasıl olduklarını sordum.
Bana, "Ülkemde hava her zaman güzeldir," dedi.
Anlamadım. Üsteledim. Ve o zaman açıkladı: "Ailemle sadece WhatsApp üzerinden konuşabiliyorum çünkü aramalar iyi çalışmıyor. Ama ne yazdığınıza çok dikkat etmelisiniz. Birinin konuşmalarımızı okuyup okuyamadığını bilmiyoruz. Bildiğimiz şey, her an herkesi gözaltına alabilecekleri ve ilk yaptıkları şeyin telefonunu açmak olduğudur. PIN kodunu vermezseniz, verene kadar tokat ve hücre cezası var. Ve WhatsApp'ta hoşlarına gitmeyen bir şey bulurlarsa, şanslıysanız dayak ve birkaç gün nezarethane. Şanssızsanız, o kişi ortadan kaybolur."
"Bu yüzden onlarla konuştuğumda temelde havanın nasıl olduğunu soruyorum. Cevap verirlerse en azından hayatta olduklarını biliyorum."
Andrés bir suçlu değil. Saklayacak hiçbir şeyi yok. Ama bir sohbet penceresinde yazılan bir cümlenin sevdiği birinin hayatını yok edebileceği bir dünyada yaşıyor.
Gizliliğe ihtiyaç duymak için suçlu olmanıza gerek yok
Müvekkiliyle savunma stratejisi hakkında konuşan bir avukatı düşünün. Konuşma meşru ve yasal, ancak bağlamından koparıldığında yıkıcı olabilecek bilgiler içeriyor. Bu avukatın bu konuşmayı gizli tutma konusunda mesleki ve yasal bir yükümlülüğü vardır.
Genç bir çifti düşünün. Kız ailesiyle yaşıyor. Tamamen meşru ama en özel alanlarına ait mahrem konuşmalar yapıyorlar. Bu kelimelerin hacklenebilecek, satılabilecek veya adli olarak talep edilebilecek hiçbir sunucuda bulunmaması onların hakkıdır.
Vergisini nasıl optimize edeceği konusunda mali müşaviriyle konuşan bir serbest çalışanı düşünün. Çizginin bir tarafında veya diğer tarafında olabilir - bu onun meselesidir. Bir ofiste oturuyor olsalardı kimse o konuşmayı duymazdı. Uzaktan konuşuyorlarsa neden farklı olsun?
Ya da etrafına füzeler düşerken Paris'teki yazı işleri bürosuyla iletişim kurmaya çalışan İranlı bir gazeteciyi düşünün. Veya Madrid'de, geride kalan ailesiyle konuşan bir göçmeni.
Tüm bu insanların gizliliğe ihtiyacı var. Hiçbiri suçlu değil.
Kusursuz şifreleme tuzağı
2018 yılında FBI, şifreli cep telefonları satan bir şirket kurdu. Markanın adı Anom'du. Piyasadaki en güvenli alternatif olarak satılıyordu. Üç yıl içinde 100'den fazla ülkede 12.000'den fazla cihaz dağıtıldı. Kullanıcılar tam bir güvenle konuşuyorlardı.
Bilmedikleri şey, her mesajın aynı zamanda FBI sunucularına da ulaştığıydı. Her kelime. Her fotoğraf. Her plan.
Haziran 2021'de Trojan Shield Operasyonu kamuoyuna açıklandı. 16 ülkede 800'den fazla gözaltı. Tarihin en büyük koordineli polis operasyonuydu.
Teknik bir hata değildi. Şifreleme gerçekti. Teknoloji çalışıyordu. Sorun, arkasında kimin olduğu ve bundan ne kazandığıydı.
Bu münferit bir vaka değil. 50 yılı aşkın bir süre boyunca İsviçreli Crypto AG şirketi 120'den fazla hükümete şifreleme makineleri sattı. 2020 yılına kadar kimsenin bilmediği şey, Crypto AG'nin gizlice CIA ve Alman istihbarat servisine ait olduğuydu. Makineler çalışıyordu ancak asıl sahiplerinin her şeyi okumasına olanak tanıyan kasıtlı bir zayıflığa sahipti.
İran, Hindistan, Pakistan, Vatikan, Latin Amerikalı askeri cuntalar. Hepsi güvendi. Kimse neden birinin onlara ucuz şifreleme satmakla bu kadar ilgilendiğini sormadı.
Her zaman sormanız gereken soru
Eğer birisi size bir şey teklif ediyorsa ve karşılığında ne kazandığını anlamıyorsanız, şüpheyle yaklaşın. Herkesin kötü niyetli olduğu için değil, iş modelini anlamak bir hizmete güvenip güvenemeyeceğinizi değerlendirmenin en temel yolu olduğu için.
WhatsApp kullandığınızda Meta'nın ne kazandığını bilirsiniz: verileriniz, alışkanlıklarınız, reklam satmak için ilginiz. Kabul edersiniz ya da etmezsiniz ama en azından takasın ne olduğunu anlarsınız.
Ancak birisi size tamamen ücretsiz, reklamsız, aboneliksiz ve görünür bir iş modeli olmadan şifreli bir iletişim hizmeti sunduğunda; soru şifrelemenin iyi olup olmadığı değildir. Soru şudur: Bunu kim finanse ediyor ve neden?
Gerçekten önemli olan ne
Bir gizlilik aracını değerlendirmeye yardımcı olan sinyaller vardır. Açık kaynak, güvenlik denetimleri, Avrupa yargı yetkisi. Bunların hepsi olumludur. Ancak hiçbiri mutlak bir garanti değildir.
Açık kaynak, birinin uygulamanın ne yaptığını gözden geçirebileceği anlamına gelir. Ama dürüst olalım: Kullanıcıların %99,9'u asla bir satır kod okumayacaktır. Ve tarih, binlerce kişi tarafından incelenen açık kaynaklı projelerde kimse fark etmeden yıllarca yaşayan çok ciddi güvenlik açıklarıyla doludur.
Güvenlik denetimleri değerlidir. Ancak denetimlerin parası ödenir ve para, iradeleri satın almanın en basit yoludur. Bir denetim, kodun incelendiği gün temiz olduğunu söyler. Daha sonra nelerin değiştiği hakkında hiçbir şey söylemez.
Dünyanın en iyi koduna sahip olabilirsiniz, denetlenmiş ve açık olabilir ancak verileriniz bir sunucudan geçiyorsa -bir saniye bile olsa, şifreli de olsa- birinin o sunucuya fiziksel erişimi vardır. Ve o kişi, bir yargıcın, bir hükümetin veya yüklü bir paranın her kapıyı açabileceği bir ülkede olabilir.
Sizi gerçekten koruyan şey "verilerinizi okumuyoruz" vaadi değildir. Sizi koruyan şey, verilerinizin asla ellerinizden çıkmadığı bir mimaridir. Ele geçirilecek bir sunucunun, sızdırılacak bir yedeğin, açılacak bir arka kapının olmadığı bir mimari.
Güven hediye edilmez
Anom kullanıcıları güvendi çünkü ürün çalışıyordu. Crypto AG müşterileri güvendi çünkü marka saygındı. Andrés WhatsApp'a güvenmiyor ama alternatifi yok.
Bir gizlilik aracına duyulan güven, "iyi çalışıyor" olmasına dayanamaz. Arkasında kimin olduğunu, ne kazandığını ve yarın bu şirket kapanırsa, sahibi değişirse veya sizin ülkeniz olmayan bir ülkeden mahkeme emri alırsa verilerinize ne olacağını anlamanıza dayanmalıdır.
Bir dahaki sefere birisi size güvenli bir mesajlaşma uygulaması önerdiğinde, önce özelliklerine veya tasarımına bakmayın. Parasını kimin ödediğine bakın. Cevap sizi ikna etmiyorsa, başka bir tane arayın.